被害は「深さ」と「広がり」を分けて考える
サイバー攻撃の被害は、一つの企業がどれだけ深刻な損害を受けたかという「深さ」と、どれだけ多くの企業や消費者に波及したかという「広がり」を分けて考える必要がある。
被害の深さという点では、アサヒの方が大きい。ファイルの暗号化が確認され、当初は約191万件について情報漏えいのおそれがあるとされた。最終的に漏えいが確認された件数は約11万5000件に縮小したものの、受注・出荷の停止は長期化し、通期決算の開示が26年7月まで延期される事態となった。
一方、第三者への波及の速さと広さという点では、ニチレイの被害が際立つ。停止から4日後の時点で少なくとも11組織に影響が及び、実質的には約5000社の荷主と、その先の消費者にまで影響が広がった。
ニチレイについては、情報漏えいは現時点では「可能性」の段階にとどまり、ファイル暗号化の有無も公表されていない。したがって、被害の深さについての最終的な評価は、今後の調査を待つ必要がある。
破られた時にどう対応するか
今回の２つの事例から企業が学ぶべき対策は、大きく３層に整理できる。第１は、システムへの侵入を防ぐ対策である。第２は、防御が破られた場合に企業自身の被害を最小化する対策である。第３は、顧客や取引先の被害を最小化する対策である。
重要なのは、第２と第３を別々の問題として考えてはならないことである。顧客被害は、最終的に自社の被害として還流するからである。
今回の初動では、個人情報の保護を最優先し、システムを遮断した。データ流出、訴訟、行政処分、信用毀損などの被害拡大を防ぐ上で、合理的な判断であったと考えられる。
一方、その結果として、約5000社の荷主の入出庫が停止し、外食、小売、生協、学校給食などに影響が広がった。つまり、自社の情報資産を守るための措置が、取引先や社会に大きな事業継続コストを発生させたのである。
これは危機時のトリアージとして必ずしも誤りではない。問題は、システムを遮断した場合に、その影響を受ける顧客や取引先に対して、どのような代替策をあらかじめ準備していたかである。縮退運転、優先出荷、代替物流、他社への振替などが十分に用意されていなければ、避けられなかった被害が緩衝されることなく、そのまま顧客側に伝わる。
