Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

翻訳: Kaori Nozaki 校正: Misaki Sato

今日は 恥ずかしい話題についてお話しします

多くの人が経験していて 気まずいことです

Today, I'm going to talk about a shameful topic.

でも 話さなければ何も変わりません

それは ハッキングされた経験です

This has happened to many of us, and it's embarrassing,

偽のリンクをクリックして ウイルスを ダウンロードしてしまったことはないですか

but if we don't talk about it, nothing will ever change.

また 個人情報を 盗まれたことがある人もいるでしょう

It's about being hacked.

さらには 私たちソフトウェア開発者が

Some of us have clicked on a phishing link and downloaded a computer virus.

セキュリティ上のバグを含む 安全でないコードを書いたかもしれません

気づかないうちにです

Some of us have had our identities stolen.

And those of us who are software developers

私は サイバーセキュリティの専門家として

実に多くの企業でサイバーセキュリティの 向上に取り組んできました

might have written insecure code with security bugs in it

without realizing it.

サイバーセキュリティの専門家は企業に対して アドバイスを行っています

As a cybersecurity expert,

I have worked with countless companies on improving their cybersecurity.

優れたサイバーセキュリティの実践

監視ツール

適切なユーザー行動についてです

Cybersecurity experts like me have advised companies

しかし どんなツールでも解決できない もっと大きな問題があると私は考えています

on good cybersecurity practices,

それは 私たちがミスを犯したときの 恥ずかしいという気持ちです

monitoring tools

and proper user behaviors.

But I actually see a much bigger problem that no tool can fix:

人間はとかく 自分は有能で 技術に精通していると思い込みがちですが

こうしたミスを犯すと 自分自身にも企業にも

the shame associated with the mistakes that we make.

大きな影響を及ぼします

We like to think of ourselves as competent and tech savvy,

ささいな困りごとで済むこともあれば

修復に多くの時間を要する事態や

and when we make these mistakes that can have a really bad impact

自分自身や雇用主に多大な損失を もたらす事態に至ることもあります

on us and our companies --

anything from a simple annoyance,

企業がサイバーセキュリティに 何十億ドルも費やしているにもかかわらず

to taking a lot of time to fix,

to costing us and our employers a lot of money.

私のような実務家は 同じ問題を何度も目にしています

Despite billions of dollars that companies spend on cybersecurity,

いくつか例を挙げてみましょう

2015年に ウクライナの電力会社がハッキングされ

practitioners like me see the same problems over and over again.

22万5000件の顧客で停電が発生しました

Let me give you some examples.

送電事業が完全に復旧するまでに 数カ月を要した事件の元凶は

The 2015 hack of Ukrainian utilities

フィッシングリンクでした

that disconnected power for 225,000 customers

実は 顧客は22万5000件でしたが もっと多くの人に影響を及ぼしています

and took months to restore back to full operations

started with a phishing link.

顧客には集合住宅 工業施設など 大規模なものもあり

ショッピングモールなども

By the way, 225,000 customers is a lot more 225,000 people.

施設全体で１件だからです

2017年に起きたEquifax社の事件で

Customers can be anything from an apartment building

流出した個人情報のデータ量は

to an industrial facility

1億4000万人分でした

to a shopping mall.

The 2017 data breach of Equifax

最終的にEquifax社は14億ドル規模の 損害を受けた可能性があります

that exposed personally identifiable information

of 140 million people

この事件の原因は 同社の 顧客向け苦情受付ポータルに存在する―

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

よく知られた脆弱性が 悪用されたことでした

基本的に大事なのは テクノロジーとイノベーションです

that was caused by an exploitation of a well-known vulnerability

in the company's customer consumer complaint portal.

イノベーションは良いものです 日々の生活を改善してくれます

現在 私たちが乗っている車は実質的に 「車輪の付いたコンピューター」です

Fundamentally, this is about technology and innovation.

Innovation is good; it makes our lives better.

渋滞を避けられる経路や 整備のタイミングを教えてくれますし

Most of the modern cars we drive today are fundamentally computers on wheels.

その他 今どきの便利な機能が いろいろ搭載されています

They tell us where to go to avoid traffic, when to take them in for maintenance

また インターネット常時接続の 医療機器を使う人が増えています

ペースメーカーやグルコースモニター インスリンポンプなどです

and then give us all kinds of modern-day conveniences.

こうした機器のおかげで その利用者は 生活の質が維持され

Many people use connected medical devices like pacemakers

時には寿命が延びる場合もあります

しかし 相互接続が可能なために ハッキングの可能性が常に伴います

and glucose monitors with insulin pumps.

These devices make these people's lives better

and sometimes even extend their lives.

元米国副大統領のディック・チェイニーは 心臓移植を受ける前に

But anything that can be interconnected can be hacked when it's connected.

ペースメーカーのWi-Fi接続を 解除したことをご存じですか？

その理由をここで考えてください

Did you know that the former US Vice President Dick Cheney

デジタルで相互接続された世界では サイバーリスクは至るところに存在します

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

I will let you figure out why.

ところで私たち専門家が 長年論じている概念があります

In a digitally interconnected world, cyber risks are literally everywhere.

定義の難しい 「サイバーセキュリティ文化」です

サイバーセキュリティ文化とは その組織の全員が

For years, my colleagues and I have been talking about

サイバーセキュリティを自分の仕事だと考え

this elusive notion of cybersecurity culture.

何を行い 何をすべきでないかを理解し

正しい行動をとることです

Cybersecurity culture is when everybody in the organization

この文化を深く理解している企業の例を 挙げることは 残念ながらできません

believes that cybersecurity is their job,

仮に私がそんなことをしたら その企業は

knows what to do and what not to do

and does the right thing.

野心的な攻撃者の 格好の餌食になるからです

Unfortunately, I can't tell you which companies do this well,

しかし 私にできることは サイバーセキュリティを

because by doing so, I would put a juicy target on their backs

謎めいたもののように扱わず 率直に話すことです

for ambitious attackers.

組織の中に謎や秘密があってはなりません

But what I can do is make cybersecurity less mysterious,

bring it out into the open and talk about it.

うまく機能しているときには 誰も気づかないものが世の中には存在します

There should be no mystery or secrecy within an organization.

なくなったときに初めて その存在に気づくのです

トイレットペーパーのようなものです

When something is invisible and it's working,

新型コロナウイルス感染症の パンデミックが始まったとき

we don't know that it's there until it's not there.

今まであったものの大切さを 皆が痛感しました

Kind of like toilet paper.

それらが突然消え失せたからです

When the COVID-19 pandemic began,

サイバーセキュリティもそれと同じで

うまくいっているときは 存在が認識されず 誰も気に留めません

what has been there all of a sudden became super important

ところが うまくいかなくなると

because we couldn't find it anywhere.

本当にひどい状況になります

Cybersecurity is just like that:

トイレットペーパーは分かりやすい例ですね

when it's working, we don't know, and we don't care.

サイバーセキュリティは謎めいていて複雑です

But when it's not working,

it can be really, really bad.

「心理的安全性」という概念から 始まるものだと私は考えています

Toilet paper is pretty straightforward.

この概念を広めたのは 組織行動学の科学者である―

Cybersecurity is mysterious and complex.

And I actually think it starts with the notion of psychological safety.

エイミー・エドモンドソンです

エイミーは 病院など ミスが命取りになりかねない状況での

This notion was popularized by an organizational behavior scientist,

医療チームの行動を研究しました

Amy Edmondson.

その結果 看護師は医師に

Amy studied behavior of medical teams in high-stakes situations like hospitals,

提案をしにくいことがわかったのです

権威に対して疑問を呈することを 恐れているからです

where mistakes could be fatal.

And she found out that nurses were not comfortable

エイミーは 医療チームの改善を支援しました

患者の治療に関する提案を 看護師から医師に対して

bringing up suggestions to the doctors

because of the fear of questioning authority.

気軽にできるようにしました

叱られたり なじられたりする 心配をしなくて済むようにです

Amy helped improve medical teams

そのためには 医師はまず耳を傾けて

to make nurses more comfortable bringing up suggestions to the doctors

受け入れる必要がありました

for patient treatment

without the fear of being scolded or demeaned.

心理的安全性とは 誰もが安心して発言したり

For that to happen, doctors needed to listen and be receptive --

指摘したりできる状態のことです

without judging.

サイバーセキュリティも 同様であってほしいと思います

Psychological safety is when everybody is comfortable speaking up

つまりサイバーセキュリティの実務者が 安心して提案できる流れを作ってほしいのです

and pointing things out.

上級管理職や ソフトウェア開発者に提案をした際に

I want cybersecurity to be the same.

頭ごなしに否定しないでほしいのです

And I want cybersecurity practitioners to be comfortable bringing suggestions up

「脅威や過ちの話ばかりする―

to senior executives or software developers,

へそ曲がり」と言わずにです

これができない状況は

without being dismissed as those people who continue to talk about

デジタル製品開発の責任を負う 担当者には本当につらいのです

horrors and errors,

and say no.

ものづくりに対する各人の誇りと 喜びの根本に関わることだからです

Not doing so is really hard

for the individuals who are responsible for the creation of digital products

以前 あるソフトウェア開発会社の幹部に

because fundamentally, it's about their pride and joy in their creations.

セキュリティ強化の必要性を 訴えたことがあるのですが

そのとき彼はこう言ったのです

「我々が開発しているコードは 安全でないとでも？」と

I once tried talking to a senior software development executive

彼としては 我が子が否定されたように感じたのです

about the need to do better security.

では 「やってはいけないこと」に 注目する代わりに

You know what he said?

"Are you telling me we're developing insecure code?"

In other words, what he heard was, "Your baby is ugly."

「やるべきこと」に注目したらどうでしょう？

例えば より良いソフトウェアの開発と

What if instead of focusing on what not to do,

顧客情報の保護を両立させるには どうすればよいか？

we focused on what to do?

あるいは緊急時にも組織が活動を維持するには どうしたらよいか？

Like, how do we develop better software

and protect our customer information at the same time?

危機的状況や攻撃を受けた場合にです

また サイバーセキュリティにおいて 望ましい行動をとった人々に報酬を与えて

Or how do we make sure that our organization is able to operate

そんな行動を奨励してはどうでしょう？

in crisis, under attack or in an emergency?

例えばセキュリティインシデントの報告

And what if we reward good things that people do in cybersecurity in some way

フィッシングメールの可能性の報告

開発中のソフトウェアのセキュリティバグの

and encourage them to do so,

like reporting security incidents,

発見と修正などです

reporting potential phishing emails,

さらに そうした優れたセキュリティ活動を 業績評価に結び付けて重視するように

or finding and fixing software security bugs

方針を変えたらどうでしょうか

in the software that they develop?

こんなふうに サイバーセキュリティに関して

And what if we tied these good security actions to performance evaluations

適切な行動を周知することを 皆さんにお勧めします

to make it really matter?

ニュースレター、ブログ、 ウェブサイト、マイクロサイトを通じてです

I would love for us to communicate these good cybersecurity things

組織内のコミュニケーションのために 普段使っている手段を活用します

and encourage them in some sort of company-wide communications

例えば社内で ２週間の開発期間中に 最も多くのセキュリティバグを発見して

like newsletters, blogs, websites, microsites --

whatever we use to communicate to our organization.

修正した数を競うイベントを開催すると 発表したらどうなるでしょう

What if a company announced a competition for who finds the most security bugs

さらには四半期を通して バグ修正数を競い

その勝者を仮想の社員総会で発表し

and fixes them in a two-week development sprint

勝者や成績上位者に 魅力的な報酬を与えてはどうでしょう

and then announces the winner of the competition for the quarter

例えば１週間の休暇やボーナスなどです

at a large company virtual town hall,

他の人たちは そんな称賛や表彰の様子を見て

and then rewards these people, these winners, with something meaningful,

同じことをしたいと思うでしょう

エネルギー業界には

like a week's vacation or a bonus.

非常に強い「保安」の文化があります

Others will see the celebration and recognition,

人々はこの文化を大切にし 誇りに思っており

and they'll want to do the same.

この文化を集団で強化しています

In the energy industry,

there is a really strong culture of safety.

けが人が出ないようにするためです

People care about this culture, are proud of it,

この安全意識の高い文化を 維持する方法のひとつとして

and there is a collective reinforcement of this culture

安全上の事故がなかった日数を数え 目に見える形で示しています

to make sure that nobody gets hurt.

One of the ways they exhibit and keep this safety conscious culture going

このカウントがゼロにならないように 誰もが懸命に努力するのです

is by counting and visibly displaying days since the last safety incident.

ゼロだと 負傷者が発生したことを 意味するからです

サイバーセキュリティも安全と同じです

And then everybody works really hard not to have that count go back to zero

次のことを皆で同意できればいいと思います

最後にサイバーセキュリティ事故が 発生してからの日数のカウントを

because that means that somebody did get hurt.

Cybersecurity is the same as safety.

永遠に継続し

それをゼロに戻すことがないように 必死に努力するのです

What if we all agree

to keep that count of days since the last cybersecurity incident

一方で 絶対にやってはならないことが いくつかあるので

その禁止事項を組織全体に はっきり伝える必要があります

going on forever

and then work really hard not to have it reset to zero?

分かりやすく できれば楽しい方法でです

And then certain things are a no-no,

例えばゲーム化やシミュレーションなど

and we need to clearly communicate to our organizations what they are

誰でもすぐに覚えられる方法が望ましいです

in an easily digestible and maybe even fun way,

もし誰かが禁止事項を破ってしまったら

like gamification or simulations,

その結果 発生したことの影響は 組織全体に及ぶのです

例えば 従業員の誰かが AmazonやeBayで備品を購入したり

to make sure that people can remember this.

And if somebody does something they're not supposed to do,

個人用のDropboxを 会社の業務に使用したりすると

they should face some sort of consequences.

So, for example, if an employee buys equipment on Amazon or eBay

その会社全体が 何らかの影響を受けるでしょう

こういう場合の処分は 幹部社員も一般社員と

or uses personal Dropbox for their company business,

同じにするべきです

そうしないと 人々は 発生した事故の怖さが実感できず

then they should face some sort of consequences.

以前の行動に戻ってしまうからです

And when this happens, executives should get the same treatment

過ちを犯したときに 告白するのは悪くありません

as regular employees,

ただしルール違反を告白した 十代の若者の扱いと同じで

because if they don't, then people won't believe that it's real

and will go back to their old behaviors.

話したことが評価されたとしても

It's OK to talk about mistakes,

何らかの処分は当然受けるでしょう

but just like a teenager who violates the rules tells us about it,

サイバーセキュリティは 旅と同じで過程が大切です

we appreciate that they told us about it,

結果という目的地よりもです

but there should still be some sort of consequences.

そして この取り組みを 継続しなければなりません

私は サイバーセキュリティに携わる人々を

Cybersecurity is a journey.

ヒーローとして称えたいと思っています

It's not a destination,

考えてみれば 彼らは消防士であり

and we need to keep working on it.

緊急治療室の医師や看護師であり

I would love for us to celebrate cybersecurity people

法執行機関であり リスク管理者であり ビジネス戦略家でもあります

like the heroes that they are.

If we think about it, they are firefighters,

全てを同じ人格に兼ね備えています

そして 私たちが享受している モダンな生活を守ってくれています

emergency room doctors and nurses,

law enforcement, risk executives and business strategists

彼らは 私たちの個人情報 発明 知的財産

all in the same persona.

And they help us protect our modern life that we like so much.

電力網や医療機器

さらにコネクテッドカーなど 実に多くのものを守っています

They protect our identities, our inventions, our intellectual property,

私は このチームに加わりたいと思います

皆さんも この世界を 一緒に維持していきませんか

our electric grid, medical devices,

connected cars and myriad other things.

そして 失敗から学ぶための安全な環境を作り

And I'd like to be on that team.

より良いものを作っていくことを 約束しましょう

So let's agree that this thing is with us to stay,

ありがとうございました

let's create a safe environment to learn from our mistakes,

and let's commit to making things better.

Thank you.