Fredrik Lindebergのテスト：ノードの半分を切り離す

要約

「ノードの半分を切り離してみる」。RIPE 93でNetnodの最高情報セキュリティ責任者、Fredrik Lindebergは、冗長構成の図を眺めるだけでは分からない問いを投げた。半分が消えたとき、顧客が必要とする機能は動くのか。

偶発故障と狙いを定めた攻撃は、同じ確率モデルに押し込めない。過去の記録は部品が自然に故障する頻度の目安になる。攻撃者は対象を選び、共通の管理系や唯一の経路といった弱点を探す。Lindebergが「100%」と述べたのは、狙いを決めた者が攻撃を試みる確率についてだ。侵入の成功率を示す数字ではない。

スウェーデン保安庁の2025〜2026年評価は、官民双方へのサイバー攻撃が続き、手法が変化して利用しやすくなっていると記す。Lindebergが挙げたのは、デジタル化された物理サービスだ。建物のドア、自動車、病院のシステム、電話は、事業者の外にあるサービスへの依存で止まり得る。

Netnodの略歴によると、彼は同社のサービスと製品の情報セキュリティ管理を担う。2021年に加わる前は金融サービス分野でシステム統合に携わり、専用通信網の置き換えも扱った。情報システムを専門とする産業工学・経営学の博士号と、コンピューターサイエンス・工学の修士号を持つ。

危機が始まってから予備の光ファイバーを敷くのは無理がある。Lindebergは、デジタル基盤への圧力が平時にも続き、緊張が高まってから人員や設備を増やす時間が残らない場合を想定する。予備経路やサーバーがサービスの約束に含まれるなら、警報より前に用意しておく必要がある。

手順は、顧客にとって止められない機能を決めることから始まる。その機能が頼る人員、供給業者、電力、回線、機器、管理システムを洗い出す。次に依存先を切る、サーバーを再起動する、ノードの一部を落とす。紙に「冗長性あり」と書くより、残ったサービスを見たほうが早い。

RIPEの公式文字起こしはこの提案を記録しているが、Netnodの定量化された事故や演習結果は掲載していない。確かめられるのはLindebergの試験方法であり、試験の合格実績ではない。

コンプライアンスとサービスの生存は別の問いだ。米司法省の企業コンプライアンス指針は、制度の設計、資源の配分、実際の効果を問う。運用現場では最後の問いを試験に変える。依存先が消えたとき、約束したサービスを提供できるのか。

演習は近隣の組織とも行う。ある事業者の停止が別のネットワークに影響するからだ。機密性と可用性の設計も衝突し得る。独立した複数ノードは可用性を支える一方、機密性のためには管理対象を絞る設計が選ばれることがある。どちらを優先するか、停止後に決めてはいけない。