「バックアップだけでは足りない」、IPAの新ハンドブックは何を教えているのか。経営者向けランサムウェア教訓集の中身を確かめる

まず初めに

結論から言う。「バックアップさえ取っておけば大丈夫」という牧歌的な時代は、もうとっくに終わっている。今どきのランサムウェアは、データを暗号化するだけでは飽き足らず、事前にごっそり持ち出したうえで「払わなければ公開する」と脅してくる二段構えだ。復旧できたところで、脅迫の方はまだ終わっていない。今回の教訓集がわざわざ「経営者のため」と銘打っているのも、もはやこれがサーバー室だけで完結する話ではなく、広報も法務も経営陣も巻き込む全社対応だという現実の裏返しだろう。※個人の感想です

何が起きているのか

IPAは今回、国内でランサムウェアの被害に遭った複数の組織に対してヒアリング調査を実施し、被害が発覚してから復旧・公表に至るまでの間に、現場で実際にどのような課題や判断の難しさが生じたかを整理しました。その結果をまとめたのが、今回公開された「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」です。47ページで構成され、対象読者として経営者に加え、経営企画・総務・法務・広報などのリスク管理部門、情報システム・セキュリティ部門を挙げています。

教訓は大きく2つのカテゴリーに整理されています。1つは「経営・リスク管理」に関する6項目で、被害の発生を前提とした平時からの備えや、経営層としての意思決定のあり方に関するものです。もう1つは「インシデント対処」に関する5項目で、実際に被害が発生した後の初動対応や関係者への説明といった、発生直後に求められる動きに関するものです。あわせて11項目の教訓が整理されています。

IPAが強調しているのは、ランサムウェア対策を情報システム部門だけの技術的な課題として扱わないことです。近年主流となっている「侵入型ランサムウェア攻撃」では、攻撃者がまず組織のネットワークに侵入し、内部を偵察したうえでデータを外部へ持ち出し、その後にファイルを暗号化するという手順を踏むことが多いとされています。このため、暗号化が発覚した時点では、攻撃者の活動がすでに最終段階まで進んでいるケースが少なくありません。復旧作業と並行して、業務の継続、顧客・取引先への対応、公表の是非とタイミング、個人情報保護委員会などへの法令に基づく報告、攻撃者からの脅迫への対応といった、複数の重い判断を短期間のうちに並行して下さなければならない状況が生まれます。

なぜ重要なのか

今回の教訓集が重要なのは、これまで技術的な対策(バックアップの取得、ネットワークの分離、多要素認証の導入など)が中心に語られがちだったランサムウェア対策の議論に、「被害が起きたときに経営としてどう動くか」という視点を正面から加えている点です。IT Postがこれまで取り上げてきた国内の不正アクセス・情報漏えい事案でも、被害の公表が後手に回ったり、影響範囲の説明が二転三転したりする例が繰り返し見られてきました。今回の教訓集は、そうした混乱が起きる背景に、平時から経営層を巻き込んだ対応方針の準備が不足しているという構造的な課題があることを示唆しています。

また、二重恐喝にじゅうきょうかつ(ダブルエクストーション、データの暗号化に加えて、盗み出したデータの公開をちらつかせて金銭を要求する手口)が主流になっていることも、経営層の関与を必須にしている理由の一つです。暗号化されたデータをバックアップから復旧できたとしても、外部への情報漏えいという脅威そのものは解消されません。身代金を支払うかどうかという極めて重い経営判断を、限られた時間の中で下さなければならない場面も想定されます。

私たちへの影響

一般の消費者が今回の教訓集を直接読む機会は多くないかもしれません。ただし、自分が取引しているオンラインサービスや勤務先の会社がランサムウェア被害に遭った場合、対応の速さや説明の分かりやすさは、こうした平時の備えの有無によって大きく左右されます。IT Postがこれまで取り上げてきた企業のインシデント対応でも、初動の遅れや説明の不十分さが利用者の不安や不信を招く場面が繰り返し見られており、今回の教訓集はそうした事態を防ぐための実践的な手引きとしての意味を持ちます。

経営者や、経営企画・総務・法務・広報などのリスク管理部門で働いている方にとっては、より直接的な意味を持ちます。自社がランサムウェア被害に遭った場合、誰がどのタイミングで何を判断するのかという役割分担を、被害が起きる前にあらかじめ整理しておくことの重要性を、実際の被害組織への聞き取りに基づいて具体的に示している点が、今回の教訓集の実践的な価値だといえます。情報システム・セキュリティ部門の担当者にとっても、技術的な対策だけでは対応しきれない部分がどこにあるのかを、経営層と共有するための材料として活用できます。

初心者が知っておくべきこと

「ランサムウェア」とは、感染したパソコンやサーバー内のファイルを勝手に暗号化して使えなくしたうえで、元に戻すことと引き換えに金銭(身代金)を要求する不正なプログラムのことです。近年は、暗号化する前にデータを外部へ持ち出し、「身代金を支払わなければ盗んだデータを公開する」と脅す「二重恐喝」の手口が主流になっています。

「侵入型ランサムウェア攻撃」とは、攻撃者が何らかの方法で組織のネットワークへ侵入したうえで、内部を偵察し、重要なデータを見極めてから暗号化や持ち出しを行う、計画的な攻撃の形態のことです。無差別にばらまかれるウイルスメールとは異なり、特定の組織を標的にして時間をかけて活動する点が特徴です。

よくある質問

Q. この教訓集はどこで入手できますか?

A. IPAの公式サイトで、PDF形式で無料公開されています。会員登録や申し込みは必要なく、誰でもダウンロードして読むことができます。

Q. 情報システム部門の担当者ではなく、経営者自身が読む意味はありますか?

A. あります。IPAは今回の教訓集を、情報システム部門だけでなく経営者や経営企画・総務・法務・広報などのリスク管理部門も対象読者に含めて作成しています。実際の被害組織へのヒアリングでは、復旧作業だけでなく、公表のタイミングや取引先への説明、身代金要求への対応といった経営判断が短期間に集中して求められた点が課題として挙がっており、経営層自身が平時にこうした判断の流れを理解しておくことに意味があるとされています。

IT Postの見方

IT Postでは、今回IPAが「経営者のため」というタイトルでハンドブックを出したこと自体が、これまでのランサムウェア対策議論の重心が、実態からずれていたことを示していると考えます。バックアップの取得やネットワークの分離といった技術的な対策は、もちろん引き続き重要です。しかし、実際に被害が発生した組織へのヒアリングをもとに整理された今回の教訓集が、あえて「経営・リスク管理」を技術対応と並ぶ柱として位置づけたことは、被害発生後の混乱の多くが、技術的な失敗というより、経営としての準備不足や意思決定の遅れから生じていたことの証左だと、IT Postでは受け止めています。

平時に「うちは大丈夫」と根拠なく考えている経営層ほど、いざというときに何から手をつければよいか分からず、対応が後手に回りやすいというのは、ランサムウェアに限った話ではなく、あらゆる危機管理に共通する構図です。IT Postでは、今回の教訓集をきっかけに、技術部門任せにせず経営層自身が平時から被害発生時の対応方針を具体的に検討しておく組織が、少しでも増えることを期待したいと考えます。※個人の感想です

今後どうなりそうか

IPAは今後も、国内の被害実態を踏まえたランサムウェア対策の情報発信を続けるとみられます。IPAは今回の教訓集とは別に、ランサムウェア被害を想定した「セキュリティインシデント対応机上演習教材」も公開しており、組織が実際の被害を疑似体験しながら対応手順を確認できる教材の整備を進めています。IT Postでは、こうした対策資料が実際の企業でどこまで活用され、被害発生時の対応にどのような変化をもたらすか、今後も注目していきます。