攻撃者に屈する前に“システムを自ら止める”――そのための「経営層の理解」をどう得る？ NRIが打ち出した支援策とは：「能動的システム停止」を“無謀な手段”にしないために（2/2 ページ）

サイバー攻撃の被害を抑えるために、システムをあえて自ら止めるという判断には、技術面に加えてビジネス面のリスクも考慮する必要があり、経営層の理解が欠かせない。その支援策をNRIらが打ち出した。その中身は。

[＠IT]

システム停止を「その場の判断」にしないための4ステップ

　サイバーレジリエンス経営支援は、CEOやCISO（情報セキュリティ担当役員）、CIO（情報システム担当役員）、CFO（最高財務責任者）、IR（投資家向け情報提供）担当、法務担当、事業担当役員で構成する「推進委員会」を設置する。推進委員会を構成する各担当者への個別ヒアリングを通じて、関係者間の認識の違いを可視化。その上で「脆弱性への対処の優先順位」「脆弱性への対処を保留する場合の暫定策と承認者、見直し期限」「外部に提供するサービスや社内システムを停止・再開する際の判断者と基準」の3点について、平時のうちに合意・確定することを目指す。

　支援期間は「短期（2〜3カ月）」「中期（半年程度）」「長期（1年以上）」の3段階に分かれる。短期の支援では、外部に公開するサービスや社内システムを停止する判断基準と、停止後に再開するための基準・手順をあらかじめ整備する。経営レベルで停止・再開の判断基準を定めることで、被害の拡大や長期化、社会への波及を抑えるとともに、不要な停止による事業への影響を防ぐ。

　短期の支援は、現状把握から経営合意までを4ステップで進める。「STEP 1　現状把握」では、セキュリティ診断による脆弱性の可視化と、システム停止が事業に及ぼす影響の評価を実施する。「STEP 2　基準づくり」では、外部への公開状況や接続元の制限状況、社会的影響度などに基づいてシステムを分類し、攻撃の到達難易度と事業への影響度から優先順位を付けた上で、システムごとの停止・再開の判断基準を定める。

　「STEP 3　運用設計」では、脆弱性の悪用や攻撃の兆候を検知してから、システムの停止を判断するまでのアクションリストとフローを整備する。併せてシステム停止中の顧客対応や再稼働の判断フロー、その判断をグループ会社・委託先に伝達する際の経路および役割分担も整理する。「STEP 4　経営合意」では、経営会議で検討結果を報告し、経営上の課題の対策ロードマップを策定する。その後は、パッチ適用プロセスの再構築やAIを活用したセキュリティ診断、セキュリティ運用の自動化、AI利用状況の可視化などを、中長期の取り組みとして支援する。

　サイバーレジリエンス経営支援では、システムの停止が事業に及ぼす影響を、金額に換算できる定量的なものと、金額だけでは評価しにくい定性的なものの両面から分析し、停止の要否を経営判断するための根拠を明らかにする。定量的な影響としては、インシデント対処費用や停止に伴う臨時支出、違約金・損害賠償、顧客への補償、収益機会の損失、行政処分・制裁金、株価への影響などを試算。定性的な影響としては、社会的影響や顧客・取引先との信頼関係、ブランドへの影響などを整理する。

　NRIおよびNRIセキュアテクノロジーズは、発表時点ではサイバーレジリエンス経営支援の料金体系を公開していない。サービスを契約しない場合でも、支援メニューの内容やその実行プロセスは、能動的システム停止を検討する上での参考になる。