セッション1 企業経営に求められるサイバー攻撃対処に必要な態勢と能力獲得について

猛威を奮ったランサムウェアWannaCry（ワナクライ）やPetya（ペチャ）。これらのサイバー攻撃に備えるために企業は何をするべきか、PwCサイバーサービス合同会社最高技術顧問名和利男が、サイバー攻撃に対する取り組みや考え方を紹介しました。

PwCサイバーサービス合同会社最高技術顧問名和利男

ランサムウェアから得られた教訓とは

ランサムウェアに感染した現場を視察すると「何をやれば良いのか分からない」、「情報が不足している」といった状況で、どこも大変な混乱状態でした。サイバー攻撃に対処するマニュアルを作っているにもかかわらず、事前に対処できる準備も整っておらず、実際に取るべき行動ができなかったところも多くありました。サイバー攻撃の脅威そのものが変化し、より巧妙化しているのに対して、対応する現場は旧態依然の体制と認識のままなのです。そのため初動が遅れたり、対策が進められなかったりしたケースが多く見受けられました。ここを変えていかない限り、サイバーセキュリティ対策を進めることは困難なのです。

サイバーセキュリティ対策を進めていく上で、権限を持つ者が積極的に関与することも不可欠です。経営層が各部門長に対して明確な意思を持って指示を出すことは重要ですが、インシデントが発生すると、経営層は「早くやれ」と言うだけで、現場は具体的な指示がないため動けないことが多いのが現状です。サイバー攻撃に対応する現場で求められるのは、常にサイバー攻撃に身構える体制であって、上からの指示を待つようなものではありません。

こういった体制を変えていかないと迅速に適切な対応は取れません。これが世界同時多発した今回のランサムウェアの事案から得られた教訓だと考えています。

【図1】ランサムウェア事案から得られた教訓（1）

【図2】ランサムウェア事案から得られた教訓（2）

設備機器の技術仕様にサイバーセキュリティ対策は入っていたか

工場などで使用されている設備や計測システムは安定稼働を最重要視するため、初期設定のまま使われていることが多いのはご存じでしょうか。セキュリティ対策のためにアンチウイルスソフトを入れるためには検証を行う必要があり、検証費用だけでも数千万から数億円の費用が必要となることもあり、簡単に導入することができない事情があります。これは設備機械の仕様設計時にサイバーセキュリティ対策が検討されてなかったことに起因します。

日本のサイバーセキュリティは、個人情報漏えい対策が最重要とされていますが、工場の制御システムに保護すべき個人情報はほとんどありません。また、工場などのシステムには、CND（Computer Network Defense）の概念に基づく、システムによる多層的防御が実装されていなかったことも初期設定のまま使われている要因と言えます。

訓練の実施で対応力をつけていく

さまざまな企業でサイバーセキュリティ対応能力の評価や、ドキュメントの確認が行われています。しかし、企業が準備しているドキュメントに記載されている内容は十数年前にあった脅威に対応するもので、陳腐化しているのが現状です。そこで、実際のサイバー攻撃への対応力をつけるための演習訓練が有効となります。攻撃してくる相手は常に変わるため、ドキュメントに準拠するような訓練ではなく、土壇場力をつけていくようなリアルな演習が必要です。

訓練の実施で対応力をつけていく

経験者の獲得と規制

サイバーセキュリティ対策の経験やサイバー攻撃の仕組みを理解しない人が対策方法を教えたり、対処しようとしても、実際には機能しない内容だったりします。極端な意見かもしれませんが、サイバー攻撃に対処するには、実際に攻撃した経験がある人や、経験が豊富な人を取り込んでおかないと有効な手段を取ることはできません。そのため、適切な経験者にチームに入ってもらうことを検討する必要があります。