経営的な視点で、サイバー攻撃の被害を捉える必要

このような状況において、求められるサイバーセキュリティー対策の考え方で重要なのは、事故の発生を防ぐだけでなく、事故の発生を想定した対応の検討です。

現実問題として、サイバー攻撃による侵入や被害を完全には防げないのなら、攻撃を受けたとき、いかに業務への影響、資産への損害を抑えるかを考えるべきでしょう。

例えば、交通事故であれば、けが人の血を止めることが先決であり、次に2次被害を防ぐための安全確保を行います。「事故を起こしてしまった」「起きてしまった」のであれば、次にやるべきことは、「必要な応急処置を行い、被害をこれ以上悪化させない」ことです。

サイバーセキュリティーでも、攻撃を受けた場合の体制、手順を事前に整えておき、被害を最小限にとどめ、通常業務をなるべく早く復旧させる能力（レジリエンス＝回復力）が問われています。

サイバーレジリエンスの強化には、経営層の理解、関与が不可欠です。不正アクセス、情報漏えいといった事故・事件（インシデント）を起こしてしまったとき、回復が早いほど被害額を抑えることができ、有形・無形の資産を守ることができます。

CSIRTからサイバー保険まで、サイバーレジリエンスに求められる多角的な視点

実際のインシデント対応については、企業内CSIRTといった専門チームを設置することが理想です。CSIRTとは、Computer Security Incident Response Teamの略で、セキュリティーインシデントに対応するための組織です。

攻撃情報の収集、ログの分析、感染PCの解析、外部も含めた関係部署・組織との連携、システム復旧、顧客・ステークホルダー対応など、CSIRTのスタッフはもちろん、情報システム部門に限らず、総務や法務、広報など管理部門を含めたプロフェッショナルの力を結集し、対応します。

中小企業では、CSIRT機能を外部に委託することになりますが、大企業の場合はチームの設置を検討すべきでしょう。CSRITのスタッフは、攻撃情報の収集、各機関との連携、システムの監査・モニタリングだけでなく、従業員の指導・教育などを担当するため、組織全体のセキュリティーを底上げすることにもつながります。

攻撃の予測は非常に難しいですが、標的型攻撃やフィッシングサイト、DDoS攻撃の情報、アノニマスの攻撃予告、トラフィックモニタリングといった情報は、IPA、JPCERT/CC、警察庁といった公共機関の発表はもちろん、セキュリティベンダーなどから得ることができます。

脆弱性情報については、国際的なフレームワークがあり、一定のルールでアドバイザリーやアナウンスが行われています。大手ソフトウェアベンダーやオープンソースコミュニティーもセキュリティーパッチや注意喚起を適宜行っています。

CSIRTなどの体制を整備できていれば、攻撃の予測、少なくとも備えておくことは不可能ではありません。さらに、近年では機械学習やディープラーニングを利用した攻撃の予兆や不正アクセスを検知するソリューションも存在します。

組織内部の機密情報を狙う標的型攻撃などでは、侵入に気が付かれないよう、攻撃者も慎重に行動します。わずかな兆候を膨大なログから探し出すことは、手間がかかり、困難な作業ですが、AIなどを用いて通常と異なる動きを検出するソリューションも登場しています。

また外部からの防御ばかりだけでなく、バックアップやシステムの冗長化は、インシデント発生後の回復力に大きく貢献します。仮に社内のデータがランサムウェアによって破壊された場合も、バックアップがあればデータを早期に復元できるでしょう。

金銭的被害には、サイバーセキュリティー保険（サイバー保険）も活用できます。サイバー保険は、サイバー攻撃で生じた事故に起因する金銭的な損害を補償するものです。契約にもよりますが、第三者に与えた損害への賠償金や訴訟費用はもちろん、事故調査費用や再作成費用などを補償する商品もあります。サイバー保険を活用することで、キャッシュフローへの影響を極力抑え、大きく膨らむおそれがある賠償費用にも備えることができるなど、経営悪化を防ぐことができます。

巧妙化するサイバー攻撃への「守り」をいくら強化してもリスクはゼロになりません。とはいえ被害の発生を想定し、復旧という視点から対策を講じておくサイバーレジリエンスだけでも被害は防げません。どちらか一方を強化すればよいというものではなく、防御力と回復力のバランスこそが重要となります。

政府が推進する「サイバーセキュリティ経営ガイドライン」では、「サイバーレジリエンス」という単語こそ出てこないものの、事故に備えた対策を求めています。サイバー時代の経営者には、事故が発生するリスクを正しく把握し、その上での経営判断が求められているといっても過言ではないでしょう。

図2：多角的な視点でセキュリティーインシデントに備える

【 制作／コンテンツブレイン 】

2017/9/8