「わが社もサイバー攻撃の標的になる」時代 ビジネス継続のためにすべきこと

サイバー攻撃の被害を受ける企業が増える中、自社がランサムウェアに侵入された場合に備えてITチームは何をすべきか。「サイバーセキュリティ担当者」以外のIT部門のスタッフがビジネスを継続させるためにすべきこととは。

[Matt Ashare，CIO Dive]

　米国マサチューセッツ州ケンブリッジのCIO（最高情報責任者）にランサムウェア攻撃を受けたことがあるかどうかを尋ねると、渋い表情で数人が手を挙げるだろう。

　2023年5月18日、ケンブリッジで開催された「MIT Sloan CIO Symposium」のパネルディスカッションで、セキュリティソフトウェア企業Veeam Softwareのジェフ・ライチャード氏（ソリューションの戦略担当バイスプレジデント）は「しかし、統計は別のことを物語っている」と述べた。

「ビジネス継続」のためにIT部門がすべきこと

　同社が4200人のITリーダーを調査した結果をまとめた2023年1月発行のレポートによると（注1）、こうした攻撃は「よくあること」だ。2022年には、85％の企業が最低1件のランサムウェアのインシデントに見舞われていることが明らかになった。

　「何らかの規制の対象となっている業界の企業は、監査を年に2〜3回受けることに慣れている。しかし、今ここにいる誰もがサイバー犯罪者から毎日“監査”を受けているのだ」とライチャード氏は指摘した。

　企業はランサムウェアに侵入された場合に備え、ITチームは復旧計画を立ててバックアップシステムを展開する準備をすることが必要だ。CIOはあらゆる不測の事態に備えておかなければならない。

　多くの企業では、セキュリティに関する日常的な問題に対処し、より広範な企業戦略を調整するためにCISO（最高情報セキュリティ責任者）を置いているが、サイバーの脅威とそれに伴う影響はCIOの問題である。

　IT運用の危機と同様に、CIOは復旧プロセスを管理し、ビジネスを継続させる方法を見つける準備をしなければならない。

　特に、感染したアプリケーションの中にロックされていないのであれば、報告を怠らず対応計画を立てることが不可欠だ。

　医療データ管理用プラットフォームを提供するAbacus Insightsのビル・ブラウン氏（CISO兼CIO）は「われわれは非常に徹底した対応計画を立てている。しかしインシデントが発生したとき、その計画を『Confluence』（情報共有ツール）から取り出せるだろうか」と述べた。

　ブラウン氏のチームは、重要なデータのバックアップを取ることに加えて「Slack」「Zoom」「Microsoft Teams」を業務用のモバイル端末にインストールするというシンプルな方法で、会社におけるコミュニケーションの不測の事態に対処している。「（全従業員が利用する）250台のエンドポイントデバイスをゼロから作り直すには、準備が必要だ」とブラウン氏は話す。

　ライチャード氏は「計画には、ITの機能を維持するために必要な最小限のIT資産の見積もりや、『攻撃者が管理者用パスワードを全て解読した』というシナリオなどを作成するなどの“極端な事象”への備えを含まれる」と指摘する。

　特に外部の調査員が関与する場合、その影響を予測したりコントロールしたりすることは困難だ。サイバー保険に加入している企業は（注2）、復旧のための手続き上の障害に阻まれることがある。「保険会社は、数時間から数日かけてチームの到着を待つようIT部門に求める可能性もある」（ライチャード氏）

　警察や検察などの法執行機関が関与する場合も、同様の問題が発生する可能性がある。捜査機関にとって、サーバーは証拠保全の対象となる潜在的な手がかりを含んでいる。IT部門によるハードウェアやソフトウェアへのアクセスが制限される可能性がある。

　「データセンターの周囲に（立ち入り禁止を示す）黄色いテープが貼られてアクセスできなくなるような状況を想定できていないのであれば、見立てがまだ甘いのかもしれない」（ライチャード氏）

　「CIOは攻撃の可能性を考えるよりも、万が一の事態に備えるべきだ。目指すべきは、攻撃が起こるかどうかという観点から、影響を抑えるために何ができるかという観点にシフトすることだ」と、サイバーセキュリティ企業Darktraceのジョン・アレン氏（サイバーリスクコンプライアンス担当バイスプレジデント）は述べる。

　CIOはCISOと協力して、パッチサイクルや報告手順、意識向上トレーニングにとどまらず、攻撃を受けた後にITをオンラインに戻すという現実的な問題に取り組むべきだろう。

（注1）Veeam Research Finds IT Leaders Feel Increasingly Unprotected from Cyberattacks and Other Disasters（businesswire）
（注2）Marsh brokerage program lowers threshold for cyber insurance coverage（Cybersecurity Dive）

（初出）Why cyber is also a CIO problem

原文へのリンク