ランサムウェア疑似体験で問われる「正解のない判断」――営業停止か、バックアップで復旧か、身代金を支払うか？：攻撃後に何が起きるのか、ワークショップを取材（1/2 ページ）

ランサムウェア攻撃を受けた企業は、どのような状況に陥り、何を判断しなければならないのか。実際の被害事例を基にしたシナリオを使い、企業が直面する意思決定を疑似体験するワークショップを取材した。そこから見えてきたのは、技術的な対策だけでは埋められない「備えのギャップ」だった。

[小山健治, 編集：遠藤文康，＠IT]

　ランサムウェア（身代金要求型マルウェア）攻撃を受けた企業は、どう対処すべきなのか。実際に攻撃を受けた場合、どう行動し、何について判断を下さなけれならないのか。具体的にイメージができているだろうか。

　「バックアップを戻せばいい」と考えるのは、システム障害やオペレーションミス、自然災害であれば合理的な判断だが、サイバー攻撃では事情が異なる。攻撃者はシステムに長期間潜伏している可能性があり、復旧に使おうとしているバックアップにもマルウェアが入り込んでいるかもしれない。

　しかも、対応すべき課題はシステム復旧だけではない。「店舗を営業するのか停止するのか」「情報漏えいの有無をどう確認するのか」「身代金要求にどう向き合うのか」――。経営陣や法務、事業部門を巻き込みながら、短時間で難しい意思決定を重ねなければならない。

　こうした現実を疑似体験するためのワークショップが開催された。実際の被害事例を基にしたシナリオを通じて、参加者がランサムウェア被害の発生から復旧、情報漏えい対応、経営判断までを追体験し、自社に足りない備えを議論するものだ。本稿では、そのシナリオに沿って、企業がどのような判断を迫られるのかを見ていきたい。

ランサムウェアを“疑似体験”　問われるのは「正解のない判断」

　特に留意すべきは、ランサムウェア攻撃では通常のシステム障害とは大きく異なる判断に迫られることだ。多くの場合、事前に準備していたはずのBCP（業務継続計画）の体制や行動指針も思うように機能しない。サイバー被害が発覚した時点で、上記のような問題を初めて痛感することになる。

　今回、そうした疑似体験ができるワークショップを取材する機会を得た。Rubrikが実施する「Zero Hour」では、実際の被害事例を基にしたシナリオを使い、参加者がランサムウェア攻撃を受けた企業の意思決定を追体験する。

今回のワークショップには、ディストリビューターである東京エレクトロン デバイスと、ユーザー企業への導入・提案を担うNTTデータの担当者らが参加。実際の事例を例に設定された架空企業のCIOやCISO、CFO、法務担当者などの役割を担いながら、ランサムウェア被害発生時の意思決定を追体験した。

　今回の疑似体験の舞台となったのは、「ホライゾンリテール」という架空のアパレル小売業。オンプレミスからクラウドへ基幹システムの移行を進めており、受発注管理、サプライチェーンマネジメント、在庫管理、販売管理、顧客管理、店舗連携などの業務が、すでにクラウド上で稼働している。

　これらの重要システムがランサムウェア攻撃による被害に遭ったという想定の下、5つの場面からなるシナリオに沿って進められた。参加者は場面ごとに、経営層やIT部門の立場から意思決定を迫られる。

第1場：店舗開店まで90分「システムが止まったまま営業するのか」

　日曜日の午前6時。店舗の開店まで90分――。

　クラウド上で稼働する基幹システムでは、ストレージの異常な書き込みや大量の暗号化処理が検知される。Webサイトは503エラーを返し、在庫管理や物流システムにも影響が及ぶ。やがてサーバから身代金要求のメッセージが見つかり、ランサムウェア攻撃であることが判明した。

　参加者に最初に示されたテーマは、「この状況で店舗を開けるのか、それとも閉めるのか」だ。小売業務の中核に対する壊滅的な攻撃と判断され、身代金を要求されたのだが、問題は各店舗の開店時間が90分以内に迫っていたことだ。

　「開店する」と答えたのは少数で、ほとんどの参加者は「閉店する」という判断を選んだ。参加者の一人は、「食品のように在庫をすぐ処理しなければならない業態であれば別だが、アパレルであれば顧客情報や安全性が確認できるまで開店すべきではない」と述べた。また、別の参加者も「アパレルは社会インフラほど緊急性の高い業態ではないため、閉店判断が妥当だと思う」と続けた。

　開店するか、閉店するか、どちらが正解というわけではない。ワークショップで講師を務めたRubrik Japanの中井大士氏（執行役員　セールスエンジニアリング本部 本部長）は、「業種・業態によっても判断は大きく変わる。過去には医療機関向けにも同様のワークショップを実施したことがあるが、この場合『（窓口を）閉める』という判断はより難しくなる。実際に電子カルテシステムがサイバー被害に遭った際に、紙のカルテで診療を続けたケースもある」と補足した。

　多くの参加者が突きつけられたのは、仮に「開店する」という判断を下した場合、ITシステムを使わずに業務を継続する手順が事前に定められているのか、という問題だ。