NASAの監察総監室が公表したこの話は、機密性の高い知見、コード、ソフトウェア、工学設計、あるいは価値のある事業情報を保有するあらゆる組織を不安にさせるはずです。
公表によると、Song Wuという名の中国人が長年にわたり米国の技術者、研究者、教授になりすまし、NASAの職員、学術界の研究者、軍関係者、民間企業に接触していました。彼の目的は、アカウントのパスワードを手に入れることではありませんでした。彼が求めたのは、はるかに単純で、はるかに危険なものでした。航空工学設計や兵器システムの開発に使えるソフトウェアのコピー、ソースコード、機密性の高い工学ツールです。
そして、まさにそこが問題なのです。
多くの組織では、「フィッシング」という言葉を聞くと、すぐに不審なリンク付きのメール、偽のウェブサイト、あるいはパスワードの入力を求める要求を思い浮かべます。
しかし、より巧妙なケースでは、フィッシングはサイバー攻撃のようには見えません。見知った人物からの正当な業務上の依頼のように見えるのです。「コードを送ってください」。「ソフトウェアの最新版が必要です」。「ファイルを渡してください、チームと一緒に作業しているので」。
被害者は、自分が攻撃に陥っているとは感じません。同僚を助けていると感じるのです。
そして、それこそが危険なのです。
私が何度も目にする職業上の誤りは、組織がこの脅威を技術的な問題としてのみ扱うことです。しかしこの件では、中心的な弱点はシステムだけにあったのではありません。それは人間の信頼、職場の文化、そして機密情報が外に出る前に立ち止まって確認することを義務づける明確な仕組みの欠如にありました。
私の見るところ、ここにはいくつかの重要な教訓があります。
「見知った」人物から来る依頼のすべてが、本当にその人から来ているとは限りません。
同僚どうしの情報共有のすべてが無害な行為とは限りません。とりわけ、コード、ソフトウェア、計画、データ、モデル、インフラが関わる場合はそうです。
従業員は、不審なリンクだけでなく、異常な依頼も見分けられるようになる必要があります。同じソフトウェアへの繰り返しの依頼、なぜその情報が必要なのかの説明の欠如、支払いや送金の手段の突然の変更、通常用いない経路の使用、あるいは整った手順を踏まずに資料を渡すよう求める圧力などです。
そして最も重要なこととして、まともな組織では、たとえ相手が見知っていて、上位者で、専門的に見えたとしても、従業員が機密資料を他者へ渡してよいかどうかを独りで判断すべきではありません。
手順が必要です。本人確認が必要です。権限の確認が必要です。規制、輸出、機密保持、知的財産の制約への理解が必要です。そして、確認のために立ち止まることが官僚主義とではなく、職業上の責任の一部と受け止められる文化が必要です。
NASAの話は、内部脅威が必ずしも悪意ある従業員から始まるわけではないことを鋭く思い出させてくれます。ときにそれは、助けたいと願う善良で専門的な従業員から始まりますが、その人は自分が操られていることに気づいていないのです。
そしてこれは、おそらく最も危険な脅威の一つかもしれません。自分がそうであると知らない、人間のトロイの木馬です。