前回は、M&Aにおけるサイバーセキュリティ術の話でした。セキュリティスタンダードに明るいだけではなく、人々の心理の動くさまをよくとらえて行動しなければならない、ということが要点でした。一言で言えば、ワキマエル、ということでしょうか。同じ会社の中にいても、情報管理のルールや社内組織の動きは特殊な状態にあるのですから、神経を使うのは当たり前かもしれませんが、役者のように役回りに合わせて行動するのは、誰にでも簡単なことではないでしょう。
とは言え、国際的なM&Aの際のセキュリティリーダーの所作が難しいとしても、所詮、揺れる船は内海に浮かんでいます。しかし、弁（わきま）えてなどいられない外洋に出て、政情不安の大しけの天候に遭遇した時には、我々はどのように戦うべきでしょうか？ロシアのウクライナ侵攻を他人事とは思えない、欧州の感覚を知っておくことは有益ではないかと考えます。
特に、M&Aのように一回成功すれば良いのではなく、第二の矢もしっかりと的を捉えて射貫くような矢を放つ自信を得るにはどのようにしたら良いでしょうか？いつものように、Steveのブログを読んでみることにします。
（ここから引用）
政情不安時にサイバー脅威と戦う7手段
May 13, 2022
SOURCE: Securty Magagine
Steve Durbin/ISF Chief Executive
各国政府だけでなく、NATOも各国軍も、今やサイバースペースを一つの「作戦領域」、つまり、陸、海、空、宇宙と並ぶ第五の作戦領域として認識しています。世の中が超接続状態になるにつれて、サイバー脅威が広まり、より猛威を振るうようになり、社会に恒久的な打撃を与えるようになるでしょう。この新しい世界秩序において、各国政府や企業がサイバーレジリエンスを身につけるための唯一の手段は、あらゆる種類の混乱、紛争、あるいは政情不安に対する備えをすることです。
企業やセキュリティチームが、政情不安の際に起こりうる脅威を理解し、あらゆる不測の事態に備えるための手段を整理しました。
1. 自社が標的になるかどうかを判断する
自社の事業目的、知名度、取引関係などから、サイバー過激派グループによる攻撃の直接のターゲットになりうるかどうかを判断します。例えば、事業が食料、水、電力、通信、医療などの重要なサービスに携わっている場合、直接のターゲットになる可能性はある程度あるはずです。また、間接的な攻撃は、どのような企業にも可能性が残されていると言えるでしょう。最近の歴史上最大のサプライチェーン攻撃の一つであるSolar Winds社への攻撃でも、250以上の連邦政府機関や企業に間接的な影響を与えたと考えられています。こうした直接的、あるいは間接的なリスクが自社のリスクプロファイルにどのような影響を及ぼすかを検討し、そのリスクに対処するための緩和策を実施することが必要です。
2. 定期的な診断の実施
インフラ、ネットワーク、デバイス、およびアプリケーションをスキャンし、セキュリティ上の脆弱性を特定します。第三者機関に依頼し、リスクの高いすべての領域で侵入テストを実施し、悪用される可能性のある抜け穴を特定します。そして、フィッシング詐欺の模擬演習を実施し、従業員やセキュリティ手順の準備状況を確認します。また、万が一、サイバーインシデントが発生した場合の、組織としての対応と復旧体制を整えておくために、インシデント対応計画を再確認し、あらゆるギャップを埋めておきます。
3. 状況の推移を見守る
状況が変化するにつれ、現在起こっていることや予測されることについて、タイムリーで正確な情報を入手できるようにしておく必要があります。自社にとって何が重要であるかという視点で、リスクの順序づけを決めておくとよいでしょう。直接の標的となるようなリスクは、重要なリスクとして警告を発し、直ちに対処しなければなりません。また、いざというときに、時間を無駄にすることなく迅速に意思決定できるよう、トップマネジメントには関連情報を伝えておいたほうがよいでしょう。
4. 紛争地域にデジタル資産が存在するかどうか確認する
自社のインフラ（クラウドまたはオンプレミス）が紛争地域にあるかどうかを検証します。また、そのようなデジタル資産やインフラストラクチャに自社がどの程度依存しているかを把握し、そのインフラストラクチャが利用できなくなった場合に備えて、レジリエンスを高めるために会社が取るべき当面の措置を検討します。
5. 資産遮断計画の策定
サイバー攻撃や切迫した脅威に備えて、リスクの高い環境やインフラストラクチャを遮断する計画を策定します。また、事業継続計画が期待通りに運用できるかを検証していきます。事業継続計画には、冗長性の確保、代替資産の選択や既存資産の堅牢化などの戦術も含まれる可能性があります。
6. 存亡に関わるサイバー脅威に対する行動計画の精査
もはや、深刻な被害をもたらすサイバー攻撃に遭遇する可能性を看過することはできません。巧妙な標的型サイバー攻撃に耐えられない企業が存在するという現実を受け入れなければなりません。防御的な戦術にのみ依存する既存の戦略では、このような存亡に関わる脅威に対抗することは難しいかもしれません。そのため、セキュリティチームは、未知の脅威に対する備えと対応、そしてビジネスの復旧に役立つ、積極的かつ能動的な行動計画を時間かけても作成する必要があります。
7. 不確実性の高い時期にも利害関係者との関係を維持する
サイバーセキュリティは、企業の責任であり、第三者であるパートナーを含むビジネスプロセスチェーン全体が協調して行動することが求められます。不確実性が高い時期に利害関係者を巻き込むことは、セキュリティチームが効果的かつ迅速に行動を起こすのに役立ち、また、対応策や事業継続計画を成功裏に効果的に実行する助けにもなります。該当する利害関係者としては、行動計画に権限、役割、あるいは責任を持つ人、行動計画を実行するために必要なスキルや専門知識を有する人、行動計画やその実施に不適切な影響を与える可能性がある人などが考えられます。透明性と主要な利害関係者とのコミュニケーションは、不安定な時期には極めて重要になってきます。
デジタルトランスフォーメーションの取り組みがあらゆる業界を席巻し、定番となるにつれ、それらが凶器として用いられるようになる可能性も次第に高くなるでしょう。サイバー攻撃によってもたらされる被害は甚大で、ビジネスを脅かすものになるでしょう。この現実を受け入れ、あらゆる事態に備えるために、企業は先を見越したアプローチを採用する時期に来ているのです。
（引用おわり）
いかがでしょうか。皆さまの会社では、紛争地帯で勤務された方々がBCP制定に関わって居られるでしょうか？そうした経験をくぐって来られた方々は独自のリスク感覚をお持ちのように思います。平和主義は尊いものですが、世界に紛争が絶えたことはありません。もしも、自社の経営管理システムが、「平常時」にしか対応できないものだったとしたら、この機会に見直してみてはいかがでしょうか？
考えてみれば、セキュリティの業務に従事する人間は皆、非常時を想定して日々を暮らしている訳です。ただ一点、非常時を感じて理解して対応できるように訓練されているのは、我々だという自負、ある意味では意地がそこにはあるように思います。会社全体が非常時を感じるような、紛争地帯では、セキュリティプロフェッショナルの感性は特異なモノではないでしょう。それでも、リスクに囲まれたシチュエーションでもクールで居られるとすれば、情報セキュリティの非常時だけでなく、浮かんでいる海原が大揺れに揺れる外洋航海の船上を想定した準備も必要なようです。
なぜ那須与一が揺れる扇を見事に射ることができた上に、第二の矢も過（あやま）たなかったか。もちろん技量の為せる技には違いありませんが、なぜ畠山重忠ではなく、那須十郎でもなく与一が指名され、成功したかについては、平時の心身の稽古に余念がなかったからということなのでしょう。また、余興の一つとして矢を放ったのではなく、必死の思いで矢をつがえたと言います。紛争も対岸の火事で済まされない、いつ自社の艦船が壇ノ浦に入り込んでしまうか分からないという普段からの緊張感が求められるのではないでしょうか。
上述の引用コラムの中では、七つのポイントがありました。いくつ、皆様の会社で当てはまるでしょうか？もしも、いくつもないということであれば、非常時に頼れる社内の与一に心当たりはありますでしょうか？
昨年から大盛況のISFのサイバー演習”Cyber Security Exercise”ですが、お陰様で、世界中のプロフェッショナル中のプロフェッショナルから熱い支持を頂いています。必ずしも紛争時のセキュリティに限ったシナリオではありませんが、やはり火の粉を被った経験が豊富な実践型のコンサルタントがサポートしているからかもしれません。そういう意味でも、セキュリティの世界は、テクニカルなツールだけで済ませることができず、先達に学ぶことの多いものなのだと思います。
とは言え、「弓の連射」には使い込んだ弓懸（ゆがけ）も必要です。次回は、そうした連射の技術が欠かせない、紛争時のサプライチェーンセキュリティについて見ていくことにします。
小原：hiro.ohara@securityforum.org
