2022年3月9日において、証券取引委員会は、上場企業のCEOおよび取締役会に対し、警告を発しました。 同報告書によると、投資家は、企業がサイバーセキュリティ攻撃に備えているかどうかを知る権利があるとのことです。
そのため、同庁は、サイバーリスク管理、サイバーガバナンス、およびサイバーインシデントの報告に関する規制改正案を で公表しました。 提案されている規則により、サイバーリスクに対する企業の説明責任が、取締役会から経営幹部層、さらにはその下層に至るまで強化されることになります。 「今日、サイバーセキュリティは、上場企業がますます対処を迫られている新たなリスクとなっています」と、SECのゲイリー・ゲンスラー委員長は述べました。 「投資家は、発行体がこうした増大するリスクをどのように管理しているのかについて、より詳しく知りたいと考えています。」
国家によるサイバー攻撃が常に存在する脅威であり、 ランサムウェア が今や日常的な話題となっている中、世界中の組織が当然のことながら 最悪の事態に備えています。 しかし、彼らは準備ができているのでしょうか？
多くの人にとって、その答えは断固として「いいえ」です。 IBM Securityが発表した「 2021 」レポート『 』によると、特定の種類のサイバー攻撃を特定し、対応し、復旧するためのサイバーセキュリティインシデント対応計画（IRP）を策定していると回答した組織はわずか46％であり、企業全体で一貫して適用されているIRPを有している組織は 26％にとどまっています。
「ランサムウェアやその他のサイバー攻撃は、大小を問わずあらゆる業界に影響を及ぼしており、こうしたサイバー攻撃の件数と、それによる影響の深刻さの両方が増大しているのが現状です」と、ハガティ・コンサルティングのマネージング・アソシエイト兼サイバー部門責任者であるエリン・バジェマ氏は述べています。 「企業は、自社がサイバー攻撃の影響を受ける可能性があると想定し、万が一の事態に備えて対策を講じておく必要があります。」
ITチームやセキュリティチームは、 のインシデント対応の技術的な詳細を担当していますが、CEOやその他の経営幹部も積極的な役割を果たさなければなりません。 問題点は、ランド・コーポレーションでサイバーセキュリティとリスク管理を専門とする上級国際・防衛研究員、クエンティン・ホジソン氏によると、多くの指導者が自らが果たすべき役割を理解していないということです。
「経営幹部は、日常業務において自分がどのような責任を負っているかは理解していますが、サイバーインシデントが発生した際に、誰が意思決定や対応を行う責任を負うのかについては、必ずしも理解していない可能性があります」とホジソン氏は述べています。 だからこそ、インシデント対応計画を策定し、経営陣にその内容を常に周知しておくことが不可欠です。 「実績のある計画が整っていないと、もともとストレスの多い状況の中で、さらに多くの混乱に直面することになります。」
優れた計画には、5つの要素が含まれています。 IEEEコンピュータ協会によると、これらの要素は、 で定義されているインシデント対応の主要なフェーズ（ ）――準備、特定、封じ込めと根絶、復旧、および教訓の抽出――と一致しています。
1. インシデント対応に向けた人員とプロセスの準備を整えてください
IEEEによると、インシデント対応において準備段階は最も重要な段階であり、組織が危機にどれほど適切に対応できるかの基調を決定づけるものだからです。 サイバー攻撃に備えるため、コンピュータセキュリティインシデント対応チーム（CSIRT）——通常、セキュリティおよびIT担当者に加え、人事、広報、法務、経営陣のメンバーで構成されています——は、既存のセキュリティポリシーやツールを見直し、 リスク評価 を実施し、どのような脆弱性が残っているか、それらの脆弱性が悪用される可能性、および脆弱性がどれほど容易に検出できるかを特定する必要があります。
「ステークホルダーを防災対策に積極的に関与させることが、成功への道を開きます。」ハガティ・コンサルティングのマネージング・アソシエイト兼サイバー部門責任者、エリン・バジェマ氏
ホジソン氏によると、CEOや経営幹部は、懸念されうる事項を整理し、対応計画の根底にある前提条件のいくつかに疑問を投げかけるべきだとのことです。 これには、サイバー攻撃が発生した場合に実際にどのようなリソースが利用可能か、また組織や個々の担当者が必要な被害の抑制や復旧を迅速に行う能力があるかどうかを検証することも含まれるかもしれません。
人によって認識が異なる可能性があるため、チームメンバーは、万が一のインシデント発生時にどのような対応を行うか、どのような の措置を講じたいか、そして最も懸念される結果について、事前に話し合うことが極めて重要です。
「もし事件が発生したときに、サリーが休暇中だったらどうなるのでしょうか？」 ホジソン氏は尋ねます。 「誰が意思決定を行う権限を持っているのでしょうか？」 私たちは、自分の能力について、必ずしも当てはまらないかもしれない思い込みをしてしまっているのでしょうか？ 「これらは、計画の枠組みを明確にするために、尋ねておくべき良い質問であり、話し合うべき話題です。」
のサイバーセキュリティ・インフラセキュリティ庁（CISA） は、CEOはIRP（統合リスク計画）において最悪のシナリオが考慮されるよう確保すべきであると助言しています。 侵入が発生した場合、組織の最も重要な資産を保護するために、ネットワークの特定の高影響度部分を切り離すなど、極端な措置を講じる必要があるかもしれません。
[関連記事：サイバー危機が深刻化する中、CISOと取締役会はコミュニケーションの取り方を学ぶ必要があります]
CISAは、各企業に対し、昨年末にCISAが公表した、米国政府の最新の「 」（）および「Incident and Vulnerability Response Playbooks」（）を確認することを推奨しています。 CEOや経営幹部も、組織が重大なサイバーインシデントにどのように対処するかを確実に理解できるよう、机上演習に参加すべきです。 ホジソン氏は、これらの検査は少なくとも年に1回は受けるべきだと付け加えています。
「事前の連携訓練が行われていれば、インシデントへの対応と管理は円滑に進みます」とバジェマ氏は述べています。 「これにより、非難を伴わない環境の中で、組織全体の人間関係において何がうまくいっているか、何が課題となっているか、そして何に取り組む必要があるかを確認する機会が得られます。」 「ステークホルダーを防災対策に積極的に関与させ続けることが、成功への道を開きます。」
2。 サイバーインシデントを特定し、報告してください
特定段階において、組織は、セキュリティ上の逸脱がいつインシデントとみなされるべきかを決定します。 インシデントの特定には、証拠の収集、インシデントの優先順位の決定、および実施された措置の記録が含まれます。 CSIRTは、利害関係者や関係する外部の当事者に連絡を取る適切なタイミングを見極める必要があります。
この段階の計画において最も重要な点は、インシデントの深刻度をどのように分類すべきかを知ることだと、バジェマ氏は述べています。 「ハリケーンと同じように、サイバーインシデントも、その影響の大きさによって、さまざまな深刻度があります」と彼女は言います。 「あるシステムの1つの部分にのみ影響を及ぼすサイバー攻撃は、サイバーインフラ全体を機能停止に追い込むような攻撃に比べ、深刻度は低いと見なされています。」 「CEOは、現在どのような影響を受けているか、そして次にどのような影響を受ける可能性があるかを理解すべきです。」
現在の脅威レベルが高まっていることを踏まえ、CISAはCEOに対し、インシデント報告の閾値を引き下げるよう推奨しています。 悪意のあるサイバー活動の兆候が見られた場合は、たとえセキュリティ対策によって攻撃が阻止されたとしても、CISAに報告する必要があります。 （CISAの 24/7 オペレーションズ・センターへは、[email protected] 宛てにメールをお送りいただくか、 888-282-0870番にお電話いただくか、あるいはFBIの地方事務所にお電話ください。） 「閾値を引き下げることで、問題を即座に特定し、さらなる攻撃や被害の拡大を防ぐことができるようになります」と同機関は述べています。
リーダーがインシデントの深刻度を判断したら、経営陣は、CSIRTの役割と責任を説明し、実施すべき の監視 を特定し、インシデントを積極的に封じ込めるために必要な手順を決定し、協議すべき情報管理の要素を特定し、それらのそれぞれについて責任を明確に割り当てる準備を整えておく必要がある、とバジェマ氏は述べています。
バジェマ氏によると、この段階における協議の計画に関与する中核となるメンバーは、組織や攻撃の種類によって異なる可能性があるとのことです。 小規模なインシデントの場合、CEOは、IT部門の上級責任者、
重要な業務を統括する担当者、人事、広報、法務、マーケティングの各部門の責任者を会議に参加させるべきでしょう。
CEOは、組織内の各グループ間の対話を円滑に進める準備をしておくべきです。「経営幹部として、ソフトウェアの不具合を直接修正する立場ではありませんが、対応の各要素を調整し、組織全体でのコミュニケーションを維持する役割を担うことになります」と、
のバジェマ氏は述べています。
3。 ネットワーク上の感染を封じ込め、根絶する
事象を特定した後は、さらなる被害を防ぐために、その事象を封じ込める必要があります。 そうすれば、既存の感染やシステム内に残っている攻撃者を排除するために、これを根絶しなければなりません。 この段階では、ネットワーク内の影響を受けた部分を隔離したり、感染したデバイスを無効化したり、感染したシステムやデバイスを正常な状態に復元したりするとともに、 悪用された脆弱性や新たに発見された脆弱性に対するパッチを適用します。 この責任は、主にサイバーセキュリティおよびITチームが担っています。
「多くの場合、計画は孤立した個人によって作成されただけで、棚にしまわれたまま古びてしまい、その意義を失ってしまいます。」クエンティン・ホジソン氏（ランド研究所、上級国際・防衛研究員）
バジェマ氏によると、この期間中、CEOたちは事業の継続性に注力する必要があるとのことです。 「例えば、サイバー攻撃を受けた銀行の場合、どのようにして支店を営業し続けられるのでしょうか？」 と彼女は尋ねます。 また、CEOは、セキュリティおよび のレジリエンス への投資が、自社の重要な業務機能を支えるシステムに重点が置かれるよう確保すべきです。
ホジソン氏は、組織の業務を再開させるために、ウイルスを完全に駆除するためのコストやITインフラの刷新に関する議論に、CEOが関与すべきだと提言しています。 「コストは、CEOをはじめとする関係者が意思決定を行う上で、理解し、熟考しなければならない重要な課題です」と彼は述べています。
4。 ネットワークシステムおよびデバイスの復旧とテスト
復旧段階では、システムやデバイスを再起動し、テストを行って、もはや脆弱性がないことを確認する必要があります。 ITおよびセキュリティ担当者は、攻撃者が排除されたことを確認し、再感染を防ぐために、
これらのシステムを一定期間監視します。
経営陣レベルでは、CEOは、これまで経験してきた変化に対応できるよう、サービスをどのように復旧させるかについての議論に参画すべきです。 「これから、新たな日常への回帰が見込まれます。」 「働き方を調整している最中でしょう――新しいハードウェアを使って業務を行っているかもしれません――そして何より重要なのは、不可欠な機能やサービス、そしてこの新しい環境下でそれらをどのように提供し続けていくかを検討しているということです」とバジェマ氏は述べています。
5。 事後報告書を作成し、何がうまくいったか、何がうまくいかなかったかを明らかにしましょう
インシデントからの復旧後、組織は事後報告書を作成する計画を立てるべきです。 バジェマ氏によると、その報告書の一環として、経営陣は、対応における長所と短所の両方を特定するとともに、手順が定まっていなかった際に生じた問題点を明らかにした改善計画を策定するとのことです。 レポートを作成した後は、得られた教訓を一つひとつ確認し、具体的な改善策を確実に実行することが重要です。
「一度［攻撃］を受けたからといって、二度と起こらないとは限らないのです」とホジソン氏は述べています。 CEOは、将来に向けてより万全な準備をする方法について、主導して議論を進めるべきだと、同氏は述べています。 「人々は追加の研修を受けるべきでしょうか？」 当時、知っておけば役に立ったであろうのに、私たちが知らなかったことは何でしょうか？ どうすれば、より良いコミュニケーションが取れるでしょうか？ 「CEOはそうした質問に直接答えることはないでしょうが、チームにそれらに取り組むよう促すべきです」とホジソン氏は述べています。
[関連記事：可視性の確保とサイロ化の解消に焦点を当てたサイバーセキュリティ行動計画を策定する]
ホジソン氏によると、IRPに費やす検討、検証、そして練習が多ければ多いほど、復旧はよりスムーズに進むとのことです。 「多くの場合、計画は孤立した個人や少人数のチームによって作成されただけで、棚にしまわれたまま古びてしまい、その意義を失ってしまうのです」と彼は言います。 「もちろん、事態がどのように展開するかを予測することは不可能ですが、計画を綿密に立てれば立てるほど、その事態に対処する準備が整うことになります。」
つまり、インシデント対応計画の策定に積極的に関与するCEOは、自社が攻撃に対するセキュリティ対策をさらに強化できたことを確信し、安心感を得ることができるのです。
