目次
年々、企業を狙うサイバー攻撃は巧妙化および深刻化しています。万が一、サイバー攻撃を受けても、被害を最小限に抑え、事業継続へとつなげる体制を整えておくことが必要です。
ここではBCP（事業継続計画）の策定後に備えておきたいサイバー攻撃対策マニュアルの作成方法や、サイバー攻撃に備える事前対策の事例などを解説します。サイバー攻撃への対策を練る際のポイントもご紹介します。
企業のセキュリティリスクの現状
生産性向上や多様な働き方の推進により、企業のICT環境が複雑化している状況です。加えて、企業を狙うサイバー攻撃の高度化・巧妙化により、企業を取り巻くセキュリティリスクが増大しています。
サイバー攻撃に限らず、地震やシステム障害など、事業を脅かすあらゆるインシデントの発生時に、重要事業を継続または早期復旧させるには、その具体的な対応手順や体制をまとめたBCP（事業継続計画）の準備が必要ですが、BCPだけでは備えとして不十分です。個別のインシデントの対応力を高めるため、BCP策定後の各マニュアルの作成が鍵を握ります。
BCP策定後のサイバー攻撃対策マニュアルの策定手順とポイント
BCPはあくまであらゆるインシデント発生時における戦略や対応手順などをまとめた計画のため、具体的な行動にはサイバー攻撃に特化したマニュアルの準備が必要です。ITリスクの場合、サイバー攻撃を受けたことに気付かず、事態が深刻化する恐れもあります。そのため、マニュアルでは状況把握や原因の特定方法、緊急時対応体制など、初動対応から復旧手順、事業継続までをまとめることが重要です。
ここでは経済産業省の「サイバーセキュリティ経営ガイドラインVer 3.0」を参考に、サイバー攻撃対策マニュアルの策定手順やポイントなどを解説します。
①管理体制の構築
まずは経営層が主体となって自社の対応方針（セキュリティポリシー）を定め、社内外に周知します。インシデント発生時に組織として一貫した対応を行うためにも、まずはセキュリティポリシーの策定が必要です。また、ステークホルダーからの信頼性を高めるためにも、社外への発信が非常に重要となります。
サイバーセキュリティリスクを適切に管理するには、プロジェクトチームを立ち上げ、日々の活動を継続していくことが求められます。人材や予算の確保なども行いましょう。
②リスクの特定と対策の実装
次に、自社の脅威となるサイバーセキュリティリスクを洗い出し、分析します。重要業務に関する情報など、自社で守るべきデータやシステムを明確にし、必要な対策を計画します。この分析は自社で過去にあったトラブル事例や他社事例などから、多角的な視点での分析が必要です。発生頻度と影響の大きさから対応すべきリスクの優先順位を決めることも、効率的なリスク管理の視点で重要といえます。
対策は、重要な情報へアクセスできる人材を制限する（リスクの低減）、セキュリティに強いクラウドサービスにデータを移行する（リスクの移転）などさまざまな方法があります。また、セキュリティ対策を効率的に強化するための仕組みの構築も欠かせません。「防御」「検知」「分析」の枠組みを整え、PDCAを回しながら対応の見直し・改善を行っていきましょう。
③緊急時の体制の明確化
実際にインシデントが発生した場合に備え、初動対応や緊急時の対応体制を明確にしておきましょう。初動対応では状況把握や原因の特定方法などのフローをまとめます。また、事業継続に向けた復旧手順やその体制の整備も必要です。いずれにおいても手順や体制を整えたら、訓練などを通じ、その実効性を確認することが求められます。
④サプライチェーンセキュリティ対策の推進
自社だけでなく、取引先に対するセキュリティ対策も非常に重要です。サイバー攻撃はシステムやネットワークの脆弱性を悪用されるケースが多く、取引先が被害を受けたことによって自社に影響が及ぶ可能性もあります。
具体的にはセキュリティ対策に関して役割や責任範囲の明確化、共同での訓練などが考えられます。
⑤コミュニケーション体制の構築
サイバーセキュリティの実践には、日ごろからの情報収集が鍵を握ります。ステークホルダーを含め、関係者とのコミュニケーション体制を構築し、収集した情報を有効活用する体制を整えましょう。
また、情報収集だけでなく、企業においては情報の発信も重要です。サイバーインシデント発生時には、法令に基づき、所管省庁や被害を受けた顧客などに対し、報告・通知の義務があります。情報の公表にあたってのルールをあらかじめまとめておきましょう。
上記①～⑤について内容を整理したら、マニュアルにまとめて社内に通知してください。
30年の現場経験から導き出した「実効性のあるBCP」の型を、貴社に最適化します
サイバー攻撃に備える事前対策の事例
サイバー攻撃に特化した具体的な事前対策事例を紹介します。マニュアルを作成する際の参考にしてください。
重要なデータのバックアップをとる
サイバー攻撃によってシステムが使用できなくなった場合、重要なデータが消失してしまう可能性もあります。定期的にデータのバックアップを行い、非常時に取り出せるようにしておきましょう。
バックアップデータは2つ以上備えておくこと（元データ含め3つ）が基本です。そのうち1つは本社以外の遠隔地に分散して保管することで、地震などの災害時にも安全を確保できます。バックアップしたデータを復元する手順や体制も必ずマニュアルに盛り込みましょう。
代替機を用意しておく
パソコンやシステムなどが使用できなくなった場合に備え、代替機をあらかじめ確保しておきましょう。ただし、同じ代替機で復旧するとまた同じ手口のサイバー攻撃を受ける可能性もあります。OSやサーバーの異なる代替機を用意する、遠隔地の代替機を使用するなど、十分な対策を行ってください。また、代替機に切り替える際は、問題がないと確認できてから実行することが重要です。
専門チームであるCSIRTを設置する
CSIRT（シーサート/Computer Security Incident Response Team）とは、セキュリティインシデントに特化した専門チームのことです。CSIRTにはセキュリティ対策や、インシデント発生時に被害を最小限に抑えるための対応などを行う役割があります。特に大企業や上場企業では、専任のCSIRTを設置するケースが増えています。最新の脅威情報やノウハウを共有したり、ほかの企業と連携して対応力を高めたりなども重要な業務です。
CSIRTは専門職でなくても、ほかの業務と兼任する従業員を集めて構築することもできます。その際はセキュリティ教育を経てから、チームを結成することが必要です。
サイバー攻撃に関する対応マニュアルを策定する際のポイント
サイバー攻撃に特化した対応マニュアルを作る際に、押さえておきたいポイントをいくつか解説します。
復旧目標を決める
BCPで定めた重要事業とは別の視点で、ITシステムに対して復旧目標の設定が必要です。たとえば目標復旧時間（RTO）や目標復旧レベル （RLO）、最大許容停止時間（MTPD）などを定めておきましょう。これらは被害想定を具体的なシナリオなどで検証したうえで、設定することが求められます。
ただし復旧目標を高くするほど、期間とコストがかかる点には注意が必要です。原因を早急に解明するプロセスや具体的な対応手順を明らかにしつつ、復旧にかかる期間・コストも考慮に入れて、組織として意思決定することが重要となります。
適切なコミュニケーション体制を構築する
セキュリティインシデントの発生時には、関係者との適切なコミュニケーションが早期復旧の鍵を握ります。そのため緊急時の体制や、経営層を含めたチームの役割をあらかじめ決め、情報の収集方法や共有方法を明確化しておくことが必要です。
また、セキュリティインシデントが発生した場合、ステークホルダーにも大きな影響を与えます。そのため、ステークホルダーに対し、“いつどこで、どのような情報を開示するか”といった計画を立て、適切なコミュニケーションを行うことが求められます。
意思決定フローを明確化する
サイバー攻撃を受けた際に、被害を最小限に抑え、早急に重要事業の復旧・継続につなげていくには、迅速な意思決定が必要です。迅速な判断につなげるため、集めた情報をもとに経営層が“どのように意思決定をするか”をまとめたフローを明確にしておきましょう。
定めた意思決定フローをもとに、情報収集から意思決定までの訓練を平時に行っておくことも重要です。訓練後は課題や問題点を抽出し、意思決定フローの改善・見直しまで必ず行うようにしましょう。
BCPだけでなくマニュアルの作成が必要
サイバー攻撃が巧妙化する中、企業を守るためには、BCPの策定だけでなく具体的な対応手順や個別の対策をまとめたマニュアルの作成が必要です。BCP策定後はサイバー攻撃対策マニュアルを策定し、訓練や見直し・改善活動を継続的に行いながら、マニュアルをアップデートしていきましょう。
