最新セキュリティマネジメント（第1回） サイバー空間潮流。サイバーセキュリティは経営問題

　年々深刻さを増すサイバー攻撃被害。新型コロナウイルス感染拡大によるテレワークの普及は、攻撃者にとって「絶好の機会」と捉えられているようだ。激化する脅威に対抗するため、経営者はどのような姿勢で臨めばよいのだろうか。本記事ではビジネスの未来を左右しかねないサイバーセキュリティに関する最新の潮流を紹介する。

高度化・巧妙化するサイバー攻撃の脅威

　2020年12月、経済産業省から「最近のサイバー攻撃の状況を踏まえた経営者への注意喚起」が発表された。

　標的となる組織や企業の情報システムに対し、ネットワークを介して侵入、破壊といった活動を行うサイバー攻撃は、コンピューターの普及とともに問題視されてきた。ここ数年で急速に手法の高度化・巧妙化が進み、私たちの社会に深刻な影響をもたらしている。

　そして、2020年には、大規模な情報漏えいやランサムウェアによる身代金奪取事件が多数発生し、かつてないレベルで危険度が増している実態が明らかになった。その中で経産省が発表した注意喚起は、最近のサイバー攻撃に見られる特徴や攻撃の目的を検証するとともに、全関係者がセキュリティ対策に取り組む必要性を指摘している。

　本連載ではこの注意喚起に加え、「サイバーセキュリティは“経営問題”として捉えるべき」との観点から、経営者が取るべき対策をまとめた情報処理推進機構（IPA）の「サイバーセキュリティ経営ガイドライン」を紹介し、ニューノーマル時代に知っておくべきポイントを解説する。

コロナ禍で「攻撃起点」拡大が加速

　「テロ」とも称されるサイバー攻撃は、リアル世界と同様に「巧妙・卑劣な」手口で実行される。これはリスクの高い正面からの突破を避け、常に防御レベルの弱い部分を狙って攻撃を仕掛けるというものだ。今回の注意喚起では、攻撃者が使用するサプライチェーン上の「攻撃起点」が拡大していると指摘している。

　具体的な攻撃起点としては、有効なセキュリティ対策を講じていない取引先企業、海外拠点、テレワーク拠点（自宅・外出先など）が挙げられている。取引先を装ったメールを使ってシステムに侵入し、ここ数年で大きな被害をもたらしているマルウェア「Emotet」をはじめ、さまざまな信頼関係を悪用した攻撃に十分注意を払うよう求めている。

　攻撃起点の確保が終わると、攻撃者は情報の窃取やランサムウェアによる身代金要求といった二次的な攻撃に入る。また、経済のグローバル化やコロナ禍に伴うテレワーク拡大で導入が進むVPN（バーチャル・プライベート・ネットワーク）の脆弱性を悪用した攻撃の増加も指摘している。「自分のパソコンが攻撃起点になる」危険は確実に高まっているというのが現状だ。

狙いは「業務妨害」から「金銭要求」へ

　今回の注意喚起では具体的なサイバー攻撃事例として、国内・海外で最近発生したインシデントを発表している。そのいくつかを紹介しよう。

・海外地方自治体（Emotet）
Emotet感染をきっかけに合計16テラバイトのデータがロックされ、ほぼすべてのサーバー・電話・メールが使用不能に。身代金支払いでデータは復号されるもIT責任者は解雇。

・国内企業（ランサムウェア）
サーバーへのランサムウェア侵入により、グローバルネットワークに接続している複数拠点のパソコンが暗号化。社内の情報システムが使用できなくなり、一時操業停止に。

・国内企業（攻撃拠点多様化）
中国にあるウイルス対策管理サーバーが外部から侵入され、拠点内で感染拡大。さらに国内拠点にも同様の手法で侵入。正規のアプリを用いた痕跡を残さない攻撃手法を使用。

　また、最近の傾向として、サイバー攻撃の目的が「業務妨害」から、より直接的な「金銭要求」に変わりつつあることが指摘された。参考情報として「ランサムウェアの被害に遭った日本企業の32％が身代金を支払う」「日本企業のランサムウェア被害額は世界2位」といったセキュリティサービス企業による調査結果が紹介され、被害の深刻さが浮き彫りとなっている。この傾向は今後さらに強まると思われる。

今問われる「経営者のリーダーシップ」

　続いて、経産省の注意喚起文書では激化するサイバー攻撃への対応策として、経営者に向けた具体的な提言を行っている。

・経営者の関与
サイバーセキュリティは最大の事業リスクのひとつに。事業運営見直しなど、経営者でなければ判断・対応できないケースが発生しつつある。実務者任せの姿勢を改め、より一層の関与を進める必要がある。

・リーダーシップの発揮
ランサムウェア被害は企業の信頼そのものに関わる問題。関係者に被害を与える恐れのあるデータに事前の保護対策を講じる、身代金要求への対応などの場面で、経営者の強力なリーダーシップが求められる。

・グローバル展開での注意
海外拠点とのシステム統合に際しては技術的な対応だけでなく、グローバル・ガバナンスの観点から、統合レベルの決定と設定した事業戦略に適した運用体制の構築を主導することが必要。

・「基本行動指針（共有・報告・公表）」に基づいた活動徹底
2020年6月、産業サイバーセキュリティ研究会の基本行動指針で示された「共有・報告・公表」という3つのアクションに沿った取り組みを担当責任者・担当部局に指示し、自社に対する社会的な信頼と産業界全体の取り組みの強化に貢献していく姿勢を明確にする。

　今回の注意喚起は企業の規模や業種を問わず、サイバー攻撃がビジネスの未来を左右する深刻な脅威であることを改めて指摘するとともに、経営者が先頭に立って対策を講じることの重要性をアピールしている。

　次回は具体的な対策の進め方について、「サイバーセキュリティ経営ガイドライン」をベースに解説する。