投稿者： トーマス・レーガン2017年5月18日

「WannaCry」ランサムウェア騒動の教訓：行動せよ

この一週間、多くの企業は新たなサイバーリスクの世界を否応なく見せつけられました。騒動の原因はランサムウェア「WannaCry」で、英国の医療サービスを中断させ、フランスの自動車メーカーを操業停止に追い込み、米国の物流会社のネットワークを妨害し、アジアで企業の事業を中断させました。すべては、わずか数時間内のできごとでした。要求された身代金は、感染したコンピューター1台につきわずか300ドルと少額でしたが、最終的にはるかに大きな混乱を世界経済にもたらすものと思われます。

終わりなきリスク、限られたリソース

技術インフラは、これまで考えられていたよりも脆弱かもしれない。この教訓を基に、次なる世界的なサイバー攻撃からの防御策を立てるべきです。つまり、どの企業もサイバー攻撃による事業中断のリスクの高まりに注目しなければならない、ということです。

ITネットワーク間の相互接続が進み、複雑性が高まると、事業中断に波及するリスクも増大します。たとえ自社が攻撃を逃れても、サプライヤーやプロバイダーが犠牲になった場合、そのような波及的影響を受ける可能性があります。実際、ITと通信の予期せぬ機能停止は、サプライチェーンの寸断の主要な原因のひとつとされており、大きな収益損失と臨時費用が発生することもあるでしょう。

3つの重要なステップ

技術的な課題への対処に加え、企業は以下のWannaCry攻撃に学んだ3つの教訓の検討が求められます。

1. サイバー演習を通じてレジリエンス体制を構築する。WannaCryは、全く新しいマルウェアで、そのスピードと影響を予期することは困難でした。企業は、自社の対応能力に柔軟性、スピード、適応力を組み込む必要があります。全社的にサイバー対応計画のテストを念入りに重ね、その過程で専門のリソースと専門知識が備わっていることを確認しなければなりません。めまぐるしく変わる事象に素早く適応できるように、新しい事象シナリオ―複雑なランサムウェアの脅威など―を評価する必要があります。
2. リスクモデリングを更新する。事業活動に影響する可能性のあるシナリオを見直した上で、事業リーダーと協力して業務上・財務上の影響を検討しなければなりません。これは、サプライチェーンの中断やそれに関連する財務コストといった二次的・三次的影響を評価し、リスクの優先順位付けに有効です。
3. サイバー保険プログラムを見直し、最適化する。ネットワーク間の相互接続はこれからも進み、企業のデータ共有への依存度はいっそう高まるでしょう。ほとんどの企業がテクノロジーを利用している現在、どの企業も自社のサイバー保険プログラムを新たな目で見直す必要があります。事業中断とサイバー恐喝も保険でカバーできるように必要に応じて保険約款を見直し、最悪のシナリオに照らして保険プログラムの限度額を再検討すべきです。

ランサムウェアなどの進化し続ける脅威は、これからますます頻繁に発生し、高度化していくでしょう。企業は、迅速かつ効果的な対応と適時の通常業務の復旧を確実にするために、経済リスクモデリング、サイバーセキュリティプログラムとサイバー保険プログラムの最適化、復元力（レジジエンス）のあるサイバー対応能力などを含めた総合的なサイバーリスク管理戦略を必要としています。

¹ Business Continuity Institute’s Supply Chain Resilience Report 2016

BCI Supply Chain Resilience Report 2016は こちら より閲覧ください。
（※Business Continuity Institute のサイトにリンクしています。）