経営者向けランサムウェア対策のポイント―事業継続リスクとなったランサムウェア攻撃

ランサムウェア攻撃は重大な経営リスク

経営者はランサムウェア攻撃が重大な経営リスクであることを認識する必要があります。サイバー攻撃による企業への事業影響は、今までは個人情報や機密情報の流出、不正送金などによる金銭の盗難などが中心でした。しかし、ランサムウェアによるサイバー攻撃にはシステムの破壊や停止が伴うため、事業継続の脅威となります。過去に発生したランサムウェア攻撃では、以下のような事業影響がありました。

• 工場の操業停止
• 会計システムの停止
• 店舗での決済停止
• 医療提供の停止
• リモートワーク業務の停止

経営者向けランサムウェア対策チェックリスト

PwCはこれまでCEOやCISOらへアドバイス、インシデント対応支援を行ってきた実績や経験、そこから得られた知見に基づき、「経営者向けランサムウェア対策チェックリスト」を作成しました。このリストには10個のチェック項目があり、「戦略」「プロセス」「技術」「事後対応」の4つに分類されます。

1. 【戦略】経営会議などでランサムウェアの影響について議論

ランサムウェア攻撃が重大な経営リスクであるという認識を共有するために、取締役会や経営会議などで議論する必要があります。会議の中では、最新動向の共有、自社の状況把握、リソース確保のための議論を定期的に行うことが推奨されます。また、万が一の訴訟リスクに備えるため、議事録を残すことが必要です。

2. 【戦略】ランサムウェアによる事業継続の影響評価

サイバーセキュリティ対策のアセスメントに併せて、事業継続への影響を評価できているかを確認する必要があります。具体的には、基幹システムが暗号化された場合、何時間で復旧ができるか、それはビジネスとして許容できるかなどです。事業継続の影響評価は、経営会議などでの議論のインプットとして活用できます。

3. 【戦略】人員、予算などリソースの確保

経営者は、ビジネスとして許容できる事業停止時間を満たすために必要な、ランサムウェア対策に係るリソース（人員、予算など）について、CISOらに合理的な説明を求める必要があります。また、必要なリソースについて経営会議などで議論し、優先的に投資することの合意を得る必要があります。

4. 【プロセス】長時間のシステム停止を考慮したBCPの見直し指示

日本企業ではBCP（事業継続計画）対策は経営企画部門や総務部門、サイバー攻撃対策はIT部門やセキュリティ部門が担うことが一般的であるため、ランサムウェアによるBCP対策を講じる際、組織間の障壁が課題となる場合があります。そのため、経営者は組織間の壁を取り除き、レジリエントな体制を構築する必要があります。また、BCPやセキュリティに関する各種規程を改訂し、組織に定着するよう従業員のセキュリティ意識を向上させる必要があります。

5. 【プロセス】ランサムウェアによる脅迫や情報リークを考慮した社内外コミュニケーション計画の見直し指示

ランサムウェアの攻撃者は、金銭を獲得するために3重、4重の脅迫を行ってきます。暴露サイトに機密情報を暴露したり、取引先や顧客にまで連絡して揺さぶりをかけたりする事例も確認されており、このような脅迫行為はメディアなどでも取り上げられています。プレスリリースや取引先などへの対外コミュニケーション方針、社内での情報開示範囲の方針などを平時から整備する必要があります。

6. 【技術】バックアップ状況、リカバリテスト結果の確認

従来のランサムウェア対策の常套手段であったバックアップは、引き続き有効です。しかし、バックアップデータまで暗号化された事例もあります。経営者は、バックアップデータがオフラインで保存されているか、定期的にリカバリテストを実施しているかなどを確認する必要があります。

7. 【技術】サイバーセキュリティに関するベストプラクティスの実装状況の確認

各国の公的機関からはランサムウェアの感染を防止する対策や、不正アクセスを迅速に検知する対策などが公開されています^*2*3*4*5。これらのベストプラクティスが自社に実装されているか、業界標準のベンチマークと比較してギャップが存在していないかなどを確認する必要があります。

8. 【事後対応】インシデント対応の指揮命令、不測の状況に対する意思決定

万が一、ランサムウェアに感染した場合、初動対応が非常に重要です。まず、BCPやセキュリティに関する社内の各種規程に基づいて緊急対策委員会などを設置し、ビジネスへの影響を最小化できるような緩和策を実施する必要があります。また、社内の関連部署やステークホルダーを巻き込み、不測の事態に対するアドバイスを提供してもらうことも必要となります。

9. 【事後対応】身代金要求に応じないことの関係者合意

日本政府ガイドライン^*1*3は身代金を支払わないことを強く推奨しており、要求に応じないことを関係者で合意する必要があります。身代金の要求を拒否すべき理由は以下の通りです。

• 支払いに応じたとして、データが復旧される、または公開されないという保証はない
• 支払いに応じた場合、さらなる攻撃の対象になりかねない
• 犯罪組織への資金提供とみなされる（米国では金銭の支払いを行った企業に対して、外国資産管理局から制裁が課される可能性あり^*6）

10. 【事後対応】社外の専門家との協議

ランサムウェアにより大きなビジネス影響が発生する場合、社外の専門家による調査委員会を設置すべきケースも考えられます。平時から、弁護士、技術専門家、広報専門家らと協力関係を構築し、有事の際に迅速に協議に入れるよう準備しておくことが推奨されます。