サイバー攻撃は政府や企業にとって広範なリスクとなっています。
ロシアによるウクライナ侵攻のような紛争下では、こうしたリスクが増大します。
サイバーインシデント対応能力を評価する際に考慮すべき重要な点を紹介します。
サイバー攻撃による損失、業務の中断、損害は、政府と企業の双方にとって重大なリスクとなっています。紛争や不安定な情勢下では、こうしたリスクが大幅に高まり、ロシアによるウクライナ侵攻はその一例です。最悪の事態が起きた場合、サイバーインシデント対応計画は、リソースの動員、攻撃の封じ込め、被害の軽減、復旧の迅速化に役立ちます。
しかし、計画を文書にまとめるだけでは決して十分ではなく、実際の訓練の代わりにはなりません。サイバー訓練は繰り返し実施し、徹底的に検証して、現実の状況に即したものにする必要があります。学校の避難訓練と同じように、ベルが鳴ったとき、全員が自分の役割を理解しているべきです。
サイバーインシデント対応能力
サイバーインシデント対応能力を評価する際に、組織が考慮すべき重要な点を以下に挙げます。
1. 目標を明確にする
プロセスの詳細に入る前に、組織はテストの目標と成功基準を明確にしておく必要があります。訓練全体を通じて、理想的には二つの重要な成果を得るべきです。一つは、計画が成功する可能性があるかどうかを明確に把握すること。もう一つは、直ちに対処すべき重大な不足点の一覧を特定することです。さらに、買収したばかりの事業、特定のシステムやインフラ、ランサムウェアなどの特定の攻撃シナリオといった、対応計画のさまざまな側面をテストすることを目指す必要があります。
2. 目標に合った訓練を選ぶ
企業は、設定した目標を検証する訓練を選ぶ際、現実の物流面および業務上の制約を考慮する必要があります。選択肢には、机上訓練（例：計画に記載された人々に電話をかけ、電話番号が有効か確認する）、フィッシング演習（従業員にフィッシング攻撃を仕掛け、見分けて報告できるかをテストする）、パスワードやその他の不審な要求に関する演習、レッド／ブルー／パープルチーム演習（システムへの侵入が可能か、防御が想定どおり機能しているかを検証する模擬サイバー攻撃）、ウォーゲーム（組織の防御とサイバー対応態勢をテストする）、並行テスト（復旧対象のシステムが稼働し、主要なプロセスを支えられるかをテストする）、切替テスト（プライマリーシステムを切断し、セカンダリーシステムが想定どおり機能するかを確認する）などがあります。
3. 訓練の対象を慎重に選ぶ
望ましい目標の達成に役立つ訓練を設計するには、組織が適切な対象を組み合わせることが重要です。対象には、特定の業務アプリケーション、サーバーやワークステーションなどの物理資産、仮想環境やクラウドインフラ、遠隔地の事業拠点、従業員などが含まれます。訓練にサプライチェーンのパートナーを含めることも有効でしょう。たとえば、マネージドサービスプロバイダーへの攻撃をシミュレーションできます。危機対応において経営幹部チームが重要な役割を担うため、経営幹部を対象とするシミュレーションも設計できます。
サイバーセキュリティに関して、世界経済フォーラムはどのような取り組みを行っていますか？
サイバーセキュリティセンターは、リーダーたちが集まり、進化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供しています。相互接続がますます進むデジタル世界において、理解と信頼の構築に取り組んでいます。
分野を越えた連携と知見の共有を促すことで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団的な対応が必要な課題への取り組みを後押しします。
4. 難易度が高く、かつ達成可能なサイバーインシデントのシナリオを作成する
訓練は、企業がサイバーインシデントへの対応能力を試し、従業員のサイバーセキュリティ対応態勢を把握するうえで、常に有効な手段です。訓練は難易度が高く、かつ達成可能なものにする必要があります。従業員の意欲をそいだり、落胆させたりするのではなく、強固なセキュリティ文化の醸成に意欲を持って取り組み、サイバーインシデントに対処する十分な備えを整えられるよう促すことが目的です。訓練をより現実的で緊急性の高いものにするため、ランサムウェアなど現実に起きた事象に関連するシナリオを参加者に提示することを検討してください。可能であれば、参加者が十分な準備を整えられるよう、訓練に先立ってガイダンスを配布します。できる限り透明性を保ち、誰が参加するのか、フィードバックをどのように収集するのか、どのような指標を報告するのかを明確にしてください。特定のシステムやプロセス、またはサイバー・キルチェーンの個々の要素に焦点を当て、訓練の複雑さを高めます。サイバー・キルチェーン。予期せぬ広範な影響を伴って突如発生し得るインシデントである「ブラックスワン」攻撃のような、極端な攻撃シナリオをテストすることもできます。
5. 適切な関係者全員を確実に参加させる
幅広いユースケースと専門知識を活用してインシデント対応訓練を実施できるよう、事業部門と技術部門の双方から適切な人材を組み合わせることが重要です。企業は、フォレンジックや法務の専門家などの第三者に加え、サプライチェーンのパートナーや顧客も参加させるべきです。望ましい目標を達成できる参加者を選ぶことが重要です。また、上級管理職の賛同を得ることも推奨されます。これは、参加者が訓練をどう受け止め、どのように参加するかに大きく影響するためです。
6. 心を開いて、ともに学ぶ
参加者には、柔軟な姿勢を保ち、与えられた状況を過度に分析しないよう促します。率直さと批判的思考を奨励し、全員に意見を述べる機会を与えてください。想定どおりに機能しなかった点も含め、参加者から出た主な所見や提案をすべて記録します。訓練後のフィードバックを速やかに実施し、訓練で特定された問題に対処するため、簡潔で明確な行動計画を策定して実行に移します。今後の訓練をどう改善できるかについてもフィードバックを集め、次回の訓練までに推奨された変更を確実に実施してください。
紛争や不安定な情勢下では、サイバーインシデント対応計画に潜む不足点を特定するため、サイバーインシデント対応訓練を実施すべきです。最も強固に見える対応計画であっても、見落としの発見に役立ちます。脅威の状況が変化するなかで継続的に見直し、更新する必要のある生きた文書として、インシデント管理計画を捉えなければなりません。真のサイバーレジリエンスは、現実に発生したサイバーインシデントを組織が検知し、対応し、復旧できる場合にのみ実現します。
