「経営資源の洗い出しがセキュリティBCPの勘所」

企業や組織は基本的なセキュリティ対策を行っているところが多いため、比較的クリーンなネットワーク環境にあると思います。しかし、対策の甘い私用端末をつなぐなどすれば何が入ってくるか分かりません。

「家庭のネットワーク」との隣接という意味では、例えば、初期設定が甘い無線LANルーターなどを家族がうっかり使用するケースもあるでしょう。こうした機器に関しては、実は情報通信研究機構（NICT）が多くの調査を実施しています。調査を通じてウェブカメラやルーターもかなりセキュリティが甘いものがあることが分かってきています。

セキュリティインシデントが一度発生すると、会社存続に関わることもあります。万が一の際に「何が起きたのか」「どうやれば自分たちで解析できるのか」あるいは「解析できる人に状況を的確に伝えられるか」などの検知体制や事後対処策を準備することが重要です。これがセキュリティBCPの大きなポイントです。

セキュリティBCPをどのように組み込むかは、組織の規模や人員構成による部分もあるため一概に言えない部分も大きいです。しかし、セキュリティの初動対応は経験値が重要です。これらは事件や事故をいかに経験したかによって実践知として身につきます。

一般的には、事件や事故はなかなか経験できません。そこで重要になるのが「訓練」です。さまざまなインシデントや事件、事故を擬似的にでも体験し、現場で生きる知恵を持った人材が大切です。こうした訓練を、通常のBCPの中の1つとして組み込む形で対策を図ってもいいでしょう。また、「CSIRT（シーサート）」と呼ばれるセキュリティ事故対策チームを構築し、経験値を蓄えた人材の育成と対策拡充が可能な規模感の企業・組織であれば、そうした取り組みを進めてもいいでしょう。何よりも重要なのは、組織の大小を問わずセキュリティインシデントに際して、リスクを最小化するために「機能する」状態を保つことです。

なるほど。では、「機能する」セキュリティBCPを構築するために必要な視座を教えてください。

例えば、セキュリティ運用を考える場合、「ISMS（情報セキュリティマネジメントシステム）」という認証の枠組みがあります。そのファーストステップで何を実施するかといえば、「自分たちの価値のある情報には何があるのか」「それはどこにあるかを洗い出す」ことです。

その際に、「情報の価値とは何か」を考えます。重要機密情報には、個人情報や取引記録、いわゆる機密情報そのものや各種パスワードなどが考えられます。しかし、「自分たちが重要でない」と判断した情報であっても、攻撃側にとって価値ある情報であることもあるわけです。例えば、メールアドレスが分かっただけでも、攻撃者はそれを起点に過去に漏洩した情報と組み合わせて攻撃を仕掛けることが可能です。

そこで気になるのは、「自分たちにとって価値の低い情報が、攻撃者にはどのような利用価値があるのか」ではないでしょうか。無防備な公開情報をかき集めて悪用する手法は日々進化しています。このため、セキュリティに関する知見の少ない段階では、警戒や保護の方法を認識・理解するために外部専門家に力を借りるのがよいでしょう。それが難しい場合には、多様化する攻撃手法やインシデントについて「どんな情報がどのように使われたのか」という情報について関心を持って集めていく姿勢が大切です。

こうした観点を含めて、保有する情報の種類や量、管理方法を点検していきます。この中でそれぞれの情報が存在するサーバーやネットワーク、クラウドなどの社外サービスを「どの程度」「どう守ればいいのか」が見えてきます。これらの情報を基礎として、必要なスキルを持つ人材の配置や予算配分をひもづけて考えていくと整理しやすいでしょう。

セキュリティBCPの大まかな手順を整理すると、次のようになります。まず「情報の価値とは何か」を考え、浮かび上がったポイントについて専門家の知見を仰ぐ。その着眼点を自分たちのものにして、引き続きアンテナを日々伸ばして知識をブラッシュアップしつつ組織として機能する体制を考えていく。機能する、という視点の上ではトレーニングも重要です。NICTでは実践的なサイバー防御演習「CYDER（サイダー）」も行っていますので、ぜひ活用してください。重要項目の洗い出しの面では、中小企業庁や情報処理推進機構（IPA）などが情報セキュリティのためのガイドブックやガイドラインを提供しています。これらを参考にしてもよいでしょう。

まずは、考え過ぎずにどんどんリストアップして「こんなにあったんだ」と認識するくらいのスモールスタートでよいと思います。サイバーリスクがかつてない規模で高まっている状況の中で「やらない」ことが一番の悪手です。最初から100点を目指すのではなく、「まずはやってみる」姿勢がとても大事です。