人間中心のサイバーリスク管理を考える 人をスコアせず、組織の判断力をどう育てるか⑦
インシデント対応、BCP、DRPは何が違うのか
前回は、一つの小さな出来事が、情報やシステム、業務、財務、信頼へと連鎖していくことについて書きました。
そして、ドミノは必ず最後まで倒れるわけではない、とも書きました。
異変に早く気づく。
影響を受けた機器を切り離す。
別の方法で仕事を続ける。
安全なデータからシステムを戻す。
必要な人が、必要な時点で判断する。
連鎖の途中には、いくつもの止める場所があります。
では、実際にサイバー事故が起きたとき、誰が、何をするのでしょうか。
ここで出てくるのが、
-
インシデント対応
-
DRP
-
BCP
-
危機管理
という言葉です。
どれも事故への備えや対応に関係しています。そのため、一緒に語られたり、同じものとして扱われたりすることがあります。
けれど、同じではありません。
同じ事故に向き合っていても、守ろうとしているものと、判断する内容、時間の見方が違います。
例えば、ランサムウェアが発生したら
月曜日の朝、社員が業務システムに入れなくなったとします。
画面には見慣れないメッセージが表示されています。
共有ファイルも開けません。取引先からは、「御社から不審なメールが届いた」という連絡が入っています。
まだ、この時点では全体像が分かりません。
何が起きたのか。
いつから起きていたのか。
どこまで広がっているのか。
情報は持ち出されたのか。
バックアップは安全なのか。
業務は続けられるのか。
この一つの状況に対して、複数の活動が同時に始まります。
インシデント対応―何が起きているのかを捉え、広がりを止める
最初に必要になるのは、何が起きているのかを確認することです。
どの端末が影響を受けているのか。
どのアカウントが使われたのか。
攻撃者はまだ中にいるのか。
ほかのシステムへ広がっているのか。
情報が外部へ持ち出された可能性はあるのか。
そして、被害がさらに広がらないようにします。
ネットワークから機器を切り離す。
不正利用された可能性のあるアカウントを止める。
外部との通信を遮断する。
必要なログや証拠を保存する。
侵入経路を特定し、取り除く。
これが、インシデント対応の中心です。
ただし、インシデント対応は「封じ込めたら終了」ではありません。
検知し、状況を分析し、封じ込め、原因を取り除き、安全を確認しながら復旧へつなげる。そして、後から振り返り、次の事故を防ぐ。
事故の発見から学びまでを含む一連の活動です。
インシデント対応が主に守ろうとしているのは、情報、システム、データ、そして被害が及ぶ可能性のある人や事業です。
中心となる問いは、
何が起きていて、どこまで広がり、どうすれば止められるのか。
です。
DRP―止まったシステムとデータを、安全に戻す
DRPは、Disaster Recovery Planの略です。
日本語では、災害復旧計画などと呼ばれます。
サイバー事故の場合、DRPが主に扱うのは、止まったITシステムやデータをどのように復旧するかという問題です。
どのシステムから戻すのか。
どのバックアップを使うのか。
そのバックアップは安全なのか。
どの時点のデータまで戻せるのか。
復旧にはどれくらいの時間がかかるのか。
元の環境に戻すのか、代替環境を使うのか。
バックアップがあるだけでは、復旧できるとは限りません。
バックアップ自体が暗号化されているかもしれません。
攻撃者が侵入した後の状態を、そのまま戻してしまうかもしれません。
復旧手順が古く、現在の環境では動かないかもしれません。
システムは戻っても、必要なデータがそろっていないかもしれません。
だから、DRPでは「保存している」ことだけでなく、「安全に戻せる」ことを確認する必要があります。
DRPが主に守ろうとしているのは、ITサービスとデータの復旧可能性です。
中心となる問いは、
何を、どの順番で、どの時点まで、どれくらいの時間で戻すのか。
です。
BCP―システムが戻るまで、重要な仕事をどう続けるか
BCPは、Business Continuity Planの略です。
日本語では、事業継続計画と呼ばれます。
ここで見るのは、システムそのものではなく、事業です。
システムが使えなくても、止めてはいけない仕事は何か。
最低限、どのサービスを続ける必要があるのか。
紙や電話など、別の方法で対応できるのか。
限られた人員や設備を、どこへ優先的に配分するのか。
顧客や利用者へ、何を伝える必要があるのか。
外部の事業者に代替を依頼できるのか。
例えば、受注システムが止まっていても、電話や紙で緊急注文だけを受けられるかもしれません。
病院で電子システムが使えなくても、患者の安全を守るために続けなければならない業務があります。
支援団体であれば、システムが戻るまで支援をすべて止めるわけにはいかないかもしれません。
通常と同じ水準で仕事を続けることができなくても、最も重要な機能を、受け入れられる範囲で維持する。
それがBCPの役割です。
BCPが主に守ろうとしているのは、重要な事業、顧客や利用者へのサービス、そして組織の使命です。
中心となる問いは、
システムが使えなくても、何を優先し、どうすれば重要な仕事を続けられるのか。
です。
危機管理―組織全体として、何を決めるのか
事故の影響が大きくなると、技術部門だけでは決められないことが増えていきます。
事業を止めるのか。
どの事業を優先するのか。
顧客や取引先へ、いつ知らせるのか。
規制当局への報告が必要なのか。
社会へ公表するのか。
身代金の要求にどう対応するのか。
会社として、どこまでの損失を受け入れるのか。
これらは、技術的な判断だけではありません。
人の安全、事業、財務、法律、契約、評判、社会的責任を含む、組織全体の判断です。
危機管理が主に守ろうとしているのは、組織全体、関係する人々、社会からの信頼、そして組織が存続して目的を果たす力です。
中心となる問いは、
この重大な状況に対して、組織として何を優先し、誰が責任を持って決めるのか。
です。
一本の時間軸に置いてみる
四つを簡単な時間軸に置くと、次のようになります。
発生前
-
インシデント対応の手順や連絡先を準備する
-
バックアップと復旧手順を確認する
-
継続すべき重要業務と代替手段を決める
-
危機時の意思決定者と代行者を決める
-
部門を越えて演習する
発生直後
-
インシデント対応が、何が起きているかを調べる
-
危機管理が、重大性を判断し、経営判断の体制を立ち上げる
-
BCPが、重要業務への影響と代替手段を確認する
-
DRPが、復旧可能性と必要な時間を見積もる
対応中
-
インシデント対応が、被害を封じ込め、原因を取り除く
-
BCPが、限られた方法で重要業務を続ける
-
DRPが、安全な環境とデータを使ってシステムを戻す
-
危機管理が、事業の優先順位、公表、顧客対応などを判断する
復旧後
-
通常業務へ安全に戻す
-
顧客や関係者への対応を続ける
-
判断や連携を振り返る
-
手順、権限、システム、バックアップ、教育を改善する
-
学んだことを、次の備えへ戻す
大切なのは、この四つが、きれいに順番で始まるわけではないということです。
インシデント対応が終わってからDRPが始まり、DRPが終わってからBCPが始まるわけではありません。
事故が起きた直後から、複数の活動が重なって動きます。
だからこそ、あらかじめ役割と接点を決めておく必要があります。
復旧を急ぐことが、新しいリスクになることもある
業務が止まれば、「一刻も早くシステムを戻してほしい」という声が上がります。
それは当然です。
けれど、安全を十分に確認せずに復旧すれば、攻撃者が残ったままシステムを戻してしまうかもしれません。
反対に、完全な安全を求め続け、復旧を先延ばしにすれば、事業や人への影響が大きくなるかもしれません。
ここにも、一つの正解があるとは限りません。
技術的な安全。
事業を続ける必要性。
人への影響。
利用できる情報。
時間と費用。
これらの間で、組織は判断しなければなりません。
だから、復旧とは単なる技術作業ではありません。
どのリスクを残し、どのリスクは受け入れず、どの時点で前へ進むのかという経営判断でもあります。
計画書だけでは、人は動けない
インシデント対応計画、DRP、BCP、危機管理計画。
立派な文書があっても、実際の事故で機能するとは限りません。
連絡先が古い。
判断する人が不在である。
代行者が決まっていない。
技術部門に問い合わせが集中する。
事業部門が、どの業務を優先すべきか決められない。
経営に必要な情報が届かない。
現場は、誰の指示に従えばよいのか分からない。
事故の最中、人は不完全な情報と強い時間的圧力の中で動きます。
疲れます。
迷います。
見落とします。
説明を繰り返すだけでも、大きな負担になります。
人間中心で考えるなら、計画書の有無だけではなく、人が実際に判断し、連携できる設計になっているかを見る必要があります。
誰が最初に気づくのか。
誰へ報告するのか。
誰が止める判断をするのか。
その人がいない場合、誰が代わるのか。
技術対応と経営説明を、同じ人に集中させていないか。
異論や不安を言える状況になっているか。
こうしたことは、文書を読むだけでは確認できません。
実際に迷い、相談し、判断する演習が必要になります。
同じ事故でも、守る対象と時間軸が違う
四つを短く整理すると、次のようになります。
-
インシデント対応は、何が起きたかを捉え、被害の拡大を止める
-
DRPは、止まったシステムとデータを安全に復旧する
-
BCPは、システムが使えない間も、重要な事業を続ける
-
危機管理は、組織全体への影響を見て、重大な判断を行う
別々の活動ですが、目的はつながっています。
情報とシステムを守る。
重要な仕事を続ける。
影響を受ける人を守る。
組織が危機を越え、戻ってこられるようにする。
言葉を正しく覚えることが目的ではありません。
実際に何かが起きたとき、誰が何を守り、どの情報を持ち、誰と相談し、何を決めるのか。
それを平時に考え、試しておくことが大切です。
そして、ここで再び「判断力」の話へ戻ります。
計画書があっても、現実は計画どおりには進みません。
情報が足りない中で、立ち止まり、確認し、相談し、判断を更新する力が必要になります。
次回は、研修やワークショップで育てたい「サイバー判断力」とは何か。そして、その判断力を、個人の点数にせず、どのように振り返るのかを考えてみたいと思います。
#サイバーセキュリティ #サイバーリスク #インシデント対応 #BCP #事業継続 #DRP #災害復旧 #危機管理 #ランサムウェア #人間中心 #意思決定