近年、企業はますます巧妙化するサイバー攻撃の脅威に晒されています。そのため、ITに関する高度な技術や知識を有する「ホワイトハッカー」が求められています。そこで今回は、ホワイトハッカーについて詳しく説明していきます。

ホワイトハッカーを知っていますか？

そもそも「ホワイトハッカー」とはどのような存在か、ご存じでしょうか？
企業はもちろん、個人でもITシステムを導入して、日常的に利用している今日この頃です。その中で、不正にネットワークへアクセスしたりプログラムを破壊したりする、悪意のあるハッカーが存在します。日本に限らず、世界中で多くのの被害が発生しており、セキュリティ対策は不可欠になっています。そこで、悪意のあるハッカーに対抗する、「ホワイトハッカー」と呼ばれるセキュリティのエキスパートが必要になってきています。

では「ハッカー」とは何でしょうか？

「ハッカー」とは、コンピューターやインターネットに関する高度な知識や高い技術を持っている人を一般的に指します。
そもそも、「ハッカー」に悪意は本来含んでいません。「ハッキング」という言葉も同様にプログラムを不正に書き換えるなどの悪意を持っておらず、コンピュータプログラムやシステム構築分野で、単に解析することを意味します。
また、ハッカーは善良な「ホワイトハッカー」と、悪意のある「ブラックハッカー」の2種類に分類されます。 注1

ホワイトハッカーについて

「ホワイトハッカー」は、善良な目的のために存在して、コンピュータプログラムやシステムの構築、解析を行う人のことを意味します。不正にネットワークへアクセスしたりプログラムを破壊したりする、悪意のあるサイバー攻撃から守る存在がホワイトハッカーです。企業や個人だけではなく、国もサイバー攻撃の対象です。日々、サイバー犯罪は多様化・複雑化しています。そのため、どのような状況でも攻撃を予測して、未然に防御できる高度な技術や知識が求められています。

ブラックハッカーについて

一方、「ブラックハッカー」は、同様の知識・技術をサイバー犯罪に利用する、悪意あるハッカーです。ブラックハッカーのことを「クラッカー」と呼ぶこともあります。国・企業もしくは個人のコンピュータネットワークに不正に侵入して、個人情報や機密情報を盗み出したり、コンピュータプログラムを破壊したりと、悪意ある攻撃を仕掛ける特徴を持ちます。ハッカーである「ホワイトハッカー」と「ブラックハッカー」は、両者ともにIT分野の高度な知識や技術を持つプロフェッショナルという共通点を持っています。しかし、両者の役割や目的は真逆と言えます。ブラックハッカーの中には、集団でサイバー犯罪を計画し実行する場合があります。単純にいたずら目的もあれば、企業の重要情報を盗み出して大規模な被害を与えたり、国家レベルで機密情報を狙う目的のブラックハッカーも存在します。注2

ホワイトハッカーの役割や、国による育成への取り組み事例

テクノロジーの進歩によってマルウェアや不正アクセスといった、サイバー攻撃の脅威は年々巧妙化しています。情報漏洩やWebサイト改ざんなどのサイバーインシデントは、企業の社会的信用を失うことにもつながります。そのため、セキュリティ管理は重要な経営課題と言えます。ホワイトハッカーの役割を確認いただいた上で、ホワイトハッカーを育成するための国の取り組み事例についてもご紹介します。

ホワイトハッカーの存在は？

ホワイトハッカーは、コンピュータプログラムやシステムの高度な知識や技術を駆使してサイバー攻撃から国や企業を守る役割があります。日々高度化していくIT技術により、企業や国が保有する情報のデジタル化が急速に進んでいます。そんな中で、ますますサイバー攻撃の対象が増加しているのが現状です。そこで、サイバー攻撃から重要な情報を守るセキュリティ対策を徹底するためにも、ホワイトハッカーの役割が急増しています。最近では「ランサムウェア」と呼ばれるサイバー攻撃は、PCに保存されているファイルやシステムなどへの利用やアクセスが制限されるものを指します。アクセス制限を解除するために、攻撃者から身代金を要求される被害が報告されています。情報を人質にするという悪意ある犯罪です。このような、新しいサイバー犯罪やより高いレベルの攻撃が増えている中で、ホワイトハッカーの存在がより重要視されているのです。注1

日本政府はホワイトハッカーを育成している！

日本政府によるホワイトハッカー育成の取り組みについてもご紹介します。総務省所管の国立研究開発法人である情報通信研究機構（NICT）は、情報セキュリティなどに関するIT人材を確保するために、「ナショナルサイバートレーニングセンター」を設置しました。2017年度総務省予算の成立を受けて、このセンターは同年4月に設置されました。長年のサイバーセキュリティに関する研究で得られた技術的知見等を最大限に活用することにより実践的なサイバートレーニングを企画・推進する組織として、サイバー攻撃に対処するセキュリティオペレーター（実践的運用者）らを育成しています。また、このナショナルサイバートレーニングセンターでは、同センターが保有する情報技術の知見を活用して、実践的なサイバー防御演習「CYDER」も実施しています。対象は、国の行政機関や地方公共団体、民間企業などで、セキュリティインシデントを想定した体験型の訓練を提供しています。注1
詳しい活動を知りたい方は、ぜひNICTによるページをご覧ください。
https://nct.nict.go.jp/

ホワイトハッカーの業務領域とは？

ホワイトハッカーは、国家や企業など、あらゆる規模の情報をサイバー攻撃から守っています。そこで、盗み出されては困る情報を守るために、高度な知識や技術を駆使したシステム設計・構築・運用をしています。サイバー犯罪被害に遭わないためにも、最新の攻撃に対しての予測や防衛をする必要があります。このような予測・防衛対策はもちろんですが、万が一攻撃を受けてしまった時もホワイトハッカーが常に対処法を考えています。攻撃を受けた後にプログラムやシステムをどのように改善すべきかなども検討しています。このように、サイバー犯罪から身を守るための幅広い業務領域を担当しています。以下、具体的な業務内容について紹介します。注3

①脆弱性診断および脆弱性に対する改修作業

セキュリティ対策として基本的な脆弱性診断を行うのもホワイトハッカーの大切な業務です。脆弱性診断には、Webアプリケーション診断やプラットフォーム診断などがありますが、これらの診断を行います。その診断結果で、脆弱性が発見された場合にすぐ改修作業を行い、セキュリティホールを見逃さないのがホワイトハッカーです。脆弱性診断は、自動ツールと手動での作業をあわせて行うことがあります。脆弱性診断の自動ツールを使用する場合、自動的にスキャンすることでプログラム上の設定ミスや不具合を発見することができます。プログラム自体の脆弱性だけではなく、ウイルス感染の有無や、悪意のあるプログラムが埋め込まれているケースなどもチェックすることができます。これは、ツールに収集されているウイルス情報などと照合しているためです。しかし、自動ツールだけでは、ブラックハッカーの高度な手口を全てかわせるとは限りません。人手で攻撃してくるものですから、ホワイトハッカーも人力を発揮する必要があるのです。高度な知識・技術を持つホワイトハッカー自身によって、人の目でチェックをすることで初めて脆弱性が見つかる場合があります。ブラックハッカーの攻撃の手口を予想しながらリスクを検知するというのも非常に有効であり、ホワイトハッカーの非常に重要な業務内容となっています。

②サイバー攻撃を受けた際の対応

次に、サイバー攻撃を実際に受けてしまったときの対応に備える、重要な業務内容を紹介します。ホワイトハッカーは、攻撃を検知した際、一刻も早く、そして的確に対処することが最重要です。そういったインシデントの発生に備えた対応を様々な目線から行っています。サーバなどで不正なトラフィックが検知されたりした場合には、ホワイトハッカーは即座に調査を開始します。その不正なトラフィックを分析した上で被害を最小限に食い止める必要があります。脆弱性診断によるセキュリティ対策で守るだけではなくて、実際にセキュリティインシデントが発生した場合を想定して、国や企業のセキュリティ環境を整備しなくてはなりません。そして、サイバー攻撃を受けた際にはいかに迅速に対応するかが重要な業務となっています。

③社内セキュリティチェック・教育

企業における、社内のセキュリティチェックや、社員のセキュリティ教育も業務内容のひとつです。例えば、社内システムを使っている社員から、システムのパスワードを盗んだり、なりすましをしたりといった、不正侵入が行われる場合もあります。社内システムを利用している社員の行動パターンを把握することが大事です。その上で、セキュリティ施策を社員が守れているかを定期的にチェックすることも大事です。例えば、社員のパスワードの入力方法などセキュリティへの対応方法は確認する必要があります。また、怪しいメールが届いた場合に、社員がセキュリティ意識を持って対応できるのかも確認した方が良いでしょう。近年、標的型攻撃など、個人宛になりすましメールを送るといった手口のサイバー攻撃が増加しています。また、不必要なアプリケーションなどを使っていないかなどもチェックしたりと、社内のセキュリティチェックは多岐にわたります。社員一人ひとりのセキュリティに対する意識、知識の教育を定期的に行うのもホワイトハッカーの役割です。そこで、社内でセキュリティ上不安なところがあれば、必要に応じてセキュリティ講習などの教育を行っています。

ホワイトハッカーにはどのような知識が必要か？

これまで述べてきた通り、国や企業レベルのセキュリティを守るために幅広い業務を担当するため、非常に高度な能力が求められます。ここでは、ホワイトハッカーとして必要な知識を紹介します。

ホワイトハッカーに必要な知識とスキル

セキュリティに関する知識として、まずブラックハッカーがクラッキングの際に用いるマルウェアについて押さえておく必要があります。マルウェアには、コンピュータウイルスだけではなく、様々な種類があります。例えば、ワーム、ボット、スパイウェア、トロイの木馬、キーロガー、マクロウイルス、バックドアなどがあります。このような一つ一つのマルウェアへの知識や対策など、細かい理解が必要になります。サイバー攻撃にはあらゆる手口があることを念頭に、日々最新の情報を知り、理解しておくことが重要です。また、それらの攻撃から守るための知識や技術も習得する必要があります。暗号化、ファイアウォール、ウイルス対策ソフトウェアなどの技術を理解しなくてはなりません。基本としては、データベースやネットワークに関する知識が必須になります。セキュリティといっても、サイバー犯罪に関することなので、基本的にプログラミングスキルが欠かせません。
また、英語力もホワイトハッカーに必要な知識です。例えば、プログラムを記述する際に英語が必要になります。バグの修正を行う際にも、英語のソースコードを参考にすることが多々あったりと、英語力はホワイトハッカーにも必須です。
最後に、IT関連の法律・法令に関する知識も大切になります。例えば、「改正個人方法保護法」や「マイナンバー法」、「サイバーセキュリティ基本法」、「電子署名及び認証業務に関する法律」などが挙げられます。国や企業のセキュリティを検討する場合には、コンプライアンスに準拠したシステムを実装しなくてはなりません。そのため、ホワイトハッカーは法律の内容もよく理解しておく必要があります。注2

ホワイトハッカーに関する資格・認定試験

ホワイトハッカーに資格は必須ではありません。しかし、ITやセキュリティ関連の資格を持っている人が多いのは現状です。以下で、ホワイトハッカーにとって必要になる知識などを備えている資格や認定試験を一部挙げています。
・シスコ技術者認定（https://www.cisco.com/c/ja_jp/training-events/training-certifications/certifications.html）
・CompTIA Security＋（https://www.comptia.jp/certif/comptia_certification/）
・情報セキュリティスペシャリスト（https://www.jitec.ipa.go.jp/1_11seido/sc_28.html）
・公認情報セキュリティマネージャー（https://www.isaca.gr.jp/cism/）
・GIAC（https://www.sans-japan.jp/giac）
・CISSP（https://japan.isc2.org/cissp_about.html）
他にも、セキュリティアーキテクチャ、防御的プログラミング、ISMS・プライバシーマーク制度、各OSやネットワーク機器への不正アクセス手法などの知識のために様々な資格が存在します。

まとめ

いかがでしたでしょうか？ホワイトハッカーがいかに重要な存在かおわかりいただけたかと思います。国もホワイトハッカー育成に取り組んでいることもお伝えしました。そして、今後もIT人材の不足が予測されていることに加え、サイバー攻撃や情報漏えいなどのセキュリティリスクが増加傾向にあるため、ホワイトハッカーの需要がより一層高まっていくはずです。ぜひ、ホワイトハッカーの役割や業務内容について覚えておいていただければ幸いです。