ICTソリューション紹介

-綜合警備保障株式会社-
サイバー攻撃に対する新しい概念 「サイバーレジリエンス」に注目！

ますます高度化・巧妙化するサイバー攻撃に対処するために、攻撃を受けることを前提とした上で、被害を最小限に抑え迅速な事業回復の実現を目指す「サイバーレジリエンス」が注目されています。綜合警備保障株式会社 商品サービス戦略部で、主に中小企業のセキュリティ対策を担当する竹内 祥氏に、「サイバーレジリエンス」の考え方や実践方法についてうかがいました。

　従来の「防御」中心のセキュリティシステムが、高度化したサイバー脅威に十分に対応できなくなった昨今、「サイバーレジリエンス」が注目されています。

　「サイバーレジリエンスは、『サイバー攻撃は避けられない』を前提に成立している考え方で、『発生した被害を最小限に抑え、迅速に回復する組織の能力』を意味します。攻撃を受けた後の対策や復旧に重点が置かれ、サイバーレジリエンス能力を高めることで、企業の耐攻撃力や事業継続力の向上に貢献すると期待されています」（竹内氏）

　サイバーレジリエンス能力を高めるために、竹内氏は四点のセキュリティ対策の実践（図２参照）を提唱しています。第一に「情報資産の洗い出しとリスク評価」の確認です。会社が所有するさまざまな情報資産が、どこにどのような状態で保存されているかを洗い出し、それぞれのリスクを評価した上で、守るべき優先順位をつけ、関係者間で共有します。有事の際に速やかな対応で被害を最小限に抑える、サイバーレジリエンスの第一歩になります。
　そして優先順位の高い情報資産から、「基本的なセキュリティ対策」として技術的対策、組織的対策、物理的対策を施します。技術的対策とはアンチウイルスソフトなどの導入を意味し、既に多くの企業が対策済みと思われます。しかし、アンチウイルスソフトの導入だけでは対策として不十分と言われている中、2022年にランサムウェアに感染した企業の13％はそれすらしていませんでした。次に、組織的対策とは資産情報の保存ルールを作る、意識向上のための研修を実施するなど、有事に対応したルール作りや体制の整備を意味します。パスワードの強度に関するルールを作成して周知・徹底するのも、有効な組織的対策です。三つめの物理的対策例は、ファイルサーバー※2を収納するラックの施錠や、サーバールームの出入り管理の強化などが挙げられます。

　「そして最も重要なポイントが、3・2・1ルールによる『重要なデータのバックアップ』です。このルールは、『少なくとも三つのバックアップを作成する』『二つの別のメディアに保存する』、そして『一つのバックアップをオフラインで保管する』という、データ保存に関する基本的な考えです。さらに定期的なバックアップを行うことで、脅威から情報資産を保護し、短時間での復旧を可能にします。特に外付けのハードディスクなど、オフラインのメディアへの保存は欠かせません。ランサムウェアに感染すると、同じネットワーク上にあるメディアに感染が及び、すべてのバックアップが暗号化されてしまう危険性があるからです。また『インシデント※3対応計画の策定』も必須です。有事の際の対応手順書を必ず準備しましょう。対応チームの責任分担や権限を明確にするほか、顧客などへの連絡手順の設定や業務継続のための代替措置など、有事の際に予想される業務マニュアルも、文書化しておくことでより柔軟な対応に結びつきます」（竹内氏）

　サイバーレジリエンスの有効性は認識されつつも、予算やデジタル人材が限られた中小企業が取り組みに消極的なのも事実です。そこで中小企業がサイバーレジリエンスに取り組むためのヒントを竹内氏にうかがいました。

　「まず、サイバーセキュリティを経営課題として認識し、会社をあげて取り組む体制作りが大切です。経営層の中にはセキュリティ問題をコスト課題として捉え、対策ソフトなどの導入に消極的な例がよく見られます。しかし経営層と現場の距離が近く、会社の意思や決定が大企業と比べて伝わりやすい中小企業は、経営層の意識次第で『サイバーレジリエンス』が効率よく進捗しますので、ぜひ三つの取り組みを検討してください。
　一つ目の取り組みは『アウトソース』の積極活用です。中小企業では、数少ないデジタル人材に企業のICT業務全般が集中する『一人情シス』状況が増えているため、アウトソーシングをはじめ、IT資産管理ツールや、AIを採用し自動復旧機能を持つセキュリティ対策ツールなどの導入が推奨されます。
　二つ目は、危機管理チームを編成し『体制整備と教育・訓練』を進めることです。メンバーの役割分担と権限を社内に周知し、社員の危機管理意識を育成する研修なども行います。こうした積み重ねにより、社員が不審に気づいた際の連絡などがスムーズに行われ、速やかな初期対応が実現します。また万が一のために、取引先や外部ベンダーへの連絡先台帳を制作しておきましょう。
　三つ目はOS、アプリケーションは常に最新の状態に保ち、業務に関係のないソフトはインストールしない、Webも閲覧しない、業務に関係のないメールは会社のアドレスから送らないなど、従来の基本的な『健全なシステム』の維持です。
　この20年で企業のIT環境は大きく変わりましたが、実は攻撃の手口に大きな変化は見られません。ランサムウェアの登場は2014年であり、フィッシングは2005年には確認されています。サイバー攻撃の被害は増加していますが、従来の基本的なセキュリティが多くの攻撃を防いでいるのも事実です。そのため、このような基本的な対策が重要になります」（竹内氏）

　竹内氏の解説の通り、基本的な対策を徹底するだけでもサイバーレジリエンスを強化することは可能です。まずは、この基本的な対策がしっかりできているか、見直すことから始めましょう。