サイバーBCPの勘所―「不確実な情報」のもとで有事の意思決定を止めないために、平時に決めておくべきこと

1.不確実な状況下で問われる重要判断

「サイバーBCP推進アプローチと検討のポイント」で解説したとおり、サイバーBCPはゼロから新規に構築するものではなく、すでに整備されている自然災害やシステム障害向けBCPの枠組みを基盤としながら、サイバー攻撃特有の論点やリスクを反映して高度化していくことが現実的かつ効果的です。

その中でも特に重要かつ難易度の高い領域が、有事における意思決定です。サイバー攻撃発生時には、「不確実性」と「時間的制約」が同時に存在する中で、システム停止・業務継続・復旧方針・外部公表といった重要な判断を連続して下す必要があります。

金融庁と日本銀行が発表した「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」では、フロンティアAI（その時点における世界最高水準の汎用AIモデル）の脅威に対して各種対策を徹底してもサイバー攻撃を防御できない可能性を前提に、サービス・ITシステムを能動的に停止させざるを得ない場合についても、経営トップがあらかじめ選択肢として検討しておくべきであることが言及されています。さらに、サイバー攻撃や実被害が発生する前に「能動的なサービス・ITシステムの停止」の意思決定を行うための備えも必要です。

本稿では、サイバー攻撃特有の意思決定の難しさを整理した上で、有事対応における主要な検討ポイントおよび事前に整備すべき事項について解説します。

2.サイバー攻撃における意思決定の特性

サイバー攻撃は、攻撃者が意図的に行動を隠蔽することにより、被害状況の把握や将来的な影響の予測が困難となる点に特徴があります。

下表のとおり、自然災害やシステム障害と比較した場合、以下の点が意思決定の複雑性を高めます。

• 被害範囲が不可視であり、全容把握に時間を要する
• 対応中も攻撃活動が継続し、被害が拡大する可能性がある
• 発生時点と認知時点に大きな時間差が生じやすい
• 二次攻撃や再感染といった追加リスクが常に存在する

このような不確実性が伴う状態で判断を迫られる点が、サイバー攻撃発生時における意思決定の最大の難所となります。

3.有事における意思決定の主な論点

ここからは、サイバーインシデント対応における初動・封じ込め、復旧、外部公表・報告の各段階で求められる意思決定と、不確実性に起因する課題について説明します。

1）初動・封じ込め段階

初動段階では、攻撃や被害の全容が把握できておらず、今後の展開も読めない中で、重大な判断を迅速に行う必要があります。具体的には以下のような意思決定が求められます。

• システムやネットワークの停止・遮断の要否
• 業務継続または停止の判断
• 感染拡大防止のための隔離措置の実施範囲

特に、表面的には正常に稼働しているように見えるシステムやインターネット接続全体に対しても、将来的なリスクを見越して停止や遮断の判断を行う必要がある点は難易度が高く、経営・事業・IT・セキュリティを担う各組織間の連携が不可欠です。

被害拡大を早期に食い止めるための迅速な対応には、IT・セキュリティ部門に一定の裁量を付与することが有効ですが、その適用範囲や条件を事前に明確化しておく必要があります。

2）復旧段階

サイバー攻撃からの復旧においては、単にシステムを再稼働するだけでなく、「安全性」を担保した上での復旧が求められます。

主な意思決定の論点は以下のとおりです。

• 復旧対象データの安全性は確保されているか
• 再感染リスクをどの程度許容するか
• どの時点のデータで復元するか
• データ欠損状態で業務再開するか

また、フォレンジック調査により、侵入経路、侵害範囲、マルウェアの残存有無などを確認したとしても、リスクを完全に排除できないケースも存在するため、最終的には「残存リスクをどこまで許容するか」という経営判断が必要となります。

この判断は、

• 事業継続性（復旧レベル）
• 安全性（残存リスク）
• 緊急性（復旧時間）

の3要素のバランスを踏まえたトレードオフとして整理することが重要です。

3）外部への公表・報告

インシデント発生時の外部公表については、以下の複数の観点を同時に考慮する必要があります。

• 公表のタイミング（早期vs十分な裏付け）
• 公表内容の粒度（詳細vs概要）
• 公表による攻撃リスクへの影響
• 法令・規制に基づく報告義務

サイバー攻撃では詳細把握に時間を要するため、

• 正確性を重視すると、公表が遅れるリスクがある
• 迅速性を重視すると、情報不足により批判を受けるリスクがある

というジレンマが生じます。

さらに、開示内容が攻撃者に利用される可能性も踏まえ、透明性とのバランスを取る必要があります。

このように、サイバー攻撃発生時の意思決定にはさまざまな複雑性や難題が存在します。そして、多くの企業では、技術的判断はIT・セキュリティ部門、事業影響判断は事業部門、対外公表は広報部門、重要・総合的判断は経営といった形で大枠の判断領域における役割分担は整えられています。しかし、単一の部門だけでは難しい意思決定を組織間で連携して行うための考え方・動き方までは整理できていないのが現状ではないでしょうか。

4.組織横断での意思決定体制の整備

続いて、有事の意思決定を円滑に行うために、平時において決めておくべき主要事項を整理します。

1）役割の明確化

サイバー有事においては、経営・事業・IT・セキュリティ・広報などの各部門が異なる観点で意思決定に関与します。

そのため、最終判断者を個別に定めるだけでなく、各部門がどの観点で意思決定に寄与するのかを事前に整理しておくことが重要です。

2）意思決定権限の設計

初動・封じ込めおよびBCP発動・復旧に関する各アクションについて、以下を明確化します。

• 実施の意思決定主体
• 影響度・緊急度に応じた意思決定の権限区分
• 意思決定の関係部門への通知・共有ルール

特に、影響範囲の小さいアクションについては、IT・セキュリティ部門が迅速に実行できるように設計することが重要です。

①初動・封じ込め判断

初動・封じ込めの段階では、システムやネットワークの停止・隔離・遮断やアカウント無効化といった各種アクションについて、IT・セキュリティ部門の裁量で停止・隔離判断をしてよいものと、事業部門、経営との協議の上で停止・隔離判断をすべきものを区別して意思決定者を決めます。特に、早急な被害拡大防止に向け緊急性を要するアクションについては、IT・セキュリティ部門に一定の裁量を持たせて設計しておくことが重要です。

（ア）封じ込めアクション・範囲の整理

感染端末の隔離、単一サーバの停止、不審IPの遮断といった局所的な対応から、単一システムの停止、社内の特定のネットワークセグメント遮断、インターネット遮断、システム全面停止など広範囲に影響する対応まで、想定されるアクションを洗い出します。

（イ）封じ込めアクションごとの意思決定方針を定義

アクションごとに、業務・サービスへの影響、緊急性（アクションを取らなかった場合の被害拡大見込み）などを整理した上で、意思決定者の方針を決めていきます。

同じ単一システムへのアクションでも、対象システムの重要度・種類に応じて、判断者を場合分けしておくことも有効です。

また、意思決定者を特定の部門だけで決めるのではなく、以下のようなマトリックスを活用し、経営、事業部門、IT・セキュリティ部門が議論しながら現実解を探っていくことで納得感のある形にまとまります。

主な意思決定部門と合わせて、事前・事後通知が必要な他部門や、意思決定に必要な情報提供を行う部門についても認識を合わせておくことが必要です。

②BCP発動・復旧判断

BCP発動による業務継続やシステム・データ復旧についても、初動・封じ込めと同様に復旧策に対する意思決定者を決めます。

復旧施策は単一で行うのではなく、状況に応じて複数の選択肢を組み合わせ、段階的に適用していくのが現実的です。

業務運用に関わる判断主体は基本的に事業部門となるものの、サイバー攻撃時のシステム・データ復旧については、残存リスクに関するセキュリティ部門からの情報提供や見解をもとに、リスク受容可否を踏まえた判断を行うことが求められます。

また、BCP発動がシステム停止や代替システムへの切り替えを伴う場合には、IT・セキュリティ部門から以下のような点について情報提供を受け、十分な協議を行うことが必要です。

• システム停止がBCP発動対象外の業務に及ぼす影響
• 証拠保全やフォレンジック調査への影響
• 代替システムが攻撃を受ける可能性

ここでもマトリックスを活用し、IT・セキュリティ部門と事業部門が、復旧レベルや復旧所要時間のトレードオフを考えながら取り得る復旧の選択肢を洗い出します。その上で、セキュリティ部門が各案に対する残存リスクを示し、リスク受容判断を含む意思決定者を決めていきます。

上記のような各種復旧策を有事に迷わず選択できるよう、平時から以下のような内容を整備しておくことが有効です。

• 各復旧策の発動条件：どの状況でどの復旧策を選ぶかの基準
• 復旧策の組み合わせシナリオ：時間軸に沿った発動順序
• 「安全性が確認された」の判定基準：どこまで検証すれば安全とみなすか
• 許容残存リスクの考え方：経営として何を受容するかの指針
• 判断者とプロセス：各復旧策の判断者と承認プロセス

③能動的なサービス・ITシステム停止判断

フロンティアAIの進展により、従来は発見が困難であった脆弱性の短期間での発見や、脆弱性発見から攻撃に至るまでの期間短縮が想定されます。そのため、企業としては、サイバー攻撃や実被害が発生していなくても、その可能性を見越して能動的にサービス・ITシステムを停止する判断を求められるようになります。

このような判断についても、例えば「フロンティアAIによる致命的な脆弱性の発見および攻撃コードの公表」といったシナリオを想定し、以下のような点を考慮しながら、あらかじめ能動的停止の基準を定めておくことが必要です。

• 当該脆弱性の影響を受ける製品の有無
• 脆弱性を悪用した攻撃が行われた場合に想定される業務・サービスへの影響
• 早期パッチ適用の実現可能性
• パッチ適用ができない場合のリスク軽減策
• リスク軽減策を講じた上での残存リスク
• 他社での被害状況

実被害が無い中でのサービス停止判断は、経営層・事業部門としては腑に落ちない側面があります。しかし、フロンティアAIの脅威が極めて重大である点について、セキュリティ部門が経営層の理解を促し、経営層がリーダーシップを発揮して「能動的停止」に向けた取り組みを主導することが不可欠です。

3）権限設計の実行性を高めるためのポイント

• 裁量範囲の適切な拡張

各種アクションの実行にあたり関係部門との協議に時間をかけすぎると初動遅延を招くため、一定の権限委譲が有効です。

• 「並行通知」の仕組み整備

裁量によるアクション実行時も関係部門へ即時共有することで、組織連携を維持し、タイムリーかつ正確な状況認識に基づいて動くことができます。また、「事後になって初めて知る」ことによる信頼関係の毀損を防ぐことにもつながります。

• 事業部門との事前合意

「自分たちの業務システムが、セキュリティ判断で止められる可能性がある」という点について、事業部門が平時に理解・合意していることが、有事の混乱を防ぐ鍵となります。

4）インシデント公表基準の整理

初動・封じ込めや復旧だけでなく、インシデントの公表についても、以下のような点に関する意思決定について基本方針をあらかじめ整理しておくことが必要です。

• 公表要否
• 公表タイミング
• 公表内容・粒度
• 公表手段・対象
• 法令や規制上の開示義務
• トレードオフ関係にある早期・詳細公表と遅延・限定公表のバランス

インシデントの公表に関する以下の参考情報を活用しながら、自社の広報方針との整合性を踏まえて整理することが重要です。

• 「サイバー攻撃被害に係る公表」に関する国内組織実態調査 第2回
• 「サイバー攻撃被害に係る公表」に関する国内組織実態調査2023
• サイバーインシデントに関する記者会見実施事例からみる国内企業の傾向
• サイバー攻撃被害に係る情報の共有・公表ガイダンス

サイバーBCPにおいては、これまで述べてきたような役割と判断基準を平時に明文化し、訓練を通じて検証しておくことで、有事の際にも迅速かつ一貫性のある意思決定が可能となります。

5.平時の備えがサイバー有事の対応を変える

有事における意思決定の質と速度を向上させるには、平時における方針整理と部門横断での合意形成が不可欠です。

また、文書化だけでは不十分であり、訓練を通じてリアルな状況下での意思決定を疑似体験し、検討の抜け漏れや、有事の際に求められるスピード感・判断の重さに対する肌感覚と、文書化した方針とのギャップを検証しながら、継続的に改善していくことが重要です。