カギとして注目される「デジタルトランスフォーメーション(DX)」。新型コロナ禍も背景にリモートワークなどがその1つの形として広がりつつあります。テクノロジーを応用した多様な働き方や新たな価値創出が実現し始める「ニューノーマル時代」の中で情報通信のリスクも高まっています。これらの最小化に向けて注目されるのが「セキュリティBCP」です。(NICT)の園田道夫氏にお話を伺いました。新型コロナウイルス感染症拡大への対応として多くの企業でテレワークや在宅勤務が導入されました。コロナ禍以前と以後ではセキュリティ環境はどのように変化したのでしょうか。「ニューノーマル」と呼ばれる時代背景の中でテレワークや在宅勤務は多くの企業に注目されました。近年は、デジタルトランスフォーメーション(DX)による新たな価値創出の実現が企業成長のカギとなっています。した中でネットワークやシステムなどのITインフラは、ビジネス継続に必要な存在として重要性が高まっています。これらへのサイバー攻撃などのセキュリティリスクや障害が起こった際の影響が大きくなります。この文脈の中で「セキュリティBCP」に注目が集まっています。通常のBCPとセキュリティBCPの大きな違いとはどのような点でしょうか。日本の場合、BCPは「地震や風水害などの自然災害から企業活動を守り、重要な業務を継続するための備え」という文脈で注目されるようになりました。この意味で、セキュリティBCPと、通常のBCPには大きな違いが2つあります。自然災害の場合、「ハードなどの迅速な復旧・復興」が事業継続にとって重要な視点です。サイバー攻撃に代表されるセキュリティインシデントの場合、「事象の原因究明」が重要なポイントです。これが1つ目の大きな違いです。復旧後にぜい弱性などが残ったままでは、同じリスクを被るためです。2つ目の違いは、ITリスクは「予防が可能」という点です。自然災害は予測も難しいため、発生後にいかに迅速に対処するかがポイントになります。ITリスクは、事前の工夫や対策によってリスク低減がある程度できる。その点が通常のBCP対策との違いです。その他、ひとたび情報漏えいなどのインシデントが発生すると、個人情報を預かる企業・組織であれば、被害者である個人ユーザーへの説明責任を果たしながら問題解決を図る多層的な対応が求められます。した点もセキュリティBCPの特徴です。テレワークや在宅勤務環境の広がりの中で発生したセキュリティ事例や、近年の攻撃手法の変化をお聞かせください。テレワークを支える大きなポイントは、遠隔地から企業ネットワークに入る仕組みとして「VPN(バーチャルプライベートネットワーク)装置」などが重要になっています。逆に言えば、攻撃者がそこを狙うようになってきています。2020年5月頃の大手電機メーカーへのサイバー攻撃では、このVPN装置を狙われたとの指摘もあります。攻撃者側は企業環境の変化を俊敏に読み取り、攻撃を仕掛けるべきポイントを非常によく分析しています。その上で弱い部分を的確・巧妙に狙います。した背景を理解してネットワークに関する部分を安全に機能するように考える必要があります。「どこが攻撃を受けたのか」「その攻撃がITインフラを使用不能にするような攻撃なのか」「本当にハッキングされたのか」などによっても初動対応や復旧に向けた取り組みは変わります。その他にも、大手ECモールを展開する企業の大規模顧客流出が記憶に新しいところです。これはクラウド型の顧客管理システムの設定に誤りがあったために起こったとされています。多くの企業ではクラウドサービスの利用が当たり前になっています。これらは「リスクを把握しにくい」状況を生み出しているとも言えます。サーバーなどを自社所有して運用・管理すればインシデント発生時のログ調査や解析など原因特定行為に自由度がありますが、クラウドサービスを利用する上ではサービスベンダーに任せざるを得ない部分が増えます。専門的なセキュリティに関する知識を借りられるメリットはありますが、必ずしも期待通りに対応してくれるわけではないため、なかなか難しいところです。国立大学がスパム配信の踏み台になった例もあります。これはメールアドレスのパスワードが外部漏えいしたことが発端です。学外のウェブサービスを利用する際に学内サービスと同じメールアドレスとパスワードを使っていた学生がいたらしいのです。この学外サービスが不正アクセスされたことでメールアドレスとパスワードが漏えいし、大学のサーバーが攻撃されました。現在ではこうしたパスワードの使いまわしに起因する事例も目立ってきました。近年での特徴的な事例としては、大手エネルギー関連企業が取引先のシステム会社を経由して侵入された不正アクセスの事例があります。侵入されるケースが増加しています。Link)」と表現されます。サプライチェーンなど、同じセキュリティグループを構成する存在の中で「もっとも弱い部分」という意味です。部分的にどれだけ強固なセキュリティを施していても、全体では「対策の最も弱い部分が全体のセキュリティレベルになる」ということです。チームスポーツでオールスターのような強いメンバーを集めても、その中の一人が弱いメンバーだったらそこを攻められて負けてしまうのと同じです。やっかいな点は、ウィーケストリンクへの攻撃は「警戒心が働きにくい」ことにあります。組織が外部からの攻撃を警戒していても、連携・提携している企業に関しては警戒が手薄になる。グループ企業であっても予算や人員都合で同じレベルで警戒ができなかったりもします。攻撃者はこうした事情もよく知っていますし、狙い目だと考えています。最近では大手自動車メーカーが海外拠点経由で攻撃を受けた事例が印象的です。した一連の動きはコロナ禍以前から続いているのでしょうか。特筆すべきはコロナ禍への対応として在宅勤務やテレワークが増える中で企業・組織内のネットワークと家庭のネットワークの接点が増えている点です。家庭のネットワークやそこにつながる多様な機器は、企業・組織内のネットワークと同じ警戒心や保護レベルを必ずしも担保できません。したネットワーク同士が相乗りするわけですから、悪意ある者にとっては「攻撃が容易なウィーケストリンクが拡大している」とも取れます。その意味でも、セキュリティインシデントが発生した際のビジネスインパクトを踏まえ、いかに的確に対処できるかを重要視したセキュリティBCPを策定し、経営に実装するかが重要となっています。IPA主催セキュリティ・キャンプ実行委員・講師等として携わる。セキュリティ人材育成研究センター長等を経て、2017年同機構ナショナルサイバートレーニングセンター長として、現在に至る。※役職は記事公開時点のものです。担当を経て、2011年3月より地方行政の総合誌「ガバナンス」の記者・編集者を担当。「東日本大震災に関する資料リスト」には、自ら企画した特集およびインタビュー記事が所蔵される。2017年9月、日経BPコンサルティング入社。Unisys」など各種Webメディア編集、周年事業センターのコンサルタントを経験。BPコンサルティングでは、各分野において豊富な経験を持つ専門家が、課題解決に向けたアドバイスとご提案を行いますお申し込みをするお問い合わせ日経BPコンサルティングへの各種お問い合わせはこちらからどうぞお問い合わせをするブランド戦略&マーケティング情報メディアCCL.(シーシーエルドット)は日経BPコンサルティングが運営するオウンドメディアです。広報、ブランディング、CSR、SDGs、コンテンツマーケティング、デジタルマーケティングのご担当者に向けて、コーポレート・コミュニケーションの課題解決に役立つ情報をお届けしていきます。※著者の肩書きは執筆当時のものです。社名が入っていない肩書きは日経BPコンサルティングのスタッフの肩書きです。お問い合わせ外部送信サイトマップEnglish。