門前のサイバー人材：攻撃を受ける企業
信頼するアドバイザーからのメールを読む、あるいは返信するといった単純なことでも、企業にとって相手が味方か敵かを見極めるのはますます難しくなっています。サイバーセキュリティ企業FireEyeがこの12月に明らかにしたある事件では、ハッカー集団が米国の少なくとも100社に侵入し、世界の金融市場に影響を及ぼす可能性があると報じられた機密データを収集しました。
FireEyeによると、同社がFin4と名付けたこの集団は、少なくとも2013年半ばから活動しており、主に製薬・医療業界の企業と、これらの分野の企業に助言する関係者を標的にしてきました。被害を受けた企業のうち3社を除くすべてが、NASDAQまたはニューヨーク証券取引所に上場しています。
信頼関係を利用した脆弱性
一見信頼できる送信元から届いたメールを主に利用し、投資銀行業界の言い回しで作成されるFin4の攻撃は、企業がいかに脆弱であり、サイバー犯罪者がいかに執拗であるかを浮き彫りにしています。
「オンライン上にあるものは、すべて攻撃を受けています」と、モバイル向けスパイウェア対策企業SnoopWallのCEOであり、ノリッジ大学のテロ対策・サイバー犯罪研究センターの諮問委員会メンバーでもあるGary S. Miliefsky氏は言います。「重要な情報は、いずれ盗まれます。企業は積極的な防御策を強化し、ミッションクリティカルな情報を保護するためのベストプラクティスを従業員がよりよく理解できるよう、研修を始める必要があります。」
Fin4は製薬業界とその関連ベンダーを標的にしましたが、サイバー犯罪の被害を免れる企業はありません。
「サイバー賠償責任を、リスク管理の一要素としてだけ捉えることはできません」と、Zurich Insurance Groupのスペシャルティライン担当グローバル責任者、Lori Bailey氏は言います。「組織内のあらゆる側面や業務に組み込む必要があります。」
事業を営むなら、リスクにさらされている
金融機関、小売、医療、ホスピタリティの各業界は、大規模な情報漏えい事件で大きな標的となることが少なくありません。「しかし、どの業界についても全体的なリスクを見れば、いずれもテクノロジーを介して相互につながっています。製造業、公益事業、農業、通信業など、どの分野に属しているかは関係ありません。あらゆる業界がサイバー賠償責任のリスクにさらされています」とBailey氏は言います。
たとえばサイバー関連リスクが評判に損害を与える可能性についての認識は高まっていますが、サイバー賠償責任やデータセキュリティをめぐる運用上のリスク全般は、把握するのがより難しいことがあります。
「数年前と比べて、多くの企業がサイバー事象に起因する評判上のリスクを認識するようになりました」とBailey氏は言います。「しかし、企業には侵害がいつ、どこで起きるのか、また評判への損害がどの程度になるのかが分からないため、備えておく必要があります。」
企業にとって、規制遵守の管理も困難な場合があります。米国だけでも、データ侵害の通知を義務付ける法律がある州は47州に上り、どの州の法律もまったく同じではありません。ほとんどの国にも、何らかのデータ保護法があります。十分なリソースを持たない中小企業にとって、これは現代においてグローバル事業を営むために必要な、包括的なリスク管理戦略の確立を妨げる大きな障壁となる可能性があります。
結果の良し悪しは計画次第
天才とは99パーセントの努力と1パーセントのひらめきである、と言われています。サイバーリスク管理にも、この格言が少し当てはまります。ZurichのBailey氏によると、企業がサイバー侵害にどれほどうまく対応できるかは、多くの場合、事前にどれほど準備していたかを反映します。
社内業務慣行の不備は、サイバー侵入者にとって依然として主要な「侵入口」です。そのため、従業員の教育と意識向上、とりわけ価値ある情報にアクセスできるリスクの高い人々への対応が不可欠です。Bailey氏は、まず社内のリスク管理手順を徹底的に見直し、業務全体のあらゆる側面について潜在的な侵害の可能性を調べることを企業に勧めています。このプロセスでは、データ管理から整理整頓された机を保つ方針まで、すべてを検討します。「外部データや事業中断のリスクがどこにあるかについて、取締役会レベルで複数の評価を行うことも含まれるでしょう」と同氏は言います。「次の段階は、サイバーリスク軽減ツールの活用や保険の調達を通じて、そうしたリスクにどう対処できるかを判断することです。」
Marsh Risk Management Researchの報告書によると、サイバー賠償責任保険の需要は2013年に、2012年と比べて全業界で21パーセント増加しました。この種の保険は従来、顧客、患者、または企業に関する情報を大量に扱い、政府の監督水準も高い業界でより普及していましたが、関心は広がりつつあります。
理想的には、侵害が発生した際、企業は事業継続計画と災害復旧計画を発動して対応します。フォレンジック、広報、危機管理、法務の専門家チームを招集し、侵害の内容、場所、手口を特定するとともに、壊滅的な評判への損害を軽減し、顧客やその他の関係者への必要な通知に対応します。
専門家をすぐに招集できる体制
しかし、ほとんどの企業では、そうした専門性を持つ人材が隣の席にいるわけではありません。「グローバルな保険会社と協力する利点の一つは、あらゆる業界分野のベンダーと既存の関係を築いている場合が多いことです」とBailey氏は言います。「危機の最中にこうした関係を築こうとするのは避けたいものです。一刻を争うときに経験豊富なチームをすぐに集められれば、対応に安心感をもたらし、できるだけ早く損害を軽減する助けになります。」
グローバルな保険パートナーは、規制遵守の複雑さへの対応も支援できます。「保険契約によって、規制遵守を支援する専門家チームを利用できる場合があります」とBailey氏は言います。「たとえば中堅企業には、契約上の義務を判断するリソースがないかもしれません。そうしたときに専門家チームが力になります。」
サイバーセキュリティとリスク管理の専門家は、ほぼすべての企業がいずれサイバー攻撃の標的になると見ていますが、事前に積極的な対策を講じることが最善であるという点でも一致しています。
「企業は防御の観点だけでなく、攻勢の観点からも備える必要があります」と、サイバーセキュリティ企業Taniumの最高戦略責任者、Chad Fulgham氏は言います。「すでに標的であり、すでに侵害を受けているという前提に立つべきです。この考え方と文化が、予防策と防御策の導入と優先順位付けを促す、必要な緊急性を生み出します。」
本記事は、 Zurich Blogとの協力により掲載されています。掲載は、世界経済フォーラムが見解を支持することを意味するものではありません。
Forum:Agendaの最新情報を受け取るには、 週刊ニュースレターにご登録ください。
著者：Lori BaileyはZurichのスペシャルティライン担当グローバル責任者です。
画像：2013年5月21日、ベルリンで撮影されたこの写真イラストでは、コンピューター画面の前に手がシルエットで映っている。REUTERS/Pawel Kopczynski