システムを能動的に止める

一方で、サイバー攻撃の目的や手法は、高度化、複雑化している。まず防がなくてはいけないのが検知のタイミングが遅れること。また例え検知ができても、原因究明をしてる間にどんどん被害が広がるので、障害対応として、システムを継続させるだけでなく、能動的に止めるということが、しっかりできるかが、今問われている。

例えば、これ以上システムを動かしておくと、被害が拡大するので、システムの停止により被害を受けるお客様には迅速に通知をし、同時に損害賠償金の支払い準備を始める、というような、能動的に止めることによりインパクトを最小化させる判断をしていかなくてはいけない。判断が遅れたら、ずるずると攻撃をされ続け、対応は後手後手に回ってしまう。

情報セキュリティだから機密性を死守しなくてはいけないという考え方だけではなく、場合によっては機密性を下げてでも可用性を上げなければならない時もあるし、ある時は、完全性を担保するために可用性を下げなくてはいけない場合もある。現場がそれを判断できるような権限委譲と、それらのジレンマを感じながら意思決定する訓練、演習もしていかなくてはいけない。

現場と経営の間を取り持つCSIRTの役割も不可欠だ。今起きているシステムトラブルは経営上どういう影響をもたらすのか、売上がどれだけ下がるのか、お客様にどれだけ迷惑がかかるのか、それとも社会全体に迷惑がかかるのか、それはどの程度の規模なのか、どの時点で経営者が謝らなければいけないのか、CSIRTは、こうした問題をわかりやすく翻訳し、経営陣に説明し意思決定を求めなくてはいけない。

こうした対応はトラブルが起きたその時にいきなりやれと言っても無理で、あらかじめ、経営上どの業務が最も重要なのか、その業務が止まることで経営にどのような影響を与えるのか、その業務を支えているリソースはどのようなものがあるのか、いわゆるビジネスインパクト分析（BIA）をしておくことが求められる。BIAがなくては、経営陣としても、次のアクションが決められない。

もう１つは、コネクト・ザ・ドッツ（connectthedots）、という考え方が重要になってくる。ポツポツと散発的に起きている事象や問題点を、上部に報告するエスカレーションの仕組みを持ち、それらをつなぎとめることで、今、起きていることや、これから起こることの全体の状況を推測するような体制を構築しておくということ。攻撃者はタイミングをずらしたりして少しずつシステムに侵入、あるいは複数ポイントから同時多発的に攻撃してくるので、部分的な事象をつなぎ合わせて攻撃の傾向や目的を早期に見極めることができれば、この攻撃手法だったら、次はここに来るだろうということを予測し専門のサービス会社と連携したり、あるいは行政部門とも連携することで、先手を打ったり、攻撃元が突き止められることも可能かもしれない。また、攻撃は１回だけではなく、複数回繰り返されることを前提に構えていく体制も重要になる。

写真を拡大

演習・訓練が最も重要

自然災害にしてもサイバーセキュリティにしても、BCM活動についてはPDCAサイクルが重要になる。その中でも一番重要なのが演習・訓練だ。

繰り返しになるが、これまで経験したことないようなサイバー攻撃を受けた場合は、被害を最小限にとどめるためには、重要な基幹システムであっても、あえて能動的に止めなくてはいけない、けれども経営者としては止めたくない、社会的責務があるので止められない、という挙棋不定の状況に陥ることが予想される。そのような場面において、意思決定をしていくようなリアルな演習をしていかなくてはいけない

演習・訓練の手法は、ISOで定義されている。訓練は「ドリル」という意味で、決められたことが手順どおり、時間通りにしっかりできるように繰り返し練習することをいう。決められた行動を台本通りにミスがないように実施する。一方、演習というのは応用であり、断片的な情報やガセネタも含めて、シナリオとして与えて、極限状態において、どう意思決定をしていくかをトレーニングする。必ずしも正解はないが、本番で対応できる力を身に付けるものである。

決して演習参加者を困らせることが目的ではなく、どういう部分について脆弱性を感じ、克服したいと思ったのか、前もってどのような対策をしておけばよかったのかなど、演習の場合には、できなかったことや課題をより多く見つけるほうが効果的だ。

すでに多くの組織で自然災害については防災訓練をやっているだろうし、サイバー攻撃についても情報システム部主催の訓練などをやられているかもしれない。が、レスポンス（対応）という観点からいくと、もう少し、幅広く、例えば災害時はサイバー攻撃にとっても、絶好のチャンスともなるので、災害とサイバー攻撃が複合的に起こるような状況を想定したシナリオがあってもいい。

こうした演習を行う場合には、システム部門とビジネス部門が別々にやるのではなく、「事業継続」というくくりで、有機的に互いが関わり、一緒にシナリオを作り、合同で訓練をして、どのタイミングでどの情報をどう共有・協議していくかなどを検証していくことが大切だろう。

［2016年4月8日に開催したIT-BCPセミナー講演より］