サイバー紛争下で組織を守る5つの方法

• 地政学的緊張が高まり、サイバー攻撃の頻度と深刻度が増しています。

• あらゆる組織の上級幹部は、サイバー・レジリエンスの課題に全面的に取り組む必要があります。

• これは、インターネットの停止やサービスプロバイダーへの攻撃に備え、すべてのデータをバックアップし、サイバー分野の専門知識を優先して重視することを意味します。

サイバー紛争では、標的だと認識している被害者と、まだ認識していない被害者の2種類が考えられます。地政学的緊張が高まるなか、欧州でサイバー攻撃の頻度と深刻度が増していることを受け、あらゆる組織の上級幹部はサイバー・レジリエンスについて考えるべきです。

この1か月、欧州では重要インフラに関わるサイバーインシデントが数多く発生しました。欧州の主要な石油精製拠点であるアムステルダム・ロッテルダム・アントワープ（ARA）への最近のサイバー攻撃により、大陸規模のエネルギー危機のさなか、精製製品の貨物の積み込みと積み下ろしに大きな混乱が生じました。ポルトガルでは、欧州最大の通信事業者Vodafoneの業務が深刻な打撃を受け、同国でのサービスが制限されました。ベラルーシでは、自称サイバー反体制派グループが、ロシアとの軍事演習が続くなか、国内の鉄道網を実質的に機能不全に陥らせたと発表しました。そして最後に、ウクライナでは小規模なサイバー攻撃が相次ぎ、政府のウェブサイトが標的となりました。

重要インフラ（CI）組織は一般に、サイバー紛争時に標的となる可能性が高いことを認識しています。サイバーセキュリティへの投資を進めており、業界全体のレジリエンス構築に向けて同業者と協力することが奨励されています。世界経済フォーラムの 石油・ガス分野のサイバー・レジリエンス・イニシアチブは、業界全体の水準を高めることを目的に、複数の業界関係者を結集しました。

CI組織は、政府の特別支援プログラムを利用できることが多く、場合によっては特別な脅威インテリジェンスを得られることもあります。米国サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は最近、すべての企業に警告を発信する取り組みを特に積極的に進めています。しかし、企業の取締役会が自社のサイバー・レジリエンスをどの程度と考えているかと、サイバー専門家の見方との間には、しばしば隔たりがあります。世界経済フォーラムが実施した最近の調査では、企業幹部の92％がサイバーリスクは自社の全社的リスク管理戦略に組み込まれていると考えていた一方、サイバー分野のリーダーでそう考える人は55％にとどまりました。

攻撃者は、重要インフラ以外の組織を標的にすることもよくあります。新型コロナウイルス感染症のパンデミック中、病院は日常的にサイバー攻撃を受け、2022年1月には赤十字国際委員会がハッキング被害を公表しました。この種の攻撃が犯罪目的なのか政治的意図によるものなのか（「ランサムウェア」なのか「ランソムウェア」なのか）を判断するのは難しい場合があります。サイバー犯罪者は、政治危機に伴う全般的な混乱につけ込もうとする可能性があるためです。すべての組織は、攻撃されるかどうかではなく、いつ攻撃されるかが問題だと認識すべきです。

上級幹部向けの基本チェックリスト

1. 組織に「デジタル上の余裕」を持たせる

これは、ハードウェアをただちに交換する必要が生じた場合に備え、予備品やバックアップとして古い機器をいくらか保管しておくだけではありません。業務プロセスにも余裕を持たせる準備が必要です。ビデオ通話はどれほど不可欠でしょうか。現場の従業員と連絡を保つには、どの程度の接続環境が必要で、何を優先すべきでしょうか。また、企業間取引や企業と消費者間の接点に大きく依存する事業なら、最低限のサービス水準を維持するためにどのような対策を講じていますか。主要顧客、パートナー、またはサプライヤーが国家レベルのファイアウォールの向こう側に消えてしまったら、どうなるでしょうか。

2. サービスプロバイダーへの攻撃に備える

サービスの種類や提供元を分散し、リスクを抑えることを検討してください。たとえばクラウドプロバイダーでは、データを保管する「リージョン」や地理的区域を設定できることが多く、一時的に広域的な紛争地域を避けられます。ただし、運用面や規制面で一定のコストが生じる可能性があります。急いでプロバイダーを変更する必要が生じた場合に備え、代替先との関係を築いておくことも検討してください。

3. 事業継続管理／災害復旧のプロセスを見直す

これにより、ランサムウェア攻撃にも、外部サービスプロバイダーの機能を損なう攻撃にも備えられます。最重要データには「3-2-1ルール」を適用してください。重要なデータセットの種類ごとに異なるバックアップを3つ作成し、2種類の異なる媒体に保存して、そのうち1つはオフサイトに保管します。バックアップを定期的に入れ替えることも検討してください。ランサムウェアが成功する理由の一つは、バックアップまで感染しているか、バックアップからの復元に時間がかかりすぎると見なされていることです。

4. サイバー担当チームに裁量を与える

何かを更新する必要があるなら、業務に支障をきたさないようにとサイバー担当チームを待たせず、できるだけ早く実施してください。ネットワークを強化するために一部のサービスを一時停止する必要がある場合でも、攻撃の影響と比べれば妥当な代償となることがあります。おそらく最も重要なのは、サイバー担当チームが公式・非公式の両方の経路を通じて、他者と協力できるようにすることです。

5. 取締役会にサイバーセキュリティの専門知識を取り入れる

すべての組織は、取締役会レベルまたはそれに相当する役職に、企業レジリエンス責任者を任命すべきです。その担当者は幅広い視野を持ち、パンデミック関連の危機など、ほかのリスクも考慮する必要があります。サイバー分野が適切に代表されるよう、最高情報セキュリティ責任者（CISO）に直接出席してもらうか、少なくとも取締役会全体への定期的な報告を計画してください。全体として、レジリエンス責任者とCISOは、デジタル上の混乱と、それに伴い必要となる意思決定を想定した机上演習を通じて、取締役会の関与を促すことを検討すべきです。世界経済フォーラムは、企業がサイバー攻撃へのレジリエンスを高めるのに役立つサイバーリスクに関する取締役会ガバナンス原則 を 策定する支援を行いました。

今日のサイバー紛争は、焼け焦げたインフラや1週間続く停電といった破滅的なイメージと結び付けられがちです。こうした脅威は現実に存在しますが、幸い、依然として起こる可能性は非常に低いものです。より現実的な広域の政治的サイバー紛争のシナリオでは、重要インフラに対する低レベルの混乱が長期化し、サイバー空間と技術環境全般が劣化することが考えられます。リーダーとして、サイバー・レジリエンスの実践と事業継続対策を取り入れ、こうした混乱に備えることが不可欠です。