オペレーショナルセキュリティ（OPSEC）の基礎

運用セキュリティ（OPSEC）とは、重要情報を特定し、脅威を分析して対策を実施することで、敵対者から機密情報を保護するプロセスです。もともとは軍事概念でしたが、現在ではセキュリティ専門家、ジャーナリスト、活動家にとって不可欠です。

正式なOPSECプロセス：

1. 重要情報を特定する — 何を保護する必要がありますか？
2. 脅威を分析する — 誰がこの情報を欲しがっていますか？
3. 脆弱性を分析する — どのように情報が露出する可能性がありますか？
4. リスクを評価する — 発生確率と影響はどの程度ですか？
5. 対策を適用する — リスクを許容可能なレベルまで低減します

一見無害に思える個々の情報が組み合わさると、機密性の高い詳細が明らかになることがあります。行きつけのカフェ、勤務スケジュール、近所の情報、車種をそれぞれ別々に投稿すると、標的のプロファイルが作成されます。敵対者はオープンソースのデータを集約し、行動につながるインテリジェンスに変えます。

デジタルフットプリントを削減する方法：

• 用途ごとに別の別名とメールアドレスを使用する
• ソーシャルメディアでの公開範囲を最小限にする
• プライバシーを保護する検索エンジン（DuckDuckGo、Brave）を使用する
• データブローカーサイトからオプトアウトする
• アプリの権限を定期的に確認する

コンパートメント化は、ID、ツール、活動を分離して相互汚染を制限します。セキュリティ研究者は、異なるペルソナやクライアント案件ごとに、別々のデバイス、ブラウザー、メールアカウントを使用することがあります。

安全なコミュニケーション手段を選ぶ際のポイント：

• Signal — 消えるメッセージに対応したエンドツーエンド暗号化メッセージング
• ProtonMail — 暗号化メール
• 可能であれば、機密性の高い話し合いにメールを使用しない
• メタデータ（誰といつ話したか）は、内容と同じくらい多くの情報を明らかにすることがあると理解する

物理的なOPSEC対策：

• 公共の場でノートパソコンに画面用プライバシーフィルターを使用する
• 使用していないときはマイクとカメラを無効にする
• 公共の場でのショルダーサーフィンに注意する
• ディスク暗号化（BitLocker、FileVault、LUKS）を使用する
• 機密文書をシュレッダーにかける

注目すべきOPSECの失敗：

• Sabu（LulzSec）：一度Torの使用を忘れた → IPアドレスが判明 → 逮捕
• Ross Ulbricht（Silk Road）：Silk Roadを作成する何年も前から、複数のサイトで同じユーザー名を使用していた
• APTグループ：以前の作戦に結びつくマルウェアコードやインフラを再利用した

ペンテスターは、実際の敵対者を模倣し、クライアントのシステムを実際の攻撃者に誤って露出させないよう、業務中にOPSECを実践します。

• VPNや匿名化インフラを使用する
• ツールのシグネチャをローテーションする
• テスト後に痕跡を消去する
• 報告用にすべての操作を記録する

OPSECの状態は、脅威モデルによって異なります。

• 一般のユーザー：基本的なパスワード管理とMFA
• セキュリティ専門家：コンパートメント化と強力な暗号化
• ジャーナリストや活動家：Torの全面的な利用と、機密作業用のエアギャップデバイス

脅威モデルに見合わない過剰なOPSECは、かえって不便を増やします。

効果的なOPSECはチェックリストではなく、継続的に「自分はどのような情報を、誰に、どのように明らかにしていて、その相手はそれを使って何ができるのか」と問い続ける考え方です。この敵対者の視点に立った自己評価は、実践によって習慣になります。

あるアナリストが、個人用ゲームフォーラムで使っていたものと同じユーザー名を、秘密裏の作戦を準備する際にも使用しました。どのOPSEC原則に違反していますか？

OPSECは、重要情報の特定、脅威と脆弱性の分析、リスクの評価、対策の適用という5段階のプロセスによって機密情報を保護します。主な実践方法には、コンパートメント化、デジタルフットプリントの削減、安全なコミュニケーション（Signal、ProtonMail）、物理的なセキュリティがあります。OPSECの状態は、実際の脅威モデルに合わせる必要があります。