少数の重要なこと

どのようにプレイブックをまとめていけば良いのだろうか。既に具体的な施策のベストプラクティスについては、各ガイダンスなどでも語られているので、ここではその初めの一歩について触れたい。

「少数の重要なことに焦点を絞る」

このことは、組織が全てのリスクを特定して軽減していくためにはリソースが限られているという認識に基づくセキュリティーに関する戦略的アプローチとして、CISA（米国土安全保障省サイバーセキュリティー・インフラストラクチャー・セキュリティー庁）事務局長が同庁のウェブサイト*5でも触れている。そして、自社にとってこの「少数の重要なこと」とは何なのかを明確にするために、リスク評価の実施が有効である。

リスク評価に関しては国際標準化機構（ISO）や米国立標準技術研究所（NIST）などからベストプラクティスやフレームワークなども提示されており、また各種評価ツールやコンサルティングなども提供されているため、比較的取り組みやすい。ここでは、基本的な手順について述べることとする。

まず重要な第一歩は自社の資産を特定すること。これはIT資産もそうだし、個人データや知的財産などのデータもそうだ。 GDPRであれば、まずはデータマッピングという方法で自社の保有する個人データを明確にすることが求められている。そんなことは当に把握できていると思われるかもしれないが、案外IT部門が把握していないIT機器が自社のネットワークに接続されていることはあるし、在宅勤務の推進などでそのようなものが増えているのも実情である。

資産の特定ができたら、それらがどれだけ重要なものであるかを把握する。そして、この資産に対する脅威も特定する。それほど重要な資産ではないが、脅威は異常に高いということであれば、所有しないということも選択肢となり得る。

次に、現在行われている対策やコントロールを特定し、必要に応じて追加の対策などについてもここで検討する。場合によっては所有しないという選択肢もあるので、追加の対策については費用対効果を評価しながら検討できれば、なお良い。

これらのリスク評価を行った上で、有事の際の具体的な対応手順をまとめられると、実践的で効率的かつ効果的なプレイブックを準備することが可能だろう。そして実情との乖離（かいり）が生じないよう継続的な見直しを実施していくことが重要である。

有事の際にどこから着手したらよいのか分からず、早々に最初の24時間が経過してしまうことは案外よくある。平時の今こそ、有事の際について今一度考えていきたい。

出典
*1 https://www.ic3.gov/Media/PDF/AnnualReport/2020_IC3Report.pdf

*2 https://www.wsj.com/articles/fbi-director-compares-ransomware-challenge-to-9-11-11622799003

*3 https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/

*4 https://www.ncsc.gov.uk/speech/iiea-cyber-threat

*5 https://www.cisa.gov/blog/2021/06/24/bad-practices

本連載執筆担当：ウイリス・タワーズワトソン Cyber Security Advisor, Corporate Risk and Broking 足立 照嘉