多くの組織が、 を活用し、 を動員して、ランサムウェア攻撃、データ漏洩、フィッシング詐欺といった一般的なサイバー脅威に対応するための、堅牢な計画を成功裏に策定しています。
しかし、企業が、想定すらしていなかったほど壊滅的な事態に見舞われた場合、どうなるのでしょうか？
例えば、サイバー戦争や、世界的な銀行システムの機能停止、あるいは治療法のない新型ウイルスなどが挙げられます。 Enterprise concern for such black swan events—aka “unknown unknowns”—grew after former Wall Street options trader Nassim Nicholas Taleb published his 2007 bestseller, The Black Swan. その中で、彼は、最悪のシナリオは予測可能であると同時に予測不可能でもあり、企業にとって壊滅的な事態を招きかねないと論じています。
エリン・バジェマさんは、この状況を間近で見てきました。
「これらは、影響が極めて大きい一方で、発生確率が極めて低い事象です」と、緊急事態管理会社であるハガティ・コンサルティングのマネージング・アソシエイト兼サイバー部門責任者であるバジェマ氏は述べています。
「それらを予測するのはほぼ不可能です」と彼女は言います。「また、組織やそのサービス範囲、さらにはどのインフラ要素が関与しているかによって、その意味合いも異なってきます。」
さまざまな理由から、こうした事態を想定しようとする組織はほとんどありません。 経営幹部の中には、これほど大規模な事態など決して起こり得ないと、過信して思い込んでしまう人がいます。 また、最悪の事態に備えた計画立案に充てるリソースがない場合もあります。
また、「未知の未知」を想像するのは、気が遠くなるようなことです。 そのため、多くの組織は、自組織が直面する可能性が最も高く、発生頻度も最も高いリスクのみを特定し、それに対する対策を立てることに注力しています。
「これらは、影響が非常に大きく、発生確率が極めて低い事象です。」ハガティ・コンサルティングのマネージング・アソシエイト兼サイバー部門責任者、エリン・バジェマ氏
「毎日同じような低レベルのリスクに直面していると、危機管理のアプローチ全体をそうした事柄を中心に据えてしまいがちになります」とバジェマ氏は述べています。 その状況は変わりつつあります。「各組織は、 極めて壊滅的な事態に備え始める必要があることに気づき始めています。 もしそうしなければ、その結果は壊滅的なものになりかねません。」
メイデイ！ メイデイ！
未知の未知を想定することは――困難で居心地の悪いことではありますが――手遅れになる前に、取締役会や経営陣が行うべき不可欠な取り組みです。 まずはここから始めましょう。
1. チームを結成しましょう
バジェマ氏によると、ステークホルダーとの関わり方を計画することは、未知の未知を想定するための極めて重要な第一歩であるとのことです。 「計画を策定し、実際に現場で活用できるようにするためには、適切なレベルの専門性、知識、スキルを持つ人材を集めてチームを編成する必要があります」と彼女は述べています。
関与するステークホルダーは、組織全体を代表するものであるべきです。 多角的な視点（ ）は、あらゆる可能性を徹底的に検討し、包括的な対応を確実にするのに役立ちます、と多国籍エンジニアリング企業AECOMのシニアサイバーセキュリティコンサルタント、F・シャーリーン・ワトソン氏は述べています。 ステークホルダーには、広報・メディア対応チーム、人事、給与計算、サイバーセキュリティ、法務の各部門の担当者、ならびに取締役会および経営陣のメンバーが含まれる場合があります。
2。 まずは小さなことから始めましょう
小規模な組織や、リソースが限られている組織にとって、未知の未知を想定することは、とりわけ困難な課題となり得ます。 「中には、かろうじて首の皮一枚で持ちこたえ、日々のリスクを辛うじて管理しているだけの人もいるかもしれません」とバジェマ氏は述べています。 「基本的な［インシデント対応］の概念をしっかりと整えずに、いきなり大規模な事態に直面しようものなら、失敗を招くことになります。」
「誰も自分が脆弱だとは認めたくないものですし、文字通り自社を崩壊させかねない出来事について話すのは気が進まないものです。」AECOMのシニアサイバーセキュリティコンサルタント、F. シャーリーン・ワトソン氏
こうした組織に対しては、まずは基本的なシナリオプランニングや、シナリオに基づいた の机上演習から、小規模に始めることを推奨しています。 各チームは、過去の出来事やケーススタディを用いて対応策を策定することができます。これにより、組織のビジネスプロセスが現在どのように機能しているかといった仮定を検証するのに役立ち、各重要サービスにおける単一障害点を明らかにすることができます。
シナリオプランニングの先駆者であり、現在はセールスフォースのチーフ・フューチャリストを務めるピーター・シュワルツ氏は、シナリオを、今日のより良い意思決定を後押しする、データに基づいた豊かな「未来の物語」として捉えました。 その目的は、確実性を見出すことではなく、むしろ「不確実性の地図」を作成することにあります。また、すでに知っていることを再確認することではなく、むしろ「自分が見ていないものを可視化すること」にあります。
[関連記事：脅威ハンティングとは何か、なぜ重要なのでしょうか？
AECOM社のワトソン氏は、企業が半年ごとに机上演習を実施することを提案しています。 「多くの企業は、それが利益率の向上につながらないと考えているため、それを行っていないのです」と彼女は言います。 「手遅れになり、
のような危機的な状況に直面して初めて、その価値に気づくのです。」
3。 居心地の悪い状況にも慣れていきましょう
ワトソン氏は、多くの取締役や経営幹部にとって、未知の未知を想像することは容易ではないと認めています。 「誰も自分が脆弱だとは認めたくないですし、文字通り自社を破滅させかねない出来事について話すのは気が進まないものです」と彼女は言います。
しかし、不快感に打ち勝つことが極めて重要です。 上級幹部たちと机上演習を行っているバジェマ氏は、シナリオによってシステムが機能しなくなる瞬間が必ず訪れると述べています。多くの場合、それは意図的に仕組まれたものです。
「ステークホルダーがその段階に至ると、『まあ、もう壊れてしまったし、仕方ないね』と言うのです。」 その壁を乗り越えてもらうために、私たちはこう尋ねます。「さて、『 』の電力網がダウンしてしまった今（）、あなたならどうしますか？」 「取締役会は、この最悪のシナリオを想定する覚悟を持たなければなりません。」
[関連記事：取締役会に必ず尋ねてほしいサイバーセキュリティに関する 6 の質問]
4。 プロセスを体系化し、不足している部分を補う
組織が最悪のシナリオを想定した演習を行うにつれ、チームがどれほど円滑に連携できているか、また各チームの役割や責任がどれほど明確であるかについて、より明確な全体像が見えてくるでしょう。 バジェマ氏は、プロセスや手順を文書化し、不備や業務の重複があれば、それらに対処すべきだと述べています。
「取締役会は、この最悪のシナリオを想定する覚悟を持たなければなりません。」F. シャーリーン・ワトソン
例えば、組織によっては、緊急事態発生後の対外連絡について、人事部門と広報チームの双方が責任を負っており、連携が必要であることが判明したり、あるいはインシデント対応の担当が特定の個人やチームに割り当てられていなかったりすることが判明する場合があります。 プロセスを形式化することで、役割や責任が適切に割り当てられているかどうかを把握しやすくなります。
「これにより、統一された計画とプロセスを確立できるため、事態が発生した際にも、部署間で対応方針が食い合うことがなくなります」とバジェマ氏は付け加えます。
5。 拡張性と適応性を考慮してください
多くの組織では、日常的なサイバーセキュリティ上の脅威や事業中断に対処するため、 の対応計画 を策定しています。 こうした場合、最悪のシナリオに備えて計画を調整することは、「未知の未知」に対処するためのもう一つの方法となり得ます。 バジェマ氏はこれを「エスカレーション・マトリックス」と呼んでおり、これはすでに整備されている手順を、壊滅的な事態にまで拡大したものです。
「こうした計画のいずれかを改訂したり、より大規模な災害に対応できるよう更新・強化したりすることができれば、それは、すでに持っているものを活用して、ブラック・スワン事象に備えるための有効な手段の一つとなります」と彼女は述べています。
6。 研修に投資する
バジェマ氏は、組織は取締役や上級幹部、その他の責任あるグループに対し、未知の事態を想定し、それに備えるための研修を実施することを検討すべきだと述べています。 これは、取締役会のサイバーセキュリティに関する知識のレベルによっては、基本的な意識啓発研修といった単純なものであったり、あるいは
のような危機対応コミュニケーションといった、より高度な取り組みであったりする可能性があります。
[関連記事：災害を無視してサイバー保険に頼れば済むと思っているなら、考え直したほうがいいでしょう]
「未知の未知」を想定することは、あらゆる組織のサイバーセキュリティプログラムにおいて極めて重要な要素であると、ワトソン氏は述べています。 彼女によると、その手続きは電気代の支払いにとても似ているそうです。 毎月、電気代をお支払いいただければ、必要な時には必ず電気が供給されます。 しかし、ある日、請求書の支払いをうっかり忘れてしまい、電気の供給が停止されてしまう日が来るかもしれません。
「つまり、サイバーセキュリティ対策を通じて組織に投資し、会社の安全を守っているのです」と彼女は言います。 「ブラック・スワン事象への備えを優先的に行わず、組織が最悪の事態に見舞われた場合、本来行うべきことを怠ったため、準備ができていないことになります。」 「これからどうなるのでしょうか？」
