大企業のセキュリティ侵害が後を絶たない理由の1つに、被害の詳細が共有されないことがある。サイバー攻撃を許したとなれば、企業のイメージが傷つくうえに、機密データに触れずに攻撃の手口詳細を共有するのはむつかしい。

これを秘匿計算技術で解決すべく、MITのComputer Scienceand ArtificialIntelligence Laboratory（CSAIL）の研究チームが立ち上がった。

機密データに触れることなくセキュリティ・リスクを定量化

研究チームが開発のプラットフォーム「SCRAM（Secure CyberRisk Aggregationand Measurement）」では、機密データに触れることなく企業のセキュリティ・リスクを定量化することを目指す。

SCRAMでは、攻撃に関わるデータを使用してセキュリティ・リスクを定量的に測定。企業の施すセキュリティ対策の安全性はどの程度か、コストは最適か、優先順位が正しいかなどを評価する。

その際、マルチパーティコンピューティング（MPC）と呼ばれる手法により、データを読み取ったりロックを解除したりせずにデータを分析。これにより、企業は匿名性と機密性を保ったままの情報提供が可能になる。

50種類のセキュリティ・インシデントを分析

過去のセキュリティ・インシデントから学ぶことができれば、さらなる被害を防ぐことができるだろう。実際研究チームは、7つの大企業と契約し、50種類のセキュリティ・インシデントに関わるデータを分析した。

匿名性と機密性を保ったままの分析により、企業が最もリソースを割くべき手口3つが明らかになったという。マルウェア攻撃、ポートスキャンによる侵入および、セキュリティログ管理の失敗がそれだ。どの企業も対策は施していたにも関わらず、セキュリティ侵害を許している。SCRAMにより、さらなる対策強化方法が示される。

次のステップとして研究チームは、電力、金融、バイオテクノロジーなどさまざまな分野の代表的な企業に参加を呼び掛ける計画だ。
参照元：Helping companies prioritize their cybersecurity investments/ MIT News