ルーブル美術館の盗難が報じられたとき、注目は盗まれた宝石と2階の窓からの劇的な侵入に集まりました。しかしその裏には、老朽化したテクノロジーがどのようにしてあらゆる機関を自らの最も弱い環に変えてしまうのかという、静かな物語が隠されています。

フランスのメディアが報じたサイバーセキュリティ監査によると、美術館の内部システムは2010年代に入ってもなお、Windows 2000とWindows XPで稼働していました。2014年には、フランス国家情報システム安全庁（ANSSI）が、旧式のオペレーティングシステム、「LOUVRE」や「THALES」といった単純なパスワード、そしてパッチが適用されていないサーバーなどの重大な脆弱性を指摘しました。

2017年に国家安全保障・司法高等研究所（INHESJ）が実施した2回目の監査では、同じリスクが依然として残っていることが判明しました。いくつかのワークステーションは依然としてウイルス対策なし、セッションロックなし、そして複雑なパスワードの強制なしで稼働していました。監査の警告の中には、監視ネットワークが侵害された場合、物理的な盗難を助長する可能性があると指摘するものもありました。その警告は現実のものとなりました。

レガシーが脆弱性に変わるとき

この傾向は美術館にとどまりません。多くの業界で、依然としてセキュリティ更新を受けていない古いシステムに依存している組織が存在します。メンテナンスされていないサーバー、忘れられた認証情報、古いアプリケーションのそれぞれが、露出の範囲を広げています。古い脆弱性が放置されている限り、現代の攻撃者は新しい攻撃手法を必要としないのです。

物語の裏にある教訓

サイバーセキュリティとは、反応することではなく、備えることです。ルーブル美術館が失ったのは芸術品かもしれませんが、本当に失ったのは「時間」でした。アップグレードの遅れ、認証の軽視、そしてガバナンスが後回しにされるたびに、同じようにレジリエンスの低下が起こります。

盗難は物理的なものだった。弱点はデジタルだった。