4月17日から19日にかけて発生したソニーのオンラインサービス『PlayStation Network（PSN）/Qriocity』の障害。これにより、7700万アカウントにのぼる個人情報が漏えいした可能性があると報道された。うち1000万アカウントでクレジットカードの情報が漏えいした可能性も指摘されているが、今のところそれによる実害は出ていないのは不幸中の幸いというべきか。ソニー・コンピュータエンタテイメントと北米子会社のSNEIは、今回の事態を受けてCISO（チーフ・インフォメーション・セキュリティ・オフィサー）の設置や不正アクセス検知機能の強化など、多岐にわたる対策強化策を講じたと発表した。

　この事故に関連して、マカフィーは、企業を狙うサイバー攻撃の脅威と対策に言及した。企業は一般的に「ISO/IEC27002：2005」「政府機関統一基準」「NIST-SP800-53 Rev2」などのフレームワークをベースに情報セキュリティポリシーを策定運用しているケースが多い。だが、実際には製品を導入して規則の策定を行うだけで、運用が定着していないという不備が多いとマカフィーは指摘する。

　ソニーのケースでは、本来、セキュリティマネジメントを運用するうえで重要な役割を果たすCISOをこの段階で新たに設置したところをみると、「そもそも情報セキュリティの組織体制として構築されたものが機能していたのかどうか」（マカフィー エンタープライズ営業本部の兜森清忠・プロフェッショナルサービスシニアスペシャリスト）と、疑問を呈する。クレジット情報などの情報の機密性を分類し、リスクに対する適切な対策が取られていなかったのではないか。セキュリティポリシーの策定自体が不十分であり、セキュリティ事故にかかる情報を収集して対策に反映するといったことができていなかったのではないかなど、さまざまな問題点が推測される。

　セキュリティレベルを維持・向上させるためには、セキュリティマネジメントサイクルをきちんと回す必要がある。具体的には、情報資産の分類、リスク分析、管理策を策定し、システムの構築、運用監視と継続的な第三者機関による監査・診断。そして、監査・診断結果やセキュリティインシデントの情報などを反映して、見直しをしていくサイクルだ。

　近年、USBを介して感染を広げる「コンフィッカー」やイランの核施設に対する攻撃を狙った「スタックスネット」などが報告されている。「クローズドネットワークだからといって安全ではない」（同本部 エンタープライズSEの松田彰・シニアセールスエンジニア）と警鐘を鳴らす。企業に対する怨恨や政治的な攻撃など、クラッカーが狙う目的はさまざまだという。セキュリティはコストだが、セキュリティインシデントに対応するための適切な投資を怠れば、いつ足元をすくわれるか分からない状況にある。（鍋島蓉子）