サイバー攻撃が増加している今日において、もはやサイバー攻撃のリスクを全くのゼロにすることは困難であると考えられています。つまり、サイバー攻撃はいつ自分の属する組織に向けて行われるかはわかったものではなく、明日、あるいは数分後には行われる可能性が常に存在しています。
このような脅威が身近になった時代では、従来のサイバーセキュリティ対策では不十分であり、時代の変化に合わせた新しいセキュリティ対策が必要です。
この記事では、現代のセキュリティ対策の概念として注目を集めるサイバーレジリエンスについて、その概要や注目の背景を解説します。
サイバーレジリエンスとは、企業がサイバー攻撃を受けた場合やその他の脅威にさらされた場合も、自社のシステムを迅速に復旧したり、業務の継続性を確保したりする力を指します。
サイバー攻撃や障害にはさまざまな種類がありますが、被害が甚大になると、サーバーやシステムそのものが駄目になってしまい、新たに体制を構築しなければならないというケースも珍しくありません。
このような事態に陥った場合、企業は再びシステムを構築するために莫大なコストを支払うばかりか、システムの復旧まで業務を継続することができず、ビジネスが成り立たない事態にも陥ります。
このような事態を避けるために、サイバーレジリエンスの概念が存在します。レジリエンス、つまり回復力をあらかじめ確保しておくことで、何らかの被害を受けても素早く復旧し、事業そのものへのダメージを小さく抑えられるわけです。
サイバーレジリエンスの考え方は、比較的新しく、従来のセキュリティ対策にはなかった概念とされています。従来型のセキュリティ対策とサイバーレジリエンスの違いを理解する上では、サイバー攻撃を前提としているか否かが挙げられます。
従来のセキュリティ対策におけるスタンダードとなっていたのが「境界防御」と呼ばれる考え方です。これは、社内のネットワークと社外のインターネットを意図的に分離し、外部ネットワークとの接点を制限することで、サイバー攻撃のリスクを回避しようというものでした。
一方、サイバーレジリエンスにおいて重視されているコンセプトは「ゼロトラスト」です。ゼロトラストとはその名の通り、社内外の全てを「信用できないもの」と考え、サイバー攻撃はいつでも起こり得るという前提でセキュリティ対策を行います。
従来型のセキュリティ対策は「サイバー攻撃のリスクをゼロにする」考えに基づきますが、サイバーレジリエンスは「サイバー攻撃を受けた際にどうするか」という考えが重視されており、攻撃を受けても柔軟に対応できる環境づくりが求められます。
サイバーレジリエンスの考え方が重視されるようになったのは最近のことですが、その背景には以下のような理由があります。
企業のDXがここ数年で急速に進んだことは、生産性向上の観点からは望ましい変化である反面、疎かになっているのがセキュリティ対策です。
多くの業務や情報がデジタル化したことにより、企業のデジタルへの依存度は高まっていながら、十分なセキュリティ対策のアップデートが進まず、多くのリスクを抱えながら運用しているというケースが散見されます。
デジタルへの業務の依存度が高まっているということは、それだけ攻撃を受けた際の被害も甚大になるということです。業務のデジタル化に合わせてサイバーレジリエンスを踏まえた対策を施さなければ、攻撃を受けた際には多大な損害を被るかもしれません。
企業のデジタル化が進んだことで、サイバー攻撃の件数が増加しているのはもちろん、攻撃の方法も複雑化・多様化しています。攻撃の多様化に合わせてセキュリティソフトも進化はしているものの、次々と新しい攻撃方法が開拓され、その全てを防ぐことはできないのが現状です。
そのため、従来のような境界防御型のセキュリティ対策だけではリスク低減においては不十分であり、もはや攻撃を受ける前提でシステムを脅威から保護する必要があるでしょう。
DXにより企業のシステム化が進んだことで、サイバー攻撃を受けた際の復旧にかかるコストも以前よりはるかに大きくなっています。
復旧にかかる費用はもちろん、その日数も無視できないものとなっており、その間業務が行いとなると、企業にとっては多大な損失を招きかねず、場合によっては事業を畳まなければならないということもあるでしょう。
上記のような脅威を退けるためにも、サイバーレジリエンスを踏まえた新しいセキュリティ対策の導入が必要です。サイバーレジリエンスをセキュリティ対策に取り入れる上では、以下のポイントを押さえておくことが求められます。
サイバーレジリエンスを高める上では、まず社内にはどのような情報資産が、どれくらいあるのかについて把握する必要があります。
サイバー攻撃から守らなければならない情報資産を明らかにしておけば、どのような対策が有効なのかを正しく分析できるようになるからです。
洗い出した情報資産をもとに、現在のセキュリティリスクを客観的に評価します。現在どのような領域にリスクを抱えているか、そのリスクが表面化することで、どれくらいの被害が想定されるか、被害から復旧するのにどれくらいの期間や費用が発生するかなど、多くのデータを得ることが可能です。
正しくリスク評価と分析を行えば、有効な対策を確実に実行することにつながります。
サイバーレジリエンスを実現する上で大切なのが、サイバー攻撃の局所化です。つまり、サイバー攻撃を受けたら社内のシステム全部が被害を受けるような体制ではなく、攻撃を受けた箇所のみで被害を食い止められるような仕組みを構築する必要があります。
サイバー攻撃を局所に抑えられれば、それ以外のシステムへの被害の拡大を防ぎ、スピーディにシステムを復旧することが可能です。
サイバー攻撃を受けた後も素早く攻撃被害を回復させ、システムをもと通りに復旧できる力は、サイバーレジリエンスの獲得においては重要です。
バックアップなどを確保しておけば、被害を受けたとしても攻撃の影響を小さく抑え、復旧と通常業務を並行して実施できるでしょう。
有効な対策方法は各社がどのようなリスクを抱えているかにもよりますが、サイバーレジリエンスを獲得する上では以下のような施策が有効とされています。
近年のサイバーレジリエンス需要の拡大に伴い、必要な対策をワンストップで得られるサービスが登場しています。
リスク評価からセキュリティコンサルティング、システム監視対策の整備に至るまで、必要な対策を一貫して受けられるため、一度こういったサービスに目を通しておくのも良いでしょう。
サイバー攻撃の被害を抑える上で有効なのが、攻撃や不審な動きがあった際に迅速に対応できる監視体制の実装です。
検知機能を強化し、初動対応までを任せられるシステムを導入すれば、被害を最小限に抑え、復旧へ移行できます。
通常のシステムとは隔離されているバックアップの用意も、サイバーレジリエンスの観点からは必要な取り組みです。
普段のシステムと切り離された環境でバックアップを確保しておかないと、サイバー攻撃を受けた際にバックアップまで被害を受ける可能性があり、バックアップとしての役割を果たせないことがあるためです。
この記事では、サイバーレジリエンスが注目される背景や、サイバーレジリエンスの獲得に向けて知っておきたいポイント、必要な対策例を紹介しました。サイバー攻撃はもはや誰にでも起こり得る災害であり、被害を受けても回復できるかどうかが鍵を握ります。
サイバーレジリエンスを強化し、被害を最小限に抑えられる体制を整えておくことで、事業を未知の脅威から守りましょう。
