彼らは辛抱強かった。銀行の最初のコンピューターがマルウェアに感染してから、資金が消えるまで最大4カ月を要した。ネットワークに侵入すると、彼らはビデオ監視用の管理者のコンピューターを突き止め、送金システムを扱う担当者の画面上で起きることをすべて見て記録できるようにした。その後、現金を送金するために職員の行動をまねた。こうして、オンラインバンキングや国際電子決済システムを利用し、25カ国のほぼ100行から自分たちの口座へ資金を移すことができた。盗まれた資金は中国と米国の銀行に預けられ、他国の銀行は受け取り先として利用された。総額で、彼らは10億ドル超を持ち去った。
これが、今日企業が直面している現実だ。過去12カ月間、耳を傾けようとする人々には大きな警鐘が鳴らされてきた。」
これが起こり得たという事実は、サイバー犯罪者の断固たる姿勢と、世界的な相互接続性を悪用する方法に関する知識を示している。3カ国の関係者が関与する犯罪シンジケートである悪党たちが国境を越えて協力し、国境を顧みず窃盗を行ったことは、世界および企業のサイバーガバナンスの不備が、いかに彼らに有利に働いているかを示すものだ。
「現時点では、悪党たちが勝っている」と、Zurich Insurance Group（Zurich）の損害保険引受部門、グローバル金融機関担当リードのルカ・ラヴァッツォーロは言う。「彼らは行きたいところへ行き、したいことをできる。実際に阻止される恐れがほとんどないからだ。攻撃を効果的に食い止めている組織が一つあれば、侵害されている組織はほかに多数ある。」
現実的で、世界的につながるリスク
Zurichと、グローバルガバナンスを研究する有力シンクタンクESADEgeoが最近発表した報告書の題名は「グローバル・サイバーガバナンス：新たなビジネスリスクへの備え」だ。そこでは、世界のビジネス界が直面する課題が明らかにされている。要するに、現在のサイバーガバナンスは著しく不十分で、ほぼすべての業界の企業がサイバー脅威にさらされている。その結果、評判への打撃、物理的損失、賠償責任、規制対応コストなど、甚大な損害が生じる可能性がある。抑制されないまま拡大するサイバー脅威は、世界規模で技術および経済の発展を妨げるおそれがある。
「これが、今日企業が直面している現実です」とラヴァッツォーロは言う。「過去12カ月間、耳を傾けようとする人々には大きな警鐘が鳴らされてきました。検知されたサイバーセキュリティインシデントの件数は大幅に増加し、インシデント1件当たりの平均損失額も増えています。サイバーリスクはほかの世界的リスクとますます相互に結びつき、企業ははるかに複雑な環境で事業を行わざるを得ません。サイバー空間はグローバルですが、サイバーセキュリティの枠組みはそうではないからです。」
組織犯罪は、企業が直面する問題の始まりにすぎない。国家主体および非国家主体が企業に対する複数のサイバー攻撃に関与したとされるが、真の実行者を特定するのは難しいことが多い。（一部の政府がサイバー防御者とサイバー攻撃者の両方を務めるという矛盾した役割にも留意すべきだ。）
企業ガバナンスは、本来あるべきほど方程式の重要な一部ではありません
。」
報告書は、国際協力への道のりが長いことを認めている。地政学的緊張とガバナンスのアプローチをめぐる思想的相違により、当面、強力で効果的なグローバルガバナンス機関の設立は妨げられている。既存の機関は欧米中心だ。欧州と北米以外にある世界的なメカニズムは二つだけで、いずれも東南アジアにある。
報告書は、政策立案者が検討すべき措置として、地政学的緊張から守るための措置とともにG20 + 20サイバー安定化委員会を創設すること、世界保健機関（WHO）のサイバー版を設立すること、官民協力を促進することなどを提言する一方、企業にも自社のサイバーガバナンスを見直すよう促している。
企業の視点からガバナンスを再考する
ビジネスリーダーは合意形成を通じてサイバーガバナンスに貢献できるが、最もすぐに効果をもたらせるのは、自社組織のガバナンスに注力することだ。「これまで、ほとんどの企業では、技術面からサイバー防御を強化することに重点が置かれてきました。それは重要です」と、Zurich Global Corporateの戦略的ビジネスリスク担当ディレクター、リンダ・コンラッドは言う。 「しかし、企業ガバナンスは本来あるべきほど方程式の大きな部分を占めていません。報告書が提言する措置に加え、サイバーリスク管理において同じく重要なのは、人間の行動という要素に対処することです。サイバー接続性に関する適切な社内ガバナンスを整えれば、企業はすぐに取り組みを始められます。」
サイバー関連の方針や研修は従業員にはありふれたものに見えるかもしれないが、きわめて重要だ。サイバーリスク管理では一般に、人間の要素が最も弱い環だからである。例えば、コンラッドが知るある企業は、複数の従業員が週に数回、同じ飲食店からオンラインで昼食を注文していたことにハッカーが気づいたため、侵害された。ハッカーはこの習慣を悪用し、その飲食店のセキュリティがより脆弱なシステムを経由して企業のサイバーインフラにアクセスした。
このことがビジネスリーダーに示すのは、事業中断の定義を広げなければならないということです。」
「侵入経路は実にたくさんあります」とコンラッドは言う。「このケースでは、適切なガバナンスがあれば、そのような方法で第三者と連絡を取るために会社の端末を使わないよう従業員を指導できたでしょう。」
企業はしばしば、より優れたファイアウォールを構築するよう指示して、サイバーセキュリティの責任をITチームに委ねるだけで、すべてのデスクトップ、ノートパソコン、モバイル端末を使う各従業員の責任には目を向けない。この安易ながら効果のない慣行を受けて、一部の企業はリスク管理体制に、IT責任者と最高リスク責任者の間をつなぐ役割、すなわちITリスク担当役員を含める必要性が高まっていると認識している。
この種の役職は、サプライチェーンなど、組織内のさまざまな領域にまたがって機能し得る。サプライチェーンには独自のサイバーリスク課題があり、それはサイバー侵害に限らない。ZurichがBusiness Continuity Organizationと実施した調査によると、2014年のサプライチェーン障害の52 percentはIT／通信の停止が原因であり、世界貿易と企業収益に重大な影響を及ぼした。
「このことがビジネスリーダーに示すのは、事業中断の定義を広げなければならないということです」とコンラッドは言う。「これまでのサイバーリスク管理は、データ損失を中心に構築されてきました。しかし、ほかの種類のサイバー事象がどのように事業を妨げるか、それを防ぐために何をすべきか、また発生した場合に迅速に復旧するには何が必要かを、より包括的に理解することが重要です。」
上場企業にとって、サイバー侵害がもたらす最も目に見えやすく、即時性があり、測定可能な影響は、投資家の反応だ。「通常、大きなリスク事象の後なら、株価は約40日後から回復し始めると見込むでしょう」とコンラッドは言う。「その時点で回復が見られなければ、長い回復過程になるでしょう。組織としては、そもそも立ち直る必要が生じないに越したことはありません。しかし、事業にレジリエンスを組み込み、バックアップデータ、コンピューティング資源やサプライヤーを確保し、事前計画と積極的なシナリオ検証を実施していれば、思ったより早く通常の事業に戻れる可能性があります。」
要点：
サイバー犯罪者は相互接続性を利用し、企業のデジタルインフラに侵入する独創的な方法を見つけ、成功を収めている。
サイバー空間のグローバルガバナンスは現在、機能していないが、企業は直ちに企業内のサイバーガバナンスに注力できる。
ビジネスリーダーは、データ損失にとどまらないよう、サイバーに起因する事業中断の定義を広げるべきだ。
事業の重要な要素にバックアップを組み込み、事前計画とシナリオ検証を行うことで、相互に結びついたサイバーリスクへのレジリエンスを強化できる。
本記事は Zurichとの協力のもとで公開されています。公開は、世界経済フォーラムが見解を支持することを意味しません。
アジェンダの最新情報を得るには、 週刊ニュースレターに登録してください。
著者：ルカ・ラヴァッツォーロはZurich Insurance Company Ltd.の金融機関・M&A担当グローバル責任者。リンダ・コンラッドはZurich Financial Servicesの戦略的ビジネスリスク担当ディレクター。
画像：コンピューターのキーボードを打つ男性。REUTERS/Kacper Pempel。