停止できない業務に“回復力”を　セキュリティ対策「サイバーレジリエンス」とは　金融業界を例に解説

公開 2023年03月24日 07時32分

更新 2023年04月10日 10時19分

[ITmedia]

印刷する

　企業を取り巻くITの状況が激変し、サイバー攻撃の手段が多様化・巧妙化する現在、「守る」だけのセキュリティ対策でインシデントを100％避けることはほぼ不可能だ。しかし万が一の事態になった際、ビジネスを停止させるわけにはいかない。

　そこで「サイバーレジリエンス」という考え方に注目が集まっている。レジリエンスとは「回復力」を意味する。サイバー脅威の侵入を前提にし、被害を最小限にとどめて早期にシステムを復旧させることに焦点を当てたものだ。具体的には、サイバーセキュリティ対策を数段階に分割して「異常の検知」「攻撃の防御」「インシデントからの復旧」という一連の対応を素早く行うことでビジネスへの影響を抑える。

　このサイバーレジリエンスの導入を早くから推奨したのが金融業界だった。G20諸国の金融当局を中心にしたバーゼル銀行監督委員会が、銀行の業務継続に関する7原則を2021年に公表。「混乱があっても重要な業務を遂行できる銀行の能力」として、サイバー攻撃や自然災害の発生時におけるリスク管理や業務継続、IT環境のセキュリティ対応など7領域について原則を示した（※）。

※バーゼル銀行監督委員会の「オペレーショナル・レジリエンスのための諸原則」（21年3月）で示された

　国内でも、金融庁がサイバーレジリエンスの必要性を訴えている。重要インフラが多い金融機関の対策はさまざまな企業で参考になるだろう。今回は金融庁への取材を基に、サイバーレジリエンスについて紹介する。

特集：「破られたら終わり」にならないために　回復する力「サイバーレジリエンス」の可能性

情報セキュリティにおいては、サイバー攻撃を受けないための対策をはじめ「守りを固める」ことが重要だ。しかし、全ての攻撃を完璧にシャットアウトするのは難しい。被害を抑えるには、万が一破られたときの対処と復帰も考えなければならない。本特集では、そんな「回復力」に着目した「サイバーレジリエンス」の基礎と事例について解説する。

停止できないIT環境　レジリエンスが重要なワケ

　銀行や証券、保険といった金融業界は社会インフラに等しく、ミッションクリティカルなITシステムが多いため一般企業に比べてサイバーセキュリティ対策が進んでいる。しかしサイバー攻撃やインシデントの増加は金融業界も例外ではなく、大規模な被害こそ発生していないものの対策の強化が求められている。

　さらに世間的な潮流と同じく、金融業界でもクラウドサービスの浸透やフィンテック企業の参入、金融サービス間の連携が進むなどIT環境が変化した。サービス利用者の利便性や経営の効率化が進むといったメリットがある反面、サイバー攻撃の起点が増えたりサプライチェーン上のリスクにも警戒する必要があったりと、サイバーセキュリティを巡る状況は楽観視できないのが現状だ。

　そうした中で、金融庁は22年に「金融分野におけるサイバーセキュリティ強化に向けた取組方針」を改訂。外部環境の変化によって生まれたリスクへの対応として、サイバーレジリエンスの必要性を明記した。万が一の事態に遭遇しても、業務や顧客への影響を最小限に抑えることが狙いだ。

金融機関においては、未然防止の施策に加え、インシデントによって業務が中断した場合も、業務や顧客への影響を許容水準内に収めるよう、訓練・テスト等を通じて、業務やサービスの強靭性・頑健性・冗長性を高めることが一層求められている。このため、金融庁では、インシデント発生時におけるサイバーレジリエンスの強化に向けた取組みを金融機関に促していく。
――金融分野におけるサイバーセキュリティ強化に向けた取組方針（Ver. 3.0）より

　金融業界ではまだまだ境界型防御に依存しているケースが多いため、金融庁は「その対策が本当に適切なのか」を改めて確認してほしいと呼びかける。そこで検討のテーブルに挙がるのがサイバーレジリエンスというわけだ。

非金融業界にも有効　サイバーレジリエンスの取り組み方

　では、サイバーレジリエンスにどう取り組めばいいのか。重要なのは「検知」「対応」「復旧」の3段階を適切に運用することにある。まずサイバー攻撃や不正アクセス、ランサムウェアへの感染といった異常を素早く検知する体制を作る。そのためには、自社が保有するIT資産や従業員が使うデバイスなどのエンドポイントを可視化するなど状況を把握・管理する、ITシステムのリスク評価を常日頃から行なうなどが必要だ。

　異常を検知した後、早期に対応すれば被害の拡大を抑えられる。もし被害に遭っても、一部ネットワークを遮断する、マルウェアに感染したデバイスを隔離するなどの対応を迅速に取ることが大切だ。そうしたインシデント対応を担う専門チーム「CSIRT」（Computer Security Incident Response Team）を活用する企業も多い。

　そして被害からの復旧を進めるのがサイバーレジリエンスの肝だ。復旧するシステムや業務の優先度を決める、バックアップ環境に移行する、どの時点まで戻すかあらかじめ決めるといった対策で、影響を可能な限り小さくする。

　こうした対策は金融業界ではもちろんのこと、非金融業界の企業でも有効だと金融庁は見ている。