新社長就任の翌日にランサム被害 事例で学ぶインシデント対応の成功パターン：ITmedia Security Week 2023冬 イベントレポート（1/2 ページ）

ランサムウェア攻撃は「いつか自社にも必ず訪れる」という意識で対策を講じる必要がある。万が一被害が発生した場合、どう動けばいいのか。詳細な被害事例からリスクコミュニケーションの成功パターンを紹介する。

[宮田健，ITmedia]

　2023年12月1日、アイティメディアが主催するセミナー「ITmedia Security Week 2023 冬」における「ランサムウェア対策のためのレジリエンス」ゾーンで、情報処理推進機構（以下、IPA）の青山友美氏（産業サイバーセキュリティセンター　専門委員）による講演「ランサムウェア対応時のリスクコミュニケーションと机上演習を利用したインシデントへの備え」が行われた。

　これまで産業分野におけるセキュリティを研究し、技術だけでなくリスクマネジメントや事業継続計画（BCP）、組織行動論からサイバーセキュリティを考えてきた青山氏が“机上演習”の重要性を語るセッションだ。その様子をレポートする。

本稿は、アイティメディア主催イベント「ITmedia Security Week 2023 冬（2023年11〜12月実施）における青山氏の講演を編集部で再構成した。

ノルスク・ハイドロはいかにして“世論を味方”に付けたのか？

　青山氏ははじめに、ノルウェーに本社を置くアルミニウム生産企業ノルスク・ハイドロにおけるランサムウェア被害事例を紹介した。侵害のタイムラインを詳細に見つつ、同社の“対外向けリスクコミュニケーション”がいかに優れていたかを解説しよう。

　ノルスク・ハイドロは2019年3月にランサムウェアの被害に遭った。このインシデントによってノルウェー国内だけでなく、世界40カ国の製造拠点で製造が止まった。

　対外向けのリリースおよび青山氏が同社の広報とコミュニケーションを取って得た情報を基に作成したタイムラインは以下の通りだ。これによると早朝にランサムウェア被害が確認された。これによってイントラネットが停止し、OTとの接続用のシステムや電子メールシステム、社内用のコミュニケーションツール、対外向けWebサイトなどに影響が出た。

ノルスク・ハイドロにおけるランサムウェア被害のタイムライン（出典：青山氏の講演資料）

　ノルスク・ハイドロの現場は、ランサムウェア被害発覚後すぐに経営層に連絡した。折しも当日は、新社長が就任した翌日だったが、すぐに対策本部が設立された。

　青山氏によると、ノルスク・ハイドロは、インシデントの発生によってオペレーションやサプライチェーンにも影響が発生すると分かったタイミングで、まず「情報ハブ」を設置し、自社で管理する公式の「X」（当時は「Twitter」）アカウントと「facebook」アカウントで現状を報告するところから始めたという。

　このチャネルを通じて、Webサイトでのお知らせだけでなく、各拠点の生産状況やインシデント対応状況を毎日アップデートして伝えた。

　インシデント対応は約1カ月に及んだが、その間もTwitterやFacebook、「YouTube」を通じて現場の対応やIT部門の状況、オペレーションの様子が公開され続けた。青山氏はこのインシデントについて「現状を詳細に発信していたのが印象的だった」と話す。

　青山氏によると、同社の広報担当者はインタビューで「分からないことはたくさんあるが、発表を遅らせれば遅らせるほど、他のメディアやアンオフィシャルなチャネルから出る情報を基に"うわさ"が拡散されてしまう。その前にオフィシャルな情報を、本社から出すことを意識していた」と答えていたという。

　同社はこの他、インシデント対応の長期化に伴い、復旧オペレーションに当たる人員が休暇予定をキャンセルして対応したり、労働超過による疲労が蓄積したりすることで現場の士気に影響が出ることを懸念した。

　広報活動として、現場の従業員を全社を挙げて応援し、モチベーションを高めて"一丸となる"ことを強調したという。具体的にはYouTubeやSNSを活用して現場の様子を伝えることで、「サプライヤーや顧客がノルスク・ハイドロを応援したくなる」ようにした。

　状況が落ち着き始めると、広報は信頼するメディアを通じてインタビューや記事の発信などを増やし、インシデントを学びにつなげるために、経験を外部に積極的に共有した。

ノルスク・ハイドロにおける危機広報戦略の4つのフェーズ（出典：青山氏の講演資料）

　青山氏は4つのフェーズについて「社内外に高頻度で対応状況を発信することで透明性を確保する狙いがあった」と指摘する。

　「この取り組みが成功した要因には、ノルスク・ハイドロとしてどう発信するかを対応本部やセキュリティ担当者ではなく、危機広報が担った点にある。危機広報部隊は対応本部やセキュリティ担当と密に連携し、プロアクティブにコミュニケーションをとった。さらに、この根底には透明性を尊重する組織文化、つまり『社風』が大きく関係している」（青山氏）

ノルスク・ハイドロの機器対応におけるサクセスファクター（出典：青山氏の講演資料）