先日、会社のブログで、AIを悪用したサイバー攻撃についての連載を6回にわたって書きました。書きながら何度も考えたのは、セキュリティの専門会社ではない私たちが、このテーマをどこまで語ってよいのか、ということです。
VAONはソフトウェアを作る会社です。24時間の監視も、インシデントが起きたときの対応も、ペネトレーションテスト(侵入を試みる形の検査)も、提供していません。社内の情報セキュリティの規程はISO 27001の枠組みをもとに作っていますが、認証は取得していません。社員は15名です。
連載の最終回では、開発会社に送っておきたい10の質問をまとめました。そのうえで、同じ質問に自分たちで答えた表を載せ、「取得していません」「提供していません」という行もそのまま入れています。会社の紹介としては、書かないほうが見栄えがよいはずです。
それでも書いたのは、発注される側の判断に必要だと考えたからです。たとえば「夜間や休日は対応しません」とはっきり言う会社が相手なら、そこを何で補うかを決められます。監視は専門の会社に頼む、時間外の連絡先を別に用意する、といった判断です。反対に、どの質問にも「大丈夫です」と返ってくると、何を自分たちで補えばよいのかが分かりません。
では、私たちは何に責任を持つのか。二つあります。
一つは、レビューとテストの記録がそろった状態でソフトウェアを納めることです。この記録はすべての案件で残していて、お客様にご覧いただけます。もう一つは、そのシステムが何でできているのかを、正確にお伝えすることです。自社で開発した請求書・契約管理のシステムでは、今年8月にソースコードを走査し、外部への接続に使う環境変数が6つで、すべてメール送信(SMTP)用であることを確かめました。
この書き方には、不利な面もあります。認証の有無や24時間の体制を取引の条件にされている会社からは、最初の段階で候補から外れるはずです。それでよいと考えています。15名の開発会社が、専任のセキュリティチームの代わりになることはできないからです。
10の質問と私たちの回答は、ブログの連載第6回に載せています。 https://vaon.com.vn/ja/blog/ai-cyberattack-readiness-checklist-vendor-questions
皆さんは、取引先から「それは当社ではできません」と先に言われて、かえって判断しやすくなった経験はありますか。
