組織のサイバーセキュリティは、インシデントがチームの分析速度を上回るスピードで深刻化する脅威の状況に合わせて進化しなければなりません。課題は技術そのものというより、プレッシャーのもとでの組織的な意思決定にあります。
サイバーレジリエンスは、システムが混乱し、データの完全性が不確かになり、外部からの圧力が高まっている状況においても、業務を継続できる能力に焦点を当てています。
そうした能力を構築し、測定するうえで最も効果的な方法の一つが、極端なシナリオを想定して設計された机上演習です。ITによる復旧が遅れ、組織全体が対応に乗り出さなければならない状況を想定します。
長年にわたり、サイバーセキュリティは主に技術の問題として捉えられてきました。ファイアウォール、エンドポイント保護、検知ツール、インシデント対応のプレイブックが議論の中心を占めてきました。組織は攻撃を防ぎ、検知と対応の能力を高めることに多額の投資を行ってきました。
予防の重要性はいくら強調してもしすぎることはなく、サイバーセキュリティの基盤と見なされるべきです。予防はリスク、混乱、コストを削減し、被害の範囲を限定し、事業継続を確実にします。脅威が絶え間なく存在し、攻撃者の動きが速い環境においては、強力な予防的統制が被害を抑えるための最も効果的な手段であり続けています。
現実として、攻撃が起きるかどうかではなく、いつ起きるかが問題となっています。また、どれほど強固な技術的防御であっても、不確実性、複雑性、時間的圧力によって試される可能性があります。こうした不確実性は、人工知能の急速な普及によってさらに高まっています。人工知能は防御能力を加速させる一方で、攻撃者をも同様に支援してきました。
むしろ強くなる組織とは、予防が破られた場合でも、障害の中で効果的に業務を遂行できる組織です。技術がすぐに確実性を回復できない場合、最終的な結果を左右するのは、組織の意思決定の規律と業務上の連携です。
ここにおいて、サイバーセキュリティはサイバーレジリエンスへと進化します。
サイバーレジリエンスは、サイバーセキュリティ以上のものです
サイバーセキュリティは、保護と対応に焦点を当てています。すなわち、攻撃を阻止し、潜伏期間を短縮し、システムを復旧させることです。一方、サイバーレジリエンスはより広範な問いを投げかけます。技術が混乱し、機能が低下し、または信頼できなくなった場合に、組織はどのように業務を継続し、意思決定を行うのかという問いです。
その意味で、サイバーレジリエンスは他の事業継続計画の分野と共通点があります。例えば、組織は自然災害、サプライチェーンの混乱、業務の停止に備えるのが通例です。その際、システム、人員、またはプロセスが利用できなくなる可能性を想定したうえで、事業は依然として機能しなければならないという前提に立っています。
同様に、深刻なサイバーインシデントはITによる復旧を遅らせたり、制約したりする可能性があります。システムは予想より長く停止し、データの完全性が不確かになることも考えられます。顧客、規制当局、メディアからの外部的な圧力も高まる可能性があります。したがって、課題はもはや純粋に技術的なものにとどまらず、組織的な課題でもあります。
サイバー危機の組織的な性質
真のサイバーレジリエンスには、組織全体が一体となって行動することが求められます。
法務チームは、規制上のリスクと契約上の義務を評価しなければなりません。財務部門は、業務への影響と負債を評価しなければなりません。広報チームは、従業員、顧客、パートナー、そして一般社会へのメッセージを管理しなければなりません。経営陣は、不完全で、時には相反する情報を前提として、時間的制約の厳しい判断を下さなければなりません。
これらの機能が足並みをそろえられない場合、技術的には適切に管理されたインシデントであっても、事業上の危機へと発展しかねません。意思決定の遅延、一貫性を欠くメッセージ、管理されない期待、そして避けられたはずのレピュテーションの毀損などが生じる可能性があります。
それにもかかわらず、多くの組織は依然としてサイバーへの備えを「テスト」する対象をほぼ例外なくIT部門内に限定しています。インシデント対応の演習は、マルウェア分析、封じ込めのタイムライン、システムの復旧に焦点を当てています。それらは必要ではあるものの、組織が持続的な混乱の中で業務を遂行できるかどうか、あるいは事実が不明確な状況で経営層が確信を持って判断できるかどうかを検証するものではありません。
サイバーレジリエンスには、異なるアプローチが求められます。それは、予防によってリスクを低減できても完全に排除することはできない場合、そして技術が不確実性を即座に解消できない場合に、組織がどのように振る舞うかを訓練することです。
サイバーレジリエンスを測定することが難しい理由
サイバーレジリエンスは頻繁に議論されるものの、ほとんど測定されることがありません。その理由の一つは、ダッシュボードだけでは測定できないことにあります。
プレッシャーのもとで経営陣がどれほど速く足並みをそろえられるか、法務と広報が変化の激しい状況でメッセージを同期できるか、あるいは部門の垣根を越えてチームがどれほど効果的に情報を共有できるかを、エージェントを導入して把握することはできません。
サイバーレジリエンスは、意思決定、連携、適応力に関わるものです。それを評価するためには、組織には構造化された方法論が必要です。すなわち、極限的な状況下で人員とプロセスがどのように機能するかを訓練し、観察し、測定する手段です。ここに、机上演習が非常に価値のあるものとなります。
机上演習：限界点に備えた訓練
机上演習は、コンプライアンス上の要件や基本的なインシデント対応研修として扱われることがよくあります。しかし、適切に設計されていれば、レジリエンスを構築し測定するうえで最も実践的な方法の一つとなります。
技術的なシミュレーションとは異なり、机上演習は人と意思決定に焦点を当てます。参加者を現実的なシナリオに置き、不確実性、トレードオフ、そして競合する優先事項への対応を迫ります。
これを効果的に行うためには、シナリオは「通常の」サイバーインシデントを超えたものでなければなりません。その目的は、復旧が遅延し、データの信頼性が疑わしく、外部からの圧力が高まっている状況で、組織が業務を遂行できるかどうかを検証することです。
効果的なレジリエンス演習では、段階的にシナリオを深刻化させます。
早期の兆候から、重要システムに影響を及ぼす攻撃が示唆される。
復旧のタイムラインが遅れ、依存関係が復旧を複雑にする。
データの完全性に対する懸念が浮上し、システム内の情報を信頼できるかどうかが問われる。
顧客とパートナーからの問い合わせが相次ぎ、規制当局や期限が迫る。
確実性が回復する前に、組織は意思決定を行わなければならない。
ある時点で、技術だけでは状況を速やかに解決できないことが明らかになる。
ここで、演習の真価が明らかになります。
法務は、完全な事実が把握できない状況で、通知義務やリスクへの暴露を評価します。財務は、システムが利用できないままの状態で業務への影響を評価します。社内広報は、従業員の不安を管理し、噂を抑制します。対外広報は、透明性と法的・レピュテーション上のリスクとの均衡を図ります。経営陣は、時間的プレッシャーの中で重大な判断を下します。
価値は「完璧な」答えを見つけることにあるのではなく、組織が迅速に、一貫性を保ち、断固として協力して業務を進められるかどうかにあります。
レジリエンス演習で実際に測定できること
適切に設計されたサイバーレジリエンスの机上演習は、純粋な技術テストでは得られない知見を明らかにします。また、時間の経過とともに追跡できる測定可能な指標を生み出します。例えば、次のような指標があります。
経営陣の関与までの時間： 経営層がどれだけ迅速に参加し、関与を継続するか。
意思決定の明確さ： 責任の所在が明確か、あるいは曖昧さの中で意思決定が停滞するか。
情報の流れ： 重要な事実が部門間で共有されているか、あるいは組織の中で分断されたままか。
業務の継続性： 機能が低下した状態で重要サービスを運用できる能力。
危機時の広報への備え： 社内外のメッセージが整合しており、適時に発信されているか。
ストレス下における目標復旧時間と目標復旧時点： 復旧の前提条件が現実と一致しているか。
衝突と遅延の発生箇所： 部門間で摩擦が生じている箇所。
これらの指標により、組織は「準備はできていると考えている」という段階を超え、具体的な改善計画に向けて動き出すことができます。
まず予防、常にレジリエンス
予防は、インシデントの発生可能性と影響を低減し、時間を稼ぎ、混乱を抑えるために、あらゆるサイバーセキュリティ戦略の中核であり続けます。しかし、レジリエンスは、予防がスピード、不確実性、複雑性によって試される場合でも、組織が機能し続けられることを保証します。
サイバーレジリエンスは一度きりのプロジェクトではありません。あらゆる事業継続計画の分野と同様に、継続的な訓練、改善、そして経営層の関与が求められます。組織の進化に合わせて、机上演習は繰り返し、適応させ、拡張されるべきです。
最もレジリエンスの高い組織とは、完璧な防御を備えた組織ではなく、失敗を経験し、そこから学んだ組織です。サイバー演習がITによるシステム復旧の時点で終わってしまうなら、それはセキュリティを試しているにすぎず、レジリエンスを試しているわけではありません。予防を基盤として構築し、そのうえで、予防だけでは不十分になる瞬間に備えて訓練してください。
