サイバーセキュリティは最近まで、攻撃の防止に重点を置いてきました。しかし、防止策に過度に依存している企業は、防御が突破された後に何をすべきかも計画していなければ、不意を突かれる恐れがあります。
「ほとんどの企業にはインシデント対応計画がなく、適切なパートナーもいません。危機が起きるとパニックになり、被害はさらに大きくなります」と、Kudelski Group SAのサイバーセキュリティ部門であるKudelski Securityのシニアバイスプレジデント、Christophe Nicolas氏は言います。
「多くの組織は、情報漏えいは避けられないと認識していません」と、サイバーセキュリティ企業FireEye Inc.の一部門であるMandiantのマネージングディレクター、Charles Carmakal氏は言います。「企業は毎回、セキュリティを正しく機能させなければなりません。一方、攻撃者は一度うまくやればよいのです。
「ハッキングされたからといって、必ずしも警戒を怠っていたとは限りません。実際、世界で最も安全な組織の一部も、脅威アクターが知的財産を盗むために多大な時間とリソースを費やす覚悟でいるため、何度も攻撃を受け、侵入されています。成熟したセキュリティ能力を持つ企業は、攻撃から学び、防御を改善します」とCarmakal氏は言います。
敗北主義者なのではなく現実主義者として、防御がどれほど優れていても侵害されると認めることが大切です。では、実際に侵害が起きたとき、何をすべきでしょうか。
状況を評価する
Zurich Insurance GroupのE-Solutions担当バイスプレジデント、Larry Collins氏は、企業は次のように問う必要があると言います。「相手はどこまで侵入したのか。何を入手したのか。『相手』とは誰なのか。どうすれば復旧できるのか。誰に知らせる必要があるのか。盗まれた知的財産に代わる事業計画として何が必要か。どのような責任を負うのか。」
何のデータが閲覧可能な状態にさらされたのか、何のデータが盗まれたのかを、常に確実に判断できるとは限らない点も重要です。「侵入者が特定のデータにアクセスできたとしても、それは攻撃者がそのデータを見た、あるいは環境からコピーしたと分かっていることとは同じではありません」とCarmakal氏は言います。
迅速に行動する
侵入者が何か月もシステム内に潜んでいた可能性がある一方、侵害が発覚してから対応できる時間はわずか数時間です。顧客が請求書の誤り、クレジットカードへの不正請求、または身元情報の盗難の証拠に気づいたことをきっかけに、侵害が明るみに出ることが多いためです。怪しいアクターを監視している法執行機関は、その多くがさらに別の被害者のITシステムを使って活動しており、侵害を知らせてくれることがあります。知的財産の窃盗事件は秘密にされる場合がありますが、従業員や顧客のデータが盗まれた事実を隠し通すのは困難です。
「誰かによって侵害が公表されると想定しなければなりません」と、KudelskiのNicolas氏は言います。「今では、誰かに公表されるより、自ら侵害を公表するほうがよいと考えています。」
Nicolas氏は「8の法則」を挙げます。「何を言うかを決めるのに8分、何をするかを決めるのに8時間、そして8日後には、対応の良し悪しが評価されます。」
徹底する
ハッカーは、ネットワークにアクセスする手段を複数設置する点で用心深いと、General Dynamics Fidelis Cybersecurity Solutionsのチーフ・サイバーサービス・ストラテジスト、Jim Jaeger氏は言います。「バックドアを4つか5つ見つけて対処し、侵害を食い止めてマルウェアの多くを除去しても、彼らには再侵入する手段が残っています」と同氏は言います。「調査中は動きを止め、1、2か月後に戻ってきます。何度も繰り返すことさえあります。」
そのため、攻撃者が使ったすべてのバックドアやその他のツールを、同時に見つけて根絶する必要があります。「順番に対応し、欧州、次にアジア、次に北米に重点を置いたり、ネットワーク全体ではなく一部のシステムだけに取り組んだりすると、まだ根絶していないデータセンターやシステムの一つから再侵入され、たった今きれいにした領域まで感染します」とJaeger氏は言います。「ある大手多国籍企業では、根絶段階の計画と、世界各地のリソースを調整して作業を同時に実施するのに、ほぼ2か月かかりました。」
マルウェアを隔離、調査、根絶するために時間を費やす代わりに、より迅速な「消去して再構築」手順を実践する企業もあります。デバイス上でマルウェアの証拠が検出されると、すぐに消去します。すべてのディスクを消去して再フォーマットし、標準構成に従って再構築したうえで、バックアップからデータを復元します。
事前に計画する
「問題があると分かる前の今が、その時です」とCollins氏は言います。「今のうちに準備しておけば、午前2時に緊急電話をかけなければならないとき、すでに助けてくれると分かっている相手がいます。」
優れた計画には、社内と社外の要素が含まれます。
—フォレンジック。 侵害への対処は、ほとんどのIT部門にとって手に余る仕事です。そのため、外部のサイバーフォレンジック専門家と顧問契約を結んでおくべきです。危機の最中に専門家を探し回るのは避けたいものです。
「社内のIT担当者はフォレンジック企業を知っているでしょうが、名前を教えてもらうにはおそらく強く求める必要があります」とCollins氏は言います。「ITには仕事への誇りが強くあります。自分たちのシステムは決してハッキングされないと思いたがるのです。状況は常に変化する標的だと理解しなければなりません。事前に候補をそろえ、推薦を3社出してほしいと伝えましょう。そして、シニアチームの誰かが、顧問契約でこうしたサービスを確保するために小切手を切る覚悟を持つ必要があります。費用はかかります。」
地元および連邦の法執行機関との関係も重要です。
—法律顧問。 侵害が起きた場合、「その結果、何らかの法的措置が取られる可能性は高いです」とJaeger氏は言います。「サイバー犯罪では、クレジットカード会社、州司法長官、そしてあらゆる規制当局から訴えられるのは、被害者であることがあまりにも多いのです。したがって、インシデント対応［フォレンジック］企業との契約は、外部のサイバー法務事務所を通じて行い、その企業との連絡が弁護士・依頼者間の秘匿特権で保護されるようにすべきです。」
欧州連合の各国にはそれぞれ独自のデータプライバシー当局があり、アジアとラテンアメリカでは法律が国ごとに異なります。米国では46州にデータプライバシー法があります。「報告に関する要件は、それぞれ異なる可能性があります」とCollins氏は言います。こうした複雑な当局の網に直面するなか、「通常は、誰に通知しなければならないかを知る外部の法律顧問が必要です。」
侵害されたデータの種類によっては、規制当局、顧客、ビジネスパートナー、クレジットカード会社、または決済処理業者への通知が必要になる場合があると、Carmakal氏は言います。
—保険。 「サイバー保険に加入すると、自分のデータの価値を認識するようになります」と、シンクタンクRAND Corp.の研究者、Lillian Ablon氏は言います。「しかし、データに高い価値を置くほど、支払う保険料も高くなります。」
リスク評価は非常に重要だと、リスク・セキュリティ企業Kroll Inc.のシニアマネージングディレクター、Alan Brill氏は言います。「自社の管理策ですでに対処しているリスク、保険に移転したいリスク、現実的には対処が難しく受け入れざるを得ないリスクを見極めなければなりません。」
—バックアップ。 「侵害を知るまでに長い時間がかかるため、フォレンジック証拠がすでに利用できなくなっていることがあります」とCarmakal氏は言います。「ログが上書きされている可能性もあります。一定の基準では、ログを少なくとも1年間保存することが求められます。侵害の始まりまでさかのぼるセキュリティログがあれば、より迅速で包括的な調査が可能になります。」
関連するログには、ファイアウォール、ドメインネームシステム（DNS）、動的ホスト構成プロトコル（DHCP）、Webサーバー、およびセキュリティイベントに関するものがあります。
—模擬演習。 「通常、チームが初めて集まるのは、最初の侵害が起きた後です」とCollins氏は言います。「驚かずに済むよう、また縄張り争いが起きないよう、事前に予行演習をしてください。あらかじめ調整しておきましょう。全員が実際に顔を合わせたか確認してください。フォレンジック担当者とは、もう会いましたか。」
インシデント対応計画は、ITやネットワークセキュリティの担当者だけに焦点を当てていることがあまりにも多いと、Jaeger氏は言います。チームには、会社の事業運営、メディア対応、法務顧問の各機能の代表者も含める必要があります。
社内チームだけでなく、法執行機関を含む社外のサイバーセキュリティパートナーについても、通常の連絡先情報を安全なオフラインの場所にまとめ、異動や転勤に合わせて更新し続ける必要があります。
「データを失ったことを100万人に知らせるコールセンターを手配する」といったことや、「声明を求めて電話してきた記者に何を伝えるか」といったことなど、あらゆる面を事前に詰めておきましょう、とCollins氏は言います。
こうした「模擬演習」は、計画や人員の不足を特定し、実際の危機が起きた際にチームメンバーがより自信を持って効果的に動けるようにします。「模擬演習を通じて、感情やコミュニケーションを管理し、適切なタイミングで正しい行動を取ることを学べます」とNicolas氏は言います。「結局のところ、従来型の危機管理です。」
攻撃者は、活動を継続できる態勢を整えようとします。「一つが機能しなくなっても、活動できる拠点を複数持っています。横方向に移動したり、システムにバックドアを作ったりして、活動拠点を増やそうとします」と、RAND Corp.のAblon氏は言います。
企業が攻撃者から学ぶべき教訓です。「事業への影響を最小限に抑えながら、侵害を受けた状態でどう事業を続けるのか。評判の失墜にどう対処するのか。問題はネットワーク上で業務を続けることだけではありません」と同氏は言います。「レジリエンスが極めて重要です。」
以下と共同で掲載： Zurich Knowledge Hub
著者：Catherine BolgarはZurichのゲスト寄稿者です。
画像：2013年6月24日、ワルシャワのオフィスでノートパソコンを持つ男性に二進コードを投影したイラスト写真。REUTERS/Kacper Pempel。