時間との戦い

前述した米パイプラインへのサイバー攻撃を受けてバイデン大統領は、サイバーセキュリティーを改善し連邦政府のネットワークを保護するための大統領令へ署名した*3。ここでは多要素認証と暗号化の導入、サプライチェーンセキュリティーの改善といった多くの法規制やガイドラインなどでも近年述べられているような施策についても触れられている。そして、政府と民間部門によって構成されたサイバーセキュリティー安全性審査委員会の設置といった官民の連携についても提案している。また、この中でも私たちが参考にしていきたいのが、「検知・調査・復旧機能の改善とインシデント対応の際の『プレイブック』開発を促す」としていることである。

「プレイブック」と言われても、ご担当の業務や部署によっては聞き慣れない言葉である可能性もある。補足すると、有事の際の対応マニュアルとイメージしていただきたい。そして、なぜこのプレイブックを用意することが私たちの参考になるのかと言うと、多くの場合インシデント対応は時間との戦いとなるからだ。

あらかじめ手順が決められていなければ、とっさの対応を取ることができない。さらに、その対応はIT部門だけでなく、経営層を中心に全社的に対応することとなり、合わせて外部の専門家との連携も生じる。これを短時間にこなしていかなくてはならないからだ。

解決にはならない

有事の際、システムの復旧を求める声はユーザー部門（ここではITを使用するIT部門以外の部署を表す表記とする）だけでなく、顧客や取引先からもあがってくる。業務に大なり小なり影響を与えるわけだし、期間の差こそあれ事業が中断することもある。さらに、現状ではコロナ禍に伴う半導体不足の影響でサーバーの調達が長期化する場合もあり、システムが復旧するまでの期間がより長期に及ぶことも少なからず生じている。

また、ランサムウェアによる被害の場合、その身代金が時間とともに変化することもある。例えば、2日ごとに身代金額が倍増していくといった具合にだ。そのため、身代金を支払うか否かにかかわらず、一刻も早い状況の把握と判断、そして次のアクションが必要となってくる。ちなみに、セキュリティー対策が不十分であったという自覚のある企業担当者ほど、その後ろめたさから身代金の支払いに前向きであるといった声も現場では聞かれる。明確にアンケートを取ったものではないが、たしかに実際の対応をしていく中でもそのように感じられる場面は多い。

ただし、NCSC（英国家サイバーセキュリティセンター）の代表者が6月に国際欧州問題研究所で行った講演では、次のようにコメントしている。

「身代金の支払いはデータを取り戻すことを保証するものではない。また、二度と攻撃されないことを保証するものでもない。実際、支払い意思を示すことで、より興味深い対象となってしまうこともある」*4

身代金の支払いが全てを解決するわけではないことに、注意が必要だ。

また、GDPR（EU一般データ保護規則）が適用される場合であれば、データ侵害が判明してから72時間以内に監督当局への通知が必要となることは、以前の記事も触れた。社内外の連携においても、悪意ある者との対峙（たいじ）においても、法規制への対応としても、時間との戦いが求められる。