「うちはまだ被害に遭ったことがないから大丈夫」。サイバーリスクに対して一昔前までよく聞かれた言葉だ。新しいIT機器をネットワークに接続してものの数分で、最初のサイバー攻撃を受けてしまう現状。もはやこのような意見も少数派となってきた。 そこで今回は、平時の今こそ取り組める、有事に向けた取り組みについて考えていきたい。
テロと同等
前回の記事では、米国のパイプラインで発生したサイバー攻撃による被害について触れた。犯行グループが「目的は社会への混乱を引き起こすことではなく、あくまでも経済的動機によるものである」という声明を公表した事件だ。実際には米国の経済や生活までにも甚大な影響を及ぼす事件へと発展している。このようなサイバー攻撃による被害は年々増加し続けており、2020年に米連邦捜査局（FBI）へ報告されたサイバー攻撃の被害は791,790件。なんと40秒に1件のペースで被害が報告されている*1。
この一年間を振り返ってみよう。コロナ禍において私たちのIT依存度は高まり、同時に悪意ある者たちにとっても私たちが依存しているITの魅力は高まったと考えて間違いないだろう。企業にひもづくより多くの情報がIT機器に取り込まれ、増加したIT機器はサイバー攻撃のためのエントリーポイントとなることもあり、IT機器を人質にして身代金を要求するランサムウェア攻撃は私たちのIT依存度が高まるのに比例して増加の一途にある。そして、被害企業がサプライチェーンの一部であり、さらには社会の一員である以上、サイバー攻撃による被害は自社だけでなく、社会にも甚大な影響を及ぼすものとなっている。FBIの長官はメディアからの取材で、もはやサイバー空間の脅威は2001年にニューヨークで発生したテロと同等の脅威であるとさえ語っている*2。
時間との戦い
前述した米パイプラインへのサイバー攻撃を受けてバイデン大統領は、サイバーセキュリティーを改善し連邦政府のネットワークを保護するための大統領令へ署名した*3。ここでは多要素認証と暗号化の導入、サプライチェーンセキュリティーの改善といった多くの法規制やガイドラインなどでも近年述べられているような施策についても触れられている。そして、政府と民間部門によって構成されたサイバーセキュリティー安全性審査委員会の設置といった官民の連携についても提案している。また、この中でも私たちが参考にしていきたいのが、「検知・調査・復旧機能の改善とインシデント対応の際の『プレイブック』開発を促す」としていることである。
「プレイブック」と言われても、ご担当の業務や部署によっては聞き慣れない言葉である可能性もある。補足すると、有事の際の対応マニュアルとイメージしていただきたい。そして、なぜこのプレイブックを用意することが私たちの参考になるのかと言うと、多くの場合インシデント対応は時間との戦いとなるからだ。
あらかじめ手順が決められていなければ、とっさの対応を取ることができない。さらに、その対応はIT部門だけでなく、経営層を中心に全社的に対応することとなり、合わせて外部の専門家との連携も生じる。これを短時間にこなしていかなくてはならないからだ。
解決にはならない
有事の際、システムの復旧を求める声はユーザー部門（ここではITを使用するIT部門以外の部署を表す表記とする）だけでなく、顧客や取引先からもあがってくる。業務に大なり小なり影響を与えるわけだし、期間の差こそあれ事業が中断することもある。さらに、現状ではコロナ禍に伴う半導体不足の影響でサーバーの調達が長期化する場合もあり、システムが復旧するまでの期間がより長期に及ぶことも少なからず生じている。
また、ランサムウェアによる被害の場合、その身代金が時間とともに変化することもある。例えば、2日ごとに身代金額が倍増していくといった具合にだ。そのため、身代金を支払うか否かにかかわらず、一刻も早い状況の把握と判断、そして次のアクションが必要となってくる。ちなみに、セキュリティー対策が不十分であったという自覚のある企業担当者ほど、その後ろめたさから身代金の支払いに前向きであるといった声も現場では聞かれる。明確にアンケートを取ったものではないが、たしかに実際の対応をしていく中でもそのように感じられる場面は多い。
ただし、NCSC（英国家サイバーセキュリティセンター）の代表者が6月に国際欧州問題研究所で行った講演では、次のようにコメントしている。
「身代金の支払いはデータを取り戻すことを保証するものではない。また、二度と攻撃されないことを保証するものでもない。実際、支払い意思を示すことで、より興味深い対象となってしまうこともある」*4
身代金の支払いが全てを解決するわけではないことに、注意が必要だ。
また、GDPR（EU一般データ保護規則）が適用される場合であれば、データ侵害が判明してから72時間以内に監督当局への通知が必要となることは、以前の記事も触れた。社内外の連携においても、悪意ある者との対峙（たいじ）においても、法規制への対応としても、時間との戦いが求められる。
少数の重要なこと
どのようにプレイブックをまとめていけば良いのだろうか。既に具体的な施策のベストプラクティスについては、各ガイダンスなどでも語られているので、ここではその初めの一歩について触れたい。
「少数の重要なことに焦点を絞る」
このことは、組織が全てのリスクを特定して軽減していくためにはリソースが限られているという認識に基づくセキュリティーに関する戦略的アプローチとして、CISA（米国土安全保障省サイバーセキュリティー・インフラストラクチャー・セキュリティー庁）事務局長が同庁のウェブサイト*5でも触れている。そして、自社にとってこの「少数の重要なこと」とは何なのかを明確にするために、リスク評価の実施が有効である。
リスク評価に関しては国際標準化機構（ISO）や米国立標準技術研究所（NIST）などからベストプラクティスやフレームワークなども提示されており、また各種評価ツールやコンサルティングなども提供されているため、比較的取り組みやすい。ここでは、基本的な手順について述べることとする。
まず重要な第一歩は自社の資産を特定すること。これはIT資産もそうだし、個人データや知的財産などのデータもそうだ。 GDPRであれば、まずはデータマッピングという方法で自社の保有する個人データを明確にすることが求められている。そんなことは当に把握できていると思われるかもしれないが、案外IT部門が把握していないIT機器が自社のネットワークに接続されていることはあるし、在宅勤務の推進などでそのようなものが増えているのも実情である。
資産の特定ができたら、それらがどれだけ重要なものであるかを把握する。そして、この資産に対する脅威も特定する。それほど重要な資産ではないが、脅威は異常に高いということであれば、所有しないということも選択肢となり得る。
次に、現在行われている対策やコントロールを特定し、必要に応じて追加の対策などについてもここで検討する。場合によっては所有しないという選択肢もあるので、追加の対策については費用対効果を評価しながら検討できれば、なお良い。
これらのリスク評価を行った上で、有事の際の具体的な対応手順をまとめられると、実践的で効率的かつ効果的なプレイブックを準備することが可能だろう。そして実情との乖離（かいり）が生じないよう継続的な見直しを実施していくことが重要である。
有事の際にどこから着手したらよいのか分からず、早々に最初の24時間が経過してしまうことは案外よくある。平時の今こそ、有事の際について今一度考えていきたい。
出典
*1 https://www.ic3.gov/Media/PDF/AnnualReport/2020_IC3Report.pdf
*2 https://www.wsj.com/articles/fbi-director-compares-ransomware-challenge-to-9-11-11622799003
*3 https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/
*4 https://www.ncsc.gov.uk/speech/iiea-cyber-threat
*5 https://www.cisa.gov/blog/2021/06/24/bad-practices
本連載執筆担当：ウイリス・タワーズワトソン Cyber Security Advisor, Corporate Risk and Broking 足立 照嘉
