サイバーリスクに備えたBCPの重要性
以上のとおり、サイバーリスクは、事業継続を脅かするほどのリスクに変質しており、そして人為的な事象である以上、従来のBCPが想定していた自然災害や感染症といった被害原因よりその発生頻度ははるかに高いといえる。深刻度と発生頻度とを乗じてリスクの度合いを測定するリスクマネジメントの観点からは、サイバーリスクに備えたBCP策定の必要性は極めて高く、企業における喫緊の課題といえるだろう。
経団連が公表している「サイバーリスクハンドブック 取締役向けハンドブック」において、サイバーリスクに関する「対応計画」や「組織のサイバーセキュリティインシデント対応計画」 が繰り返し言及されているのも同じ問題意識からの提言事項ということができる。
企業はどのようなBCPを策定すればいいのか。BCPの一般的な内容としては、有事の際の対策責任者の策定、予備のシステムやオフィスの確保、即応した要員の確保、 迅速な安否確認などが挙げることができる。
サイバーリスクに関するBCPについては、これらに加えて、やはりシステム・データが攻撃対象となっている以上、システム・データ面が重要となる。特に重要なのはバックアップである。
上記の通りランサムウェア攻撃では、電子ファイルが暗号化の対象となる。毎日バックアップを取得していれば、ランサムウェア攻撃を受けても前日にバックアップされた電子ファイルとリプレイスをすることで早期の復旧が可能となる。筆者の実務経験上、バックアップ自体も暗号化されたことがあるため、バックアップサーバーの置く場所も検討対象となる。
また、有事の際にバックアップからリプレイスをしようと試みるとエラーが出てリプレイスが大幅に遅れたこともあった。そのため、避難訓練のようにバックアップからのリプレイスの訓練もBCPに盛り込んでおくことも有用である。
いまやすべての人間と国家が、サイバー攻撃の対象となっている。国境のないネット空間で、日々ハッカーたちが蠢き、さまざまな手で忍び寄る。その背後には誰がいるのか。彼らの狙いは何か。その影響はどこまで拡がるのか─。われわれが日々使うデバイスから、企業の情報・技術管理、そして国家の安全保障へ。すべてが繋がる便利な時代に、国を揺るがす脅威もまた、すべてに繋がっている。
特集はWedge Online Premiumにてご購入することができます。
