2016/06/17
誌面情報 vol55
止める判断が求められる
システムを能動的に止める
一方で、サイバー攻撃の目的や手法は、高度化、複雑化している。まず防がなくてはいけないのが検知のタイミングが遅れること。また例え検知ができても、原因究明をしてる間にどんどん被害が広がるので、障害対応として、システムを継続させるだけでなく、能動的に止めるということが、しっかりできるかが、今問われている。
例えば、これ以上システムを動かしておくと、被害が拡大するので、システムの停止により被害を受けるお客様には迅速に通知をし、同時に損害賠償金の支払い準備を始める、というような、能動的に止めることによりインパクトを最小化させる判断をしていかなくてはいけない。判断が遅れたら、ずるずると攻撃をされ続け、対応は後手後手に回ってしまう。
情報セキュリティだから機密性を死守しなくてはいけないという考え方だけではなく、場合によっては機密性を下げてでも可用性を上げなければならない時もあるし、ある時は、完全性を担保するために可用性を下げなくてはいけない場合もある。現場がそれを判断できるような権限委譲と、それらのジレンマを感じながら意思決定する訓練、演習もしていかなくてはいけない。
現場と経営の間を取り持つCSIRTの役割も不可欠だ。今起きているシステムトラブルは経営上どういう影響をもたらすのか、売上がどれだけ下がるのか、お客様にどれだけ迷惑がかかるのか、それとも社会全体に迷惑がかかるのか、それはどの程度の規模なのか、どの時点で経営者が謝らなければいけないのか、CSIRTは、こうした問題をわかりやすく翻訳し、経営陣に説明し意思決定を求めなくてはいけない。
こうした対応はトラブルが起きたその時にいきなりやれと言っても無理で、あらかじめ、経営上どの業務が最も重要なのか、その業務が止まることで経営にどのような影響を与えるのか、その業務を支えているリソースはどのようなものがあるのか、いわゆるビジネスインパクト分析(BIA)をしておくことが求められる。BIAがなくては、経営陣としても、次のアクションが決められない。
もう1つは、コネクト・ザ・ドッツ(connectthedots)、という考え方が重要になってくる。ポツポツと散発的に起きている事象や問題点を、上部に報告するエスカレーションの仕組みを持ち、それらをつなぎとめることで、今、起きていることや、これから起こることの全体の状況を推測するような体制を構築しておくということ。攻撃者はタイミングをずらしたりして少しずつシステムに侵入、あるいは複数ポイントから同時多発的に攻撃してくるので、部分的な事象をつなぎ合わせて攻撃の傾向や目的を早期に見極めることができれば、この攻撃手法だったら、次はここに来るだろうということを予測し専門のサービス会社と連携したり、あるいは行政部門とも連携することで、先手を打ったり、攻撃元が突き止められることも可能かもしれない。また、攻撃は1回だけではなく、複数回繰り返されることを前提に構えていく体制も重要になる。
演習・訓練が最も重要
自然災害にしてもサイバーセキュリティにしても、BCM活動についてはPDCAサイクルが重要になる。その中でも一番重要なのが演習・訓練だ。
繰り返しになるが、これまで経験したことないようなサイバー攻撃を受けた場合は、被害を最小限にとどめるためには、重要な基幹システムであっても、あえて能動的に止めなくてはいけない、けれども経営者としては止めたくない、社会的責務があるので止められない、という挙棋不定の状況に陥ることが予想される。そのような場面において、意思決定をしていくようなリアルな演習をしていかなくてはいけない
演習・訓練の手法は、ISOで定義されている。訓練は「ドリル」という意味で、決められたことが手順どおり、時間通りにしっかりできるように繰り返し練習することをいう。決められた行動を台本通りにミスがないように実施する。一方、演習というのは応用であり、断片的な情報やガセネタも含めて、シナリオとして与えて、極限状態において、どう意思決定をしていくかをトレーニングする。必ずしも正解はないが、本番で対応できる力を身に付けるものである。
決して演習参加者を困らせることが目的ではなく、どういう部分について脆弱性を感じ、克服したいと思ったのか、前もってどのような対策をしておけばよかったのかなど、演習の場合には、できなかったことや課題をより多く見つけるほうが効果的だ。
すでに多くの組織で自然災害については防災訓練をやっているだろうし、サイバー攻撃についても情報システム部主催の訓練などをやられているかもしれない。が、レスポンス(対応)という観点からいくと、もう少し、幅広く、例えば災害時はサイバー攻撃にとっても、絶好のチャンスともなるので、災害とサイバー攻撃が複合的に起こるような状況を想定したシナリオがあってもいい。
こうした演習を行う場合には、システム部門とビジネス部門が別々にやるのではなく、「事業継続」というくくりで、有機的に互いが関わり、一緒にシナリオを作り、合同で訓練をして、どのタイミングでどの情報をどう共有・協議していくかなどを検証していくことが大切だろう。
[2016年4月8日に開催したIT-BCPセミナー講演より]
誌面情報 vol55の他の記事
- セキュリティとレジリエンシーの融合
- サイバー攻撃の正体
- 止める判断が求められる 企業のBCPにおける自然災害とサイバーリスク
- 年金機構の情報漏えい事案から学ぶ サイバー攻撃最悪のシナリオ
- IT-BCPの発展と課題
おすすめ記事
-
-
リスク対策.com編集長が斬る!【2024年4月23日配信アーカイブ】
【4月23日配信で取り上げた話題】今週の注目ニュースざっとタイトル振り返り/特集:南海トラフ地震臨時情報を想定した訓練手法
2024/04/23
-
-
-
2023年防災・BCP・リスクマネジメント事例集【永久保存版】
リスク対策.comは、PDF媒体「月刊BCPリーダーズ」2023年1月号~12月号に掲載した企業事例記事を抜粋し、テーマ別にまとめました。合計16社の取り組みを読むことができます。さまざまな業種・規模の企業事例は、防災・BCP、リスクマネジメントの実践イメージをつかむうえで有効。自社の学びや振り返り、改善にお役立てください。
2024/04/22
-
-
リスク対策.com編集長が斬る!【2024年4月16日配信アーカイブ】
【4月16日配信で取り上げた話題】今週の注目ニュースざっとタイトル振り返り/特集:熊本地震におけるBCP
2024/04/16
-
調達先の分散化で製造停止を回避
2018年の西日本豪雨で甚大な被害を受けた岡山県倉敷市真備町。オフィス家具を製造するホリグチは真備町内でも高台に立地するため、工場と事務所は無事だった。しかし通信と物流がストップ。事業を続けるため工夫を重ねた。その後、被災経験から保険を見直し、調達先も分散化。おかげで2023年5月には調達先で事故が起き仕入れがストップするも、代替先からの仕入れで解決した。
2024/04/16
-
工場が吹き飛ぶ爆発被害からの再起動
2018年の西日本豪雨で隣接するアルミ工場が爆発し、施設の一部が吹き飛ぶなど壊滅的な被害を受けた川上鉄工所。新たな設備の調達に苦労するも、8カ月後に工場の再稼働を果たす。その後、BCPの策定に取り組んだ。事業継続で最大の障害は金属の加温設備。浸水したら工場はストップする。同社は対策に動き出している。
2024/04/15
-
動きやすい対策本部のディテールを随所に
1971年にから、、50年以上にわたり首都圏の流通を支えてきた東京流通センター。物流の要としての機能だけではなく、オフィスビルやイベントホールも備える。2017年、2023年には免震装置を導入した最新の物流ビルを竣工。同社は防災対策だけではなく、BCMにも力を入れている。
2024/04/12
※スパム投稿防止のためコメントは編集部の承認制となっておりますが、いただいたコメントは原則、すべて掲載いたします。
※個人情報は入力しないようご注意ください。
» パスワードをお忘れの方