EYとは、アーンスト・アンド・ヤング・グローバル・リミテッドのグローバルネットワークであり、単体、もしくは複数のメンバーファームを指し、各メンバーファームは法的に独立した組織です。アーンスト・アンド・ヤング・グローバル・リミテッドは、英国の保証有限責任会社であり、顧客サービスは提供していません。
関連イベント・セミナー
Digital Trust Webinar <Cyber Security> 複雑化するサイバーセキュリティ対応 ～危機管理と新興技術等への備え～
デジタルトランスフォーメーション（DX）が企業に多くの利益をもたらす一方で、DXが引き起こす情報資産やサプライチェーンへのサイバー攻撃も増加し、企業に事業停止や賠償損害等の影響を及ぼしています。新しい技術や規則への理解も重要となる中、これらの課題について、専門家や実務家が危機対応策の議論を行います。
―多様なサイバー攻撃への対応とは
議論はまず、インシデント対応への備えから始まりました。業務環境にクラウドを多用している企業では、ソフトウェアサプライチェーンの構造に起因するものも含め、多様なサイバー攻撃のリスクが存在するため、優先順位を付けてリスク低減のためのプロジェクト化を行っていくことが重要です。
例えば、昨今の取り組みのキーワードとなっている「キーレス」「パスワードレス」は、クレデンシャル※が複数箇所に存在する状況でプロダクトオーナー1人のみが全ての鍵を所管しているケースでのマルウエア感染対策や、従業員のPCがマルウエアに感染した場合における攻撃者による別アプリへのアクセス防止対策などに非常に有用となります。このような優先的に対処すべき事例の紹介がありました。
インシデント発生に備えたトレーニングにおいては、サイバーインシデントを完全に防御することは不可能であるため、全社員が攻撃される前提で考えるという意識を持って行うことが重要です。また、トレーニング計画の策定には、発生確率が高いリスクシナリオを優先的に採用すること、平時のうちに有事のコミュニケーション方法を整備しておくことなど、ディスカッション内で重要ポイントへの言及がありました。有時にはセキュリティ担当やエンジニアのみならず、法務、広報、カスタマーサポートなど多くの部門が極限状態で対応する状況になります。その点を踏まえ、平時のうちにコミュニケーション・チャネルの特定や細部にわたるプロシージャを整備しておくことも重要ポイントとして挙げられています。
BCP（事業継続計画）に論題が移ると、「多くの企業では自然災害復旧などを主眼としたIT-BCP（IT障害を想定したBCP）は備わっているものの、サイバーインシデントを想定したBCP、いわゆるサイバーBCPの観点が不十分ではないか」という問題提起がなされました。IT-BCPでは復旧を先行して復旧後に調査がなされますが、サイバーBCPは、潜伏中の可能性があるハッカーの侵入防止、効果的な再発防止策の策定、さらに対外説明に向けた情報収集などを目的とした調査が、復旧に先行して行われます。そのため、インシデントにひも付けてBCPの中に落とし込むことが重要です。
―セキュリティ分野の情報共有と人材育成の在るべき姿
続いて議論された脅威情報の共有に関するトピックの中で特に注目されたのは、同業他社での情報交換が有用であることです。セキュリティ分野は協調領域であり、同様の手口を広げないためにも同業者間でコミュニティを形成するなどして、速やかに脅威情報を共有できる体制整備が望ましいとパネリスト間で意見の一致をみました。
第1部の最後は、セキュリティ人材育成に関する話題となりました。多くの企業で苦労しながら人材育成に取り組んでいますが、担当者を疲弊させないための対策や、社内のIT環境に精通した人材をセキュリティ担当とすることにより円滑に育成が進められたケースなど、さまざまな事例が紹介されました。
※ IDやパスワードをはじめとする、ユーザー等の認証に用いられる情報の総称