ランサムウェアを使った犯罪（情報や事業システムを暗号化して人質に見立て、復号鍵と引き換えに大金を脅し取る犯罪行為）の脅威は苛烈なものになっています。特に、Covid-19のパンデミック禍が枯草の山になったかのように、“The Web of Profit”（サイバー犯罪経済）は燎原の火となりました。
まずは、企業人が皆、この現状認識を持つところから始めなければなりません。これはセキュリティという一分野の人々の問題ではなく、経営リスク環境における全役職員の問題ではないでしょうか。法外な身代金要求を受けてみて初めて、「払うべきか、払わざるべきか？」とハムレットを気取るような暇はありません。問題は、払うべきかどうかではなく、リスク対応に幾ら、何時払うと「出費を抑えられるか？」ということではないでしょうか。
世の中の状況はどうなっているのか、何が問題なのか、わが身を振り返ってみて、自社ではどうすべきなのか？ まずはいつものように、欧米のサイバーセキュリティ、情報リスク分野の権威であるISFの専務理事のブログから全体観を得ることにしましょう。
ランサムウェアの脅威に対する理解と対応
SOURCE: FORBES
October 27, 2021
Steve Durbin, Chief Executive, ISF
警察、医療機関、教育機関、石油業界、政府機関いずれにおいても、ランサムウェア感染の広がりから免れることができる業界は一つもありません。そして、ひとたび被害に遭えば、事業の存続そのものも脅かされかねません。この至るところにはびこる脅威や予期できない悲惨さに鑑み、米国司法省は、あらゆるランサムウェア犯罪捜査をテロの優先度と同水準に格上げしています。
今日では、サイバースペースは事実上、空、海、陸に次ぐ防衛の第四の領域となっています。重要インフラを支える運用技術へのランサムウェアの攻撃が一つでもあれば、本格的な物理的攻撃と同程度の影響を与える可能性があるのです。
そして、まさに2021年、それを目の当たりにすることになったのです。まず、コロニアル・パイプラインへのハッキングによるランサムウェア攻撃では米国東海岸一帯で深刻なガス燃料不足が発生しましたし、食肉大手のJBSから1,100万ドルの身代金を奪った大規模攻撃では、米国の食肉産業の23％が一時操業停止に追い込まれました。
大金が獲られるうえ、攻撃ツールの入手も容易になったことで、ランサムウェアによる脅迫はこれからも今そこにある脅威であり続けると考えられます。ここで、自社セキュリティを確保するために、サイバーセキュリティ業務に携わる方にご留意頂きたい幾つかの点をご紹介します。
侵入経路
デジタル接続が増え、ITインフラが複雑になり、サプライチェーン・ネットワークが入り組んだことによって、企業が攻撃を受ける領域が劇的に拡がってしまいました。その意味するところは、手練れのサイバー犯罪者にとって、ランサムウェアの弾頭を持って内部ネットワークに侵入することが、これまでになく容易になったということです。
そこで、数多の企業が手あたり次第に標的にされる「数打てば当たる」式の、当たるも八卦的なハッキング攻撃も今や、大きな引き潮として遠ざかっています。ハッカー集団は先鋭化しつつ高度な組織化を遂げて犯罪カルテルの態をなし、極めて慎重に攻撃対象を選んでは、幾手にも分かれて洗練されたグループ連携攻撃をするようになってきています。
とは言え、ランサムウェアの侵入経路は以下の3つのいずれかとなるでしょうから、これらの方法を知っておけば、状況を注視し、安全を保つのに役立つでしょう。
1.標的型ランサムウェア攻撃：プロ意識が高い練達のハッカーたちは慎重に標的企業を選ぶと、数カ月を費やし偵察を行い、あらゆる情報源から当社事業、IT基盤、従業員に関する情報を集めていきます。そうすることで、社内のシステム管理者などの特権ユーザーをスピアフィッシング攻撃で狙撃したり、社員を何人かインサイダーとして味方につけたりすることを可能にするのです。
2.サプライチェーン攻撃：サイバー防御力の強さは、サプライチェーン上のパートナーの最もセキュリティの弱い会社の防御力で決まると言えます。サプライチェーン攻撃が増勢にあるのは、一つには、いかに堅牢なネットワークであってもパートナー企業群に防御力の弱いところがあると、サイバー犯罪者にアクセスを許してしまうからです。二つ目の理由として、サイバー犯罪者たちにとっては、いちどきに複数会社を標的として設定できるため、たとえば、餌食にする企業の関係者一人残らずにランサムウェアをばら撒くこともできるからです。まさにそれが、Kaseyaのランサムウェア攻撃で起きたことで、非常に手の込んだ、全く前例を見ない攻撃となりました。この件では、中小企業のサービスプロバイダーが複数影響を受け、彼らの顧客たちにも広がったのです。
3.攻撃の巻き添え： コンピュータプログラム一般と同様に、ランサムウェアも時には欠陥によって計画とまったく異なる結果になることがあります。NSAが作成したマルウェアをベースにしたランサムウェアWannaCry事件でもそうでした。このような制御が外れて暴走する攻撃は最近では滅多にありませんが、それでも多くの企業が激しい攻撃を浴びせられています。デュッセルドルフ大学病院が、ハインリヒ・ハイネ大学を狙ったランサムウェアの巻き添え被害に遭いましたが、これもその一例です。また例えば、コロニアル・パイプラインのハッキングのように、攻撃の結果が広範囲に及ぶことを犯人たちでさえも予期できていないケースもあります。
RaaSによるサイバー犯罪の組織化
最近まで、ランサムウェアという武器の使い手は主として、高度な攻撃を実行する専門的な技術を持ったサイバー犯罪組織でした。しかし、ランサムウェア攻撃サービス（RaaS: Ransomware-as-a-Service）ができて、ランサムウェアの利用状況を一変させました。アマチュアハッカーであっても、攻撃コードや展開メカニズム、さらにはチャットルームやヘルプデスクのサポートなどが予めパッケージ化されたランサムウェア攻撃サービスの利用を、ただ単に地下犯罪組織に申し込めば良いだけになったためです。
このため、事実上誰であっても、どのような目標組織に対してもランサムウェア攻撃を仕掛けることができます。たとえば、REvilのような一部の地下犯罪組織は、大物狙いで有名です。ジャストインタイムの製造業者など、スピードが命の業務を行っている収益力のあるグローバル企業を意図的に標的としています。法外な身代金要求にも即断で応じる可能性が高いと考えるからです。また、身代金をもぎ取ることができる確率を最大化するために、被害者のデータを暗号化する前に盗んで、それを公開するぞと脅す「二重恐喝」手法を用いる連中もいます。
払うべきか、払わざるべきか？
身代金を支払うことには倫理的な問題や、米国連邦法上の新たな法的責任が伴いますが、そうした問題はさておき、このような状況ではどうすればよいのでしょうか。留意しなければならない点は、身代金を支払うことを選択した企業も、データを完全に取り戻したことは、滅多にないということです。身代金を支払った企業が、復号鍵を受け取っていないというわけではありません。詰まるところ、ランサムウェア犯罪組織も、他に犠牲者を見つけて脅し続けるためには、市場で高い信頼感を維持する必要があるからです。ところが、何百台ものコンピュータやファイルシステムに復号化アルゴリズムを適用していくと、それはそれで技術的な障害が起きてしまって、何かと上手く行かなくなる可能性が高くなるのです。
さらに問題なのは、身代金の支払いを選択した企業の多くは、その後すぐに別のランサムウェア攻撃を受けています。そこでFBIもCISA（Cybersecurity & Infrastructure Security Agency）も、身代金を支払わない他のやり方を推奨し、恐喝の要求に屈しないことを求めています。
ランサムウェアの脅威から逃れる法
これまでランサムウェアの脅威を免れていたとすれば、称賛に値します。ですが、シャンパンの栓はまだ抜かないでください。ランサムウェア攻撃は、今年末までは、11秒ごとに1組織の頻度で襲いかかると予測されているのです。もはや、御社がランサムウェア犯罪集団に狙われるかどうかは、「もしかしたら」ではなく「いつか」の問題なのです。また、すでに攻撃を受けたことがある会社は、より凶暴で伝播力の強い変異種に対する免疫がないことは明らかです。だからこそ、改めて問われるわけです。ランサムウェアのまん延の中、貴社には生き残る術が備わっていますか？と。
オフラインでデータを保全したからと言って、もはや十分ではありません。会社として、従業員にセキュリティ意識向上トレーニングを実施し、フィッシング攻撃耐性の評価を行うべきです。また、ランサムウェア攻撃対策の計画を立て、脅威を効果的に抑制し、中断業務を再開し、いざというときに攻撃者と対峙する方法を理解しておきましょう。
また、サイバー保険に加入して認定ランサムウェア交渉人を確保しておくことも良いでしょう。保険会社は、身代金支払いを完全に補填しない場合でも、保険引受前にネットワークシステムのセキュリティ監査を行い、ITインフラの被攻撃耐性を精査します。そうして、攻撃に遭遇した場合の初動は、地元のFBIおよびCISAに報告を上げ、法執行機関との連携を確保することです。（引用ここまで）
どうやら、身代金は払わない基本方針を確認して、やれることをやっておくということのようです。また、法執行機関との連携確保は、改めて重要だと感じました。刑事法の世界の話だということもありますが、いったん追い払ったと思っても、同じ連中だけでなくもっと手強い兵どももやって来る可能性が高い訳ですから。バイキングやマフィアのサイバー版でしょうか。実際に上述のコロニアル・パイプライン事件では、司法当局と連携したことで、支払われた身代金440万ドルの85％が奪回されたとのことでした。
しかし、もう少し考えてみると、パイプラインの会社も身代金の15％はもちろん、事件対応や後始末で相当な出費を強いられているわけです。そうしてみると、「払うべきか、払わざるべきか、それが問題だ」という口上は、もはや空しい見栄なのかもしれません。払う羽目になることを想定して、「どうしたら安く済ませられるか」が実利的な問いであるべきではないでしょうか？
そこで、上記のブログの末尾に触れられていたサイバー保険について、少し深く理解してみることにしましょう。保険は、割が合うのでしょうか？ もう一つ、エッセーを読んでみたいと思います。
サイバー保険は投資価値があるか？
SOURCE: PROPERTY CASUALTY 360
October 27, 2021
Steve Durbin, Chief Executive, ISF
自社にサイバー保険は必要か。ご判断に役立つ5つの質問をご紹介しましょう。
サイバー保険市場は大きく急成長していますが、その理由はさまざまです。企業はますますテクノロジーを活用した事業拡大あるいは合理化を図っていますし、リモートワークも広範囲にわたって採り入れられ、サイバー犯罪による被害は何兆ドルにも上り、加えて、世界的なサイバーセキュリティ法やプライバシー保護義務によって企業の責任が一層問われるようになっています。そうしてサイバー保険市場は、2025年までに200億ドル規模の産業に成長すると予測されているのです。
サイバー保険の価値を正しく測る
サイバー保険の保険料は日に日に高くなっています。2021年の第1四半期だけで、サイバー保険料は平均18％上昇しましたが、請求件数の増加によりサイバー保険会社が薄利になったためです。今こそ、補償額が、想定被害に見合うのか、保険契約者に実質的な価値を提供しているかどうかを評価する時です。以下では、組織がサイバー保険を組み入れておくことが投資として価値があるかどうかを評価するための5つの質問をお示しします。
1. 当社のリスクの影響度はどれほどか？
まず会社として、サイバーリスクの観点から何が問題なのかを十分に認識する必要があります。なぜなら、企業は攻撃対象になり得るものに応じて様々な大きさのリスクを抱えているからです。有名なセキュリティ標準やフレームワークであるISO/IEC 27002、NIST Cybersecurity Framework、あるいはISF Standard of Good Practice for Information Securityなどに照らしてサイバーリスクを評価することは、企業のリスク状況を判断するための良い出発点となります。リスク評価は、会社のサイバー保険要件の骨組みとなるだけでなく、リスク管理の効率性を示す証拠としても有用です。保険会社は、企業がどのようにリスクを測定し、監視し、管理しているかを評価するため、理に適ったセキュリティ状況にある企業は、有利な料率を交渉できる立場にあります。
2. 当社のリスクは付保できるか？
いったん企業が自社のリスク状況を掘り下げて理解してしまえば、サイバー保険契約の要件をより的確に規定することができます。ほとんどのブローカーは、保険契約に含めるものについての助言はできますが、微妙な差異を理解し、保険契約の条件や内容が自社のリスク担保の要件を満たしているかどうかを評価するのは、保険契約者の責任です。保険契約でカバーされない要素は常に存在しますので、企業としては、そうしたリスクを受容する段取りをしておかなければなりません。
3. 適切な補償範囲となっているか？
サイバー保険の価値は主に、サイバーインシデントが発生した際に危険に対する十分な補償が提供されるかどうかにかかっています。詳細なリスク評価を実施した企業は、必要な補償範囲を決定するのに最適な状況にあります。リスクに優先順位をつけて、そのリスクに関連する損失を勘案しさえすれば、会社として適切な補償の種類と金額を選択することができるのです。結局のところ、サイバー保険は既製品の解決策ではなく、ビジネスに合わせてカスタマイズする必要のあるものです。
また、従来の保険ではカバーされていなかった、損害保険、製造物責任保険、役員賠償責任保険、誘拐・身代金賠償責任保険、一般賠償責任保険なども、特定のタイプのサイバー攻撃には関係してきますので、ギャップ分析が必要です。というのも、現在、保険業界は「サイレント・サイバー」（保険契約に明示的に記載されていないサイバーリスク）の根絶に乗り出しており、大半の保険会社はサイバーリスクに関連する請求を一切受け付けないからです。
4. 保険には幾ら掛かるか？
保険は一つの危険負担の移転プロセスという事実を踏まえると、保険会社として妥当な保険料で落ち着かせているため、保険契約の条件交渉に同意する際には、いくつかの要素を考慮します。これらには以下のようなものがあります。
・補償範囲：保険会社が補償する諸費用。
・免責条項：補償範囲から除外される種類の損害。
・保険料：サイバー保険契約の費用。
・補償条件：保険契約が有効であり保険金請求が認められる適格要件。
・超過額または控除額：保険金請求や保険金支払い前に企業が精算すべき金額。
・限度額：特定類型の損害に関して保険会社が支払う上限金額。
・総損害補填限度額：特定期間内に発生した全保険求償額に対して保険会社が支払う総額。
・待機期間：事故や事業の中断が請求可能になるまでの期間または時間。
大切なことは、企業が情報リスク管理に長けていればいるほど、保険条件や価格が有利になるという点です。そうは言っても、保険に対する需要の高まり、サイバー保険金支払いの増加、不安定な地政学的環境など、その他の外部要因も保険料を左右します。
5. メリットはコストを上回るか？
企業としては、リスクをそのまま受け入れて貸借対照表に載せるのか、それとも保険契約を採用（オフバランス化）することにしてサイバー保険に投資するのか、十分に情報を得た上で判断しなければなりません。また、手の届く価格の保険であっても、自社のニーズを完全には満たさない場合もあるため、別のリスク低減方法を模索する必要があるかもしれません。そうであればこそ、保険会社の選択は、IT、法務、またはセキュリティチームが単独で決定すべきではないのです。社内の主な関係者全員、経営陣、法務担当者、保険担当者など皆で保険を精査し、提示条件が見積額に見合うものかどうかを判断しなければなりません。
サイバー保険は、サイバーリスクを処分するというものではなく、共有するものです。企業は保険会社と共生関係を築く必要があり、そうやってセキュリティ対策を強化し、サイバーリスクをより適切に管理するのです。保険会社に、自社のセキュリティ状況をより詳細に理解してもらえるように協力することで、両社は、会社のサイバーリスクを正確に測定しモデル化するために適切な情報を収集できるようになるのです。（引用ここまで）
どうやら、サイバー保険を引き受ける保険会社としても、単に数理モデルでは対処できないサイバー攻撃、わけてもサイバー恐喝については、自らも投資して保険引受能力を磨いている段階にある、ということがわかりました。また、保険の価値や保険の見方について、だいぶんスッキリとした解説を読んだ気がいたします。
そこで落ち着いて考えてみますと、当社が儲かっている限り、あるいは当社が社会に必要とされている限り、さらには当社の操業維持が人々の命に係わることである限り、「サイバー恐喝は何時かやって来る」という状況を念頭にリスクマネジメントを見直す方が良さそうです。
荘子（または列子）に有名な朝三暮四の訓話があって、実質は変わらないのに朝四暮三の餌の配分にしたことで猿が飼主の狙公（そこう）に対する怒りをおさめたとされるわけですが、これをリスクマネジメントの文脈で読み直すと違った味わいがでてくるように思われてなりません。サイバー恐喝に遭遇すれば、トータルで七払わなければならない、と分かったとします。それであれば、事前の対策として保険を含めて四払っておき、残りのリスクを三に減らした上で、このコスト負担を保険会社と分けることにしたとすれば、全必要コストの内、有意な金額を節約できることになりませんでしょうか？ またその上で、保険会社の力を借りて、当社の事前対策がかなり手厚いものになれば、もしかしたら犯罪者集団も躊躇して今期は襲ってこないかもしれません。
私自身は、保険会社と何の利害関係もございませんが、サイバー保険については、しっかりと自社の文脈で理解しておくことが「お得」だと思いましたので、NPOであるISFが、メンバー以外の方々にも最近無料公開したブリーフィングペーパーをご一読されることをお勧めします。スッキリと、かつ丁寧に解説されている良い資料と思います。
なお、ランサムウェア攻撃への対処に関連する資料も、こちらで一部公開されています。特に、短いビデオは、社員啓発に使えるような構成になっていますので、ご覧いただければ幸いです。
小原：hiro.ohara@securityforum.org
