ランサムウェア疑似体験で問われる「正解のない判断」――営業停止か、バックアップで復旧か、身代金を支払うか？：攻撃後に何が起きるのか、ワークショップを取材（2/2 ページ）

ランサムウェア攻撃を受けた企業は、どのような状況に陥り、何を判断しなければならないのか。実際の被害事例を基にしたシナリオを使い、企業が直面する意思決定を疑似体験するワークショップを取材した。そこから見えてきたのは、技術的な対策だけでは埋められない「備えのギャップ」だった。

[小山健治, 編集：遠藤文康，＠IT]

第2場〜第4場：「バックアップはある、でも戻していいのか」

　第2場から第4場では、被害の全容が徐々に明らかになっていく。攻撃者はクラウド環境に長期間潜伏し、バックアップの運用まで把握した上で攻撃を実行していた。

　参加者はCIO、CISO、クラウド運用責任者、新人アナリスト、運用アナリスト、事業部門リーダー、アプリケーションサポートマネジャー、サイバーインシデント対応マネジャー、CEO、CFO、顧問弁護士の役割を分担し、台本の読み合わせとディスカッションを実施した。

　参加者が最も悩まされたのは、「バックアップはある。しかし、本当に戻してよいのか」という判断だった。ここでの教訓は、バックアップが存在していても、それが安全で検証済みでなければ復旧手段にはならないという点である。

　攻撃者はソーシャルエンジニアリングの手口で侵入後、長期間潜伏。バックアップ保存ポリシーを把握した上で、マルウェアがバックアップに入り込むタイミングを待って攻撃を実行していたのだ。ホライゾンリテールは、Webから急きょ入手したスキャンツールを使ってチェックを行い、2週間前のスナップショットを復元したが、潜伏していたマルウェアが再び動作し、再暗号化が発生してしまった。

　しかも攻撃者は、こうした試みの詳細まで把握しており、「無駄な抵抗をするな」とばかりに圧力を強め、身代金を引き上げてきた。また、侵害されたクラウドストレージに個人情報が残っていたため、情報漏えいのリスクも表面化した。

　結果として対応の失敗は、単にシステム復旧の問題にとどまらず、財務損失、株価下落、法的責任、メディア対応、顧客信頼の低下へと波及してしまった。

　参加者からは、「このようなインシデントが起こり得ることを前提とした備えが、不足していたと言わざるを得ない」「経営層や上位責任者のリスク認識も不十分」と指摘する声が上がった。一方で、「仮に全社的なバックアップポリシーが定められていたとしても、特にクラウド環境に関しては専門部門やベンダーに任されがちで、個別システムにポリシーを徹底するのは厳しい側面もある」という意見も寄せられ、サイバー被害対応の困難があらためて浮き彫りとなった。

第5場：「身代金を支払う」と決断

　追い込まれたホライゾンリテールは、最終的に身代金を支払うという決断を下した。

　「経営陣の判断は適切だったのか？」「この状況で身代金を支払うことを支持するか？」が、最後のディスカッションのテーマだ。

　この判断に対して参加者の多くは否定的だった。「仮に身代金を支払ったとしても、完全にデータを復旧できるとは限らない」「支払った企業は再び標的にされるリスクもある」といった統計的・経験的な見方が大勢を占めた。また、「巨額の身代金を支払うくらいなら、最初から専門ベンダーにもっと投資をしていれば、まったく違った結果になったかもしれない」という意見も出された。

企業に問われる「自社はその場で判断できるか」

　こうして企業としての判断が求められる局面でさまざまな意見が出された形だが、今回のワークショップの目的は企業が迫られる判断に対して一つの正解を出すことではなかった。自社の備えにどのようなギャップがあるのかを考えることが重視されている。中井氏によれば、Zero Hourはもともと、実際に被害に遭った企業で何が起きるのかを理解するための社内教育として始まったという。ユーザー企業が自社の対策を考える上でも、まずは攻撃が発覚した後にどのような状況に陥り、どのような判断に迫られるのかを具体的にイメージできなければ、必要な備えも具体化しにくい。

　現実はどうだろうか。サイバーレジリエンスの重要性は以前から指摘されているが、投資対効果の観点から後回しにしてきた企業は少なくない。何らかの対策は打っていても、実際の有事の際に迫られる判断を一度でも体験したことがなければ、想定とは違ったという事態になりかねない。サイバー攻撃が発覚して初めて、自社の体制や意思決定の準備不足を突き付けられることになる。

　今回のワークショップは、その瞬間を平時のうちに追体験する試みだった。攻撃を完全に防ぐことは難しい時代だからこそ、「被害を受けた後に何を判断するのか」をあらかじめ考えておくことが、サイバーレジリエンスを高める第一歩と言えるだろう。