これからのサイバー攻撃対策は、侵入されることを前提に考える

サイバー攻撃への対策といえば、従来は“侵入を防ぐ”、“攻撃を受けない”ことを目的とした「境界防御」が主流でした。この境界防御の重要性は現在も変わりませんが、最近は「サイバーレジリエンス」という、攻撃の被害を最小限に抑える考え方も生まれています。

サイバーレジリエンスとは、サイバー攻撃を受けることを前提に、被害を最小限に抑え、早期の情報システム復旧や業務再開をめざす対策のことです。NIST（米国立標準技術研究所）はサイバーレジリエンスについて「サイバーリソースを含むシステムに対する悪条件・ストレス・攻撃、または侵害を予測し、それに耐え、そこから回復・適応する能力」と定義しています。

サイバーレジリエンスが重視されるようになった背景には、攻撃手口の巧妙化やクラウド利用の拡大、外部との接続の増加により、サイバー攻撃を完全に防ぐのが難しくなったことがあります。

その一方で、現在の企業活動は情報システムやネットワークに多くを依存しているため、ひとたびサイバー攻撃の被害に遭ってしまうと、個々の取引や顧客対応、社内の意思決定、現場のオペレーションなどがすべて止まってしまう恐れがあります。

こうした背景から、サイバー攻撃によってウイルスの侵入を許してしまうような最悪の事態を想定し、対策をあらかじめ講じることで、その影響を最小限に留めようとするのが、サイバーレジリエンスというわけです。

なぜ侵入後の対応がビジネスの命運を分けるのか

このようにサイバーレジリエンスは、サイバー攻撃対策であるにもかかわらず、攻撃者の侵入を想定するという、一見すると矛盾をはらんだ対策となります。しかし、すべてのサイバー攻撃を、境界防御によって防ぐのは、簡単なことではありません。

近年、企業が大きな被害を受けるサイバー攻撃の1つに、ランサムウェアがあります。ランサムウェアは、「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語で、感染したパソコンに保存されているデータを暗号化し、元の状態に戻すことと引き換えに金銭を要求します。仮に金銭を支払ったとしても、データを復元できないことも多くあります。

過去の事例では、ランサムウェアは主にVPN機器やリモートデスクトップなど、テレワークに利用される機器から侵入しています。それらの機器の未修正のぜい弱性やパスワードの漏えいなどを悪用され、侵入を許すケースが多く見られます。

社内ネットワーク上のパソコンなどがランサムウェアに感染すると、感染が他の機器へさらに広がります。ランサムウェアは感染をできるだけ多くの機器に広げてから、機器にあるデータを一斉に暗号化します。そのため、企業が感染に気付いた時には既に社内の多くのデータにアクセスできなくなっており、大きな混乱が生じます。

こうした事態に陥らないためには、社内ネットワークへの侵入を防ぐことが一番ですが、前述した通り、それが難しい状況になっています。そのため、侵入を許した場合でも仮に侵入を許したとしても、異変をいち早く察知し、感染した機器をネットワークから切断して感染の拡大を防ぐという、サイバーレジリエンスの考え方で対処することが重要になります。

サイバーレジリエンス実践：まずは「止めてはいけない業務」を特定する

サイバーレジリエンスの対策を取り入れるためには、情報システム部門だけでは難しく、全社での取り組みが不可欠です。場合によっては、ビジネスパートナーや委託先との調整が必要になることもあります。そのためIPA（情報処理推進機構）は、「経営者は、サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であると認識して、自ら対策を進めることが必要」としています。

具体的な取り組みの第一歩としては、「止めてはいけない業務」を特定することから始めます。

サイバー攻撃の被害に遭ったすべてのシステムを、同じ優先度で復旧しようとすると、業務であまり使わないシステムは復旧できたものの、業務に不可欠なシステムはなかなか復旧できず、結果的にビジネス全体が回らなくなってしまいます。社内システムの自社業務への影響をあらかじめランク付けしておき、有事の際には影響の大きいものから順に復旧することが求められます。

重要なデータのバックアップを用意することも、サイバーレジリエンスの重要な対策のひとつです。そのデータを使ってシステム復旧が本当にできるのか、データの保存頻度や保存場所、復旧手順、復旧にかかる時間なども確認しておくべきでしょう。

ランサムウェアによる攻撃の中には、バックアップしたデータも暗号化してしまうものがあり、その場合は復旧が極めて困難になります。こうした事態を避けるためには、業務システムと同時に被害を受けにくい保管場所を選ぶといったことが必要です。

ほかにも、主要回線や社内ネットワークが使えない場合に備えて、代替回線やモバイル通信で最低限の業務を継続できるか、社内チャットやメールが使えない場合の連絡手段も検討すべきでしょう。

システムの復旧は技術部門だけでは完結できません。全社的な協力を仰ぎ、復旧の訓練を定期的に実施しておくことで、緊急時に誰が復旧を判断するのか、顧客や取引先に誰がどう説明するのか、社内外への情報共有をどう進めるのかをあらかじめ決めておき、訓練の対象にすべきでしょう。

自社だけでは守れない。定期的な見直しも必要

ここまでは自社内での対策について取り上げてきましたが、実際にはサプライチェーンや委託先がサイバー攻撃を受けた場合も、被害が自社に及ぶ可能性があります。業務上の関係が深い企業も含めて、システムの依存関係や被害にあった場合の影響範囲を検証し、有事の対処法を考える必要があります。

サイバーレジリエンスについての取り組みは、一度体制を作って終わりではありません。業務プロセスの見直しや新しいクラウドサービスの導入といった社内環境の変化に合わせて、定期的に見直す必要があります。

サイバー攻撃を完全に防ぐことは難しいものの、あらかじめ準備をしておくことで、業務停止の時間や影響範囲を最小限に抑えることは可能です。サイバーレジリエンスを実践することは、自社の事業継続能力を高めるだけでなく、顧客や取引先からの信頼向上にもつながります。まだ対策が十分でない企業は、サイバー攻撃によって大きな被害を受ける前に、サイバーレジリエンスの観点から対策の見直しを進めるべきでしょう。

関連サービス

資料ダウンロード

関連するコラム