「ハッカー」と聞くと、他人のコンピューターに忍び込んで情報を盗む、悪い人を思い浮かべるかもしれません。でも、ハッキングの技術を守るために使う人たちもいます。それがホワイトハッカーです。
このコラムでは、ホワイトハッカーとはどんな人なのか、どんな仕事をしているのか、そして会社がその力をどう借りられるのかを紹介します。
ホワイトハッカーとは
ホワイトハッカーとは、コンピューターやネットワークについての深い知識と、攻撃の手口を知りつくした技術を、会社や社会を守るために使う専門家のことです。「ホワイトハットハッカー」「エシカル（倫理的な）ハッカー」と呼ばれることもあります。
反対に、同じような技術を、情報を盗んだりシステムを壊したりするために使う人は、「ブラックハッカー」や「クラッカー」と呼ばれます。白と黒の呼び名は、昔の西部劇で、正義の味方が白い帽子を、悪役が黒い帽子をかぶっていたことに由来すると言われています。
悪いハッカーとのちがいは「許可」と「目的」
ホワイトハッカーと悪いハッカーは、使う技術そのものはよく似ています。攻撃者がどう考え、どこを狙うのかを知らなければ、守ることはできないからです。
大きくちがうのは、次の2つです。
- 許可を得ているか：ホワイトハッカーは、システムの持ち主から許可を得て、決められた範囲の中だけで調べます。許可なく他人のシステムに入り込むことは、たとえ目的が良くても、不正アクセス禁止法にふれるおそれがあります。
- 何のために使うか：見つけた弱点は、悪用せずに持ち主に伝えて、直すための手助けをします。
つまりホワイトハッカーは、技術と同じくらい、ルールを守ることと信頼が大切な仕事です。
ホワイトハッカーの主な仕事
脆弱性診断（セキュリティ診断）
Webサイトやアプリ、ネットワークに、攻撃に使われる弱点（脆弱性）がないかを調べる仕事です。決まった項目に沿って一つずつ確かめ、見つかった弱点と直し方を報告します。リリースの前や、定期的な点検として行われます。くわしくはセキュリティ診断のページをご覧ください。
レッドチーム（侵入テスト）
実際の攻撃者と同じ考え方・手口で、会社に疑似的な攻撃をしかけ、「どこまで入り込めるか」「攻撃に気づけるか」を確かめる仕事です。システムだけでなく、なりすましメールなど人を狙う手口を組み合わせることもあります。くわしくはレッドチームのページをご覧ください。
攻撃への対応と、守る仕組みづくり
攻撃を受けたときに原因を調べて被害を食い止めたり、そもそも攻撃されにくい仕組みやルールを考えたりするのも、ホワイトハッカーの知識が活きる仕事です。
人を育てる
開発や運用の担当者に、攻撃の手口と守り方を教えることも大切な仕事です。弱点を「見つけて直す」だけでなく、「最初から作り込まない」チームを増やすことにつながります。
ホワイトハッカーは、どうやって技術を磨いているのか
攻撃の手口は日々変わるため、ホワイトハッカーは学び続けることが欠かせません。よく知られている方法に、CTF（Capture The Flag）があります。セキュリティの技術を競う大会で、用意された問題の弱点を見つけて「旗（フラグ）」と呼ばれる答えを取り合います。国内外で大会が開かれていて、実践的な力を試す場になっています。
国家資格の情報処理安全確保支援士のように、セキュリティの知識を証明する資格もあります。ただ、資格だけで実力がわかるわけではないので、実際の診断の経験や、CTF などでの実績もあわせて見るとよいでしょう。
会社がホワイトハッカーの力を借りるには
ホワイトハッカーを社内で育てたり、採用したりするのは簡単ではありません。そこで多くの会社は、必要なときに外部の専門家に頼んでいます。
- 自社のシステムに弱点がないか知りたい：セキュリティ診断
- 会社全体の守りが本当に通用するか確かめたい：レッドチーム
- 開発チームに、攻撃者の目線を身につけてほしい：セキュリティトレーニング
頼む先を選ぶときは、技術の高さだけでなく、調べる範囲や情報の扱いをきちんと取り決めてくれるか、見つかった弱点をわかりやすく説明してくれるかも確かめましょう。
SecureHatters のホワイトハッカー
SecureHatters には、技術と信頼の両方を備えたホワイトハッカーが在籍しています。
- 大会で入賞したエンジニア：国内外の CTF で入賞した経験のあるエンジニアが、診断やレッドチームを担当します。決まった手順をなぞるだけでは見つからない弱点も、攻撃者の発想で探します。
- 資格を持つメンバー：国家資格の情報処理安全確保支援士を持つメンバーが在籍しています。技術だけでなく、取り決めや情報の扱いも含めて、安心して任せていただける体制で進めます。
2004年からセキュリティ診断を続けてきた経験をもとに、診断・レッドチーム・トレーニングで、会社のセキュリティを支えます。
まとめ
ホワイトハッカーは、攻撃者と同じ技術を、守るために使う専門家です。悪いハッカーとのちがいは「許可を得ているか」と「何のために使うか」。その力は、脆弱性診断やレッドチーム、人材の育成など、さまざまな形で会社のセキュリティを支えています。
「うちのシステムは大丈夫？」という段階からでも大丈夫です。お問い合わせから、お気軽にご相談ください。