米国で最も裕福な郡の一つが壊滅的なサイバー攻撃を受けてから8ヶ月以上が経過しましたが、その痛手と莫大な費用を伴う余波は、いまだに収まっていません。
ロングアイランド東部のサフォーク郡議会は先週、郡のウェブサイト、サーバー、データベースを機能不能に陥らせた の「Fall 2022 」ランサムウェア攻撃 について情報を有する郡職員4名に対し、召喚状を発行することを可決しました。 今月初め、同郡は、 の初代最高情報セキュリティ責任者（CISO）として、氏を採用したことを発表しました。 また、昨年、 のインシデント対応 に関する独立した計画がなかったことが、復旧の長期化の一因となった可能性が高いことも認めました。
新しい見出しが出るたびに、胃がちょっと締め付けられるような気がします。 あれから何ヶ月も経ちましたが、当局は依然として、何が起きたのか、そしてその理由について解明を進めているところです。 私の仕事では、ほぼ毎週のようにサイバー攻撃の話を耳にしますが、今回の件は私にとって個人的なものでした。
去年の9月、母が転んで腕を骨折したため、私はニューヨーク市のアパートからサフォーク郡の実家へ急いで戻り、母の介護を手伝いました。 The cyberattack came two days later, forcing the county to shut down its website and other web-based applications that served the area’s 1.5 million residents. 州警察は、交通検問の際にナンバープレートや逮捕歴、逮捕状、その他の重要なデータを照会し、地元の緊急対応要員を支援するため、 に介入せざるを得ませんでした。一方、 911 人の通信指令員は、を手作業で記録していました。 10,000 人の公務員に対する電子メールの配信が停止されました。 中間選挙の開票作業は、 により遅延しました。 そして、地元の不動産市場――どこでも重要な存在ですが、とりわけロングアイランドの高級住宅地であるイーストエンドではなおさらです――は大きな打撃を受け、 では、 の不動産権利調査やその他の業務を処理できなくなってしまいました。
その後数か月にわたり、私は気性の激しい母が理学療法を受ける間、その世話をしながら、郡が――母ほど気性は激しくなく、むしろ右往左往し、失敗を繰り返しながら――独自の「リハビリ」を辛うじて進めていく様子を見守りました。 のフォレンジック調査報告書（ ）によると、ハッカーたちは、実際のランサムウェア攻撃（）の8か月前に、 2021年12月において、郡書記官事務所の の脆弱性（ ）を悪用してシステムに侵入していたことが明らかになりました。 侵入に成功した後、検知されずに侵入した犯人らは、 のビットコインマイニング用ソフトウェア（ ）、情報窃取ツール、および監視システムをインストールし、偽のアカウントを作成して、約26,000 件の社会保障番号と50万件近くの運転免許証番号を盗み出しました。
その報告書は、その厳しい調査結果にもかかわらず、事実のほんの一部に過ぎません。 この攻撃を受けて、次々と新事実が明らかになり、サフォークがサイバーセキュリティを真剣に受け止めてこなかったという、痛ましい事例であることが浮き彫りになりました。
事業運営にかかる費用
Rather than pay a $2.5 million ransom to hackers, the county elected to restore services on its own. ウェブサイトを再び稼働させるまでに5ヶ月以上かかりましたが、現在でも、不動産登記情報の検索や下水道料金の支払いなど、一部のオンラインサービスは利用できないままです。
「残念な現実として、サイバー犯罪者たちは、郡のIT部門がこれまで持っていたものよりも、その事務員のネットワークへのアクセス権を多く持っていたのです。」スティーブ・ベローネ、サフォーク郡執行官
The cost of responding to the breach and restoring services will total $5.7 million, according to the latest county estimates, though security experts say that figure may rise.
郡がただ我慢して身代金を支払うべきだったかどうかは、（かなり） 議論の的となっています。とはいえ、多くの専門家は、身代金を支払うと企業がさらなる攻撃のリスクにさらされると主張しています。 当初の（およびその他の）ハッカーたちが、あなたが金を払う意思があることを知れば、彼らは何度も餌場に戻ってくるかもしれません。
議論の余地がないのは何でしょうか？ 郡の備えがまったく不十分でした。
見えるものと見えないもの
ネットワークのエンドポイントに関する可視性の欠如により、攻撃後の最初の数週間、郡は対応に追われることとなりました。 「残念な現実ですが、サイバー犯罪者たちは、郡のIT部門がこれまで持っていたものよりも、その事務員のネットワークへのアクセス権を多く持っていたのです」と、スティーブ・ベローネ郡執行官は2月に の記者会見（ ）で述べました。 による効果的なエンドポイント管理、および による包括的な資産の検出とインベントリ があれば、侵害が検出された際にセキュリティチームを支援できたはずです。
CISO（最高情報セキュリティ責任者）が配置されていなかったこと――つまり、地方自治体の担当者に準備不足を警告し、費用対効果の高い改善策を講じるプロセスを指導し、ハッカーによる攻撃発生後に事態を収拾できる立場にある人物がいなかったこと――が、事態をさらに悪化させました。 資金繰りに苦慮し、サイバーセキュリティに関する知識もそれほど深くない多くの州政府や地方自治体にとって、CISOの配置は贅沢な話に思え、サイバー攻撃は遠く離れた、起こりそうにない脅威に映っているようです。 後者の仮定は、 完全に間違っています。前者の仮定は理解できますが、回避策は存在します。
[関連記事：CISOがバーンアウトと闘い、キャリアを長く続ける方法]
サフォーク郡は、初代CISOの候補者として 30 名の応募者を検討した末、マウント・サイナイ・ヘルス・システムの元サイバーセキュリティ責任者であるケネス・ブランシック氏を選任しました。同氏の年俸は184,214ドルとなる見込みです。Newsday（ ）が報じました（）。 このような費用は、一部の地方自治体やその他の中小企業にとっては手が出ないものかもしれませんが、 や CISO共有サービス といった選択肢は、サイバーセキュリティの専門知識にかかる費用を賄う手段として、人気が高まっています。
州全体での取り組みに参加する
また、「 」の州全体を対象としたプログラムへの参加 を通じて、自治体、部族、郡の各団体に対し、単独では入手できなかった情報や指針、さらには資金援助も提供されるようになってきています。 48の州 が、バイデン政権の1.2 兆ドルのインフラ支出法（2021年に可決）の一環である、4年間で10億ドル規模の「 」サイバーセキュリティ助成プログラム への助成金申請を行いました。 ここ数ヶ月、その資金が各州に少しずつ配分され始めていることを受け、州当局は、その資金を活用して州内の機関とサービスを共有しています。
「攻撃を受けたその日、慌てて何をすべきか考えあぐねるのではなく、あらかじめ用意しておいた対策を即座に実行に移せるようにしておくべきです。」リチャード・ドノヒュー氏、ニューヨーク州議会サイバー侵入調査委員会の顧問弁護士
例えば、ニューハンプシャー州の情報技術局は、地方自治体、学校区、水道局に対し、多要素認証の導入やIT担当者の研修を支援しています。 イリノイ州は、州全体のセキュリティ運用センターのサービスを共有し、郡、町、保安官事務所、 911 サービス、水道区に対して、エンドポイント検知機能を強化することで、ネットワークの可視性を向上させています。
「初年度の目標は、州全体で『共有型防衛』の適用範囲を広げ、その認知度を最大限に高めることです」と、イリノイ州のCISOであるアダム・フォード氏は先日、 を通じてStatescoop に語りました。
インシデント対応計画の価値
しかし、サフォークにおける最も重大な失策は、 のインシデント対応計画が策定されていなかったことだったと言えるでしょう。。 サイバー攻撃はもはや「起こるかどうか」ではなく、「いつ起こるか」の問題となっています。 どんなに計画を立てても、それは起こるものです。 したがって、インシデント対応マニュアルを常に手元に用意しておくことは不可欠であり、おそらく企業にとって最も重要なツールと言えるでしょう。 サフォーク郡にはそのような計画が策定されておらず、それが同郡の復興に要した時間と費用の多さに大きく寄与しました。
同郡には包括的な緊急対応計画はありますが、「サイバー侵害に特化したものではありません」と、州議会の特別設置委員会である「サイバー侵入調査委員会」の顧問弁護士であるリチャード・ドノヒュー氏は、今月初めに『ニュースデイ』紙の取材に対し述べました。 「攻撃を受けたその日」と彼は続けました。「その場しのぎで何をすべきか慌てて考えを巡らせるのではなく、あらかじめ用意しておいた対策を即座に実行に移せるようにしておくべきです。」
[関連記事：堅牢なインシデント対応計画を策定するための 5 のステップ]
サフォークのIT実務に精通しているとして召喚状を受け取った4名が、調査委員会の前で証言を余儀なくされるようになれば、どれほどの苦痛や賠償金の支払いが回避できたのかが、今後数週間のうちに明らかになるでしょう。
母の腕は治りましたが、主治医によると、今後数ヶ月は後遺症が残るそうです。 回復には1年はかかるでしょう。 どうやら、サフォーク郡についても同様で、同郡は今もなお、過去の過ちについて説明し、その問題と向き合わなければならない状況にあるようです。 調査委員会の最終報告書は、襲撃事件から1年が経つ頃に出される見込みです。
間違いなく、ふさふさとした白髪が特徴のベローネ郡執行官による記者会見が、今後さらに増えることでしょう。 これ以上白くなることはあるでしょうか？ 時間が経てば――そしておそらくさらなる召喚状が出れば――明らかになるでしょう。
