従業員をエンパワーする：サイバー防御の第一線

スモーキー・ベアと「森林火災は君だけが防げる」というスローガンは誰もが知っています。2015年、スモーキーはアップデートされ、「クマからのハグ」広告が全米で放映されました。広告では、スモーキーが森から飛び出し、焚き火の残り火を適切に確認したキャンパーに大きなハグをします。新しい、よりハグしたくなるスモーキーは、山火事防止のために叱責するのではなく、責任ある判断をしたキャンパーを褒めるというアプローチです。恐怖や不安が常に最良の動機付けになるとは限らず、多くの人は意識啓発活動を通じたポジティブな動機付けにより良く反応します。

10月は「サイバーセキュリティ啓発月間」です。2003年に制定され、アメリカ国民がオンラインで安全かつ安心して過ごすために必要なリソースを確保することを目的としています。10月は、中小製造業者（SMM）が従業員を教育し、サイバー攻撃からビジネスを守る上で従業員が果たす重要な役割を伝え、ポジティブなサイバーセキュリティメッセージを発信する絶好の機会です。良い方法の一つは、サイバーセキュリティインシデント対応計画を策定し、インシデントの予防と対応における各従業員の重要な役割を伝えることです。

サイバーセキュリティインシデントとは、「情報システムや、そのシステムが処理・保存・送信する情報の機密性、完全性、可用性を実際に、または潜在的に脅かす事象、またはセキュリティポリシー、手順、利用規定に違反、または差し迫った違反の脅威を構成する事象」と定義されます。例としては以下が挙げられます：

• 許可のないソースからのシステムやデータへのアクセス試行。
• サービスへの予期せぬ妨害、またはサービス拒否。
• データの無許可処理または保存。
• システムのハードウェア、ファームウェア、ソフトウェアへの無許可変更。

インシデント対応計画とは、悪意あるサイバー攻撃を検知し、対応し、被害を最小限に抑えるための文書化された手順や手順書です。準備、検知と分析、封じ込め、根絶と復旧の段階を含みます。攻撃が発生する前に計画を整えておくことで、被害を限定でき、復旧にかかる時間とコストも削減できます。

1. 準備

サイバーセキュリティの鉄則は「最悪の事態に備えること」です。サイバー攻撃は増加傾向にあり、多くのSMMが十分な予防策を講じていないため、サイバー犯罪者の格好の標的となっています。

迅速かつ適切に対応できる能力が、被害を軽減する鍵です。インシデント発生時に通知すべき主要人物を特定し、各自が自分の役割と責任を理解し、訓練を受けている必要があります。

また、日常業務を支える「資産」（人、プロセス、テクノロジー）のリストを作成し、維持管理することも重要です。

2. 検知と分析

コンピュータは常に新しいウイルスやサイバー犯罪の手口に脅かされているため、アンチウイルス、アンチスパイウェア、その他のアンチマルウェアプログラムをインストールし、定期的に更新することが重要です。

また、ログを維持・監視すべきです。ログは、ウェブサイトへのアクセス、ファイルの作成・変更など、コンピュータとユーザーの操作を自動的に記録します。侵害されたネットワークやシステムの一連の流れを再構築するための詳細な記録となります。タイムライン、汚染源、汚染されたデバイスやサーバーをこれらのログファイルで追跡・分析できます。これはインシデント検知に役立つだけでなく、潜在的な脆弱性の特定と対処にも役立ちます。

3. 封じ込め

収集した情報を用いて、インシデントを封じ込め、対処します。誰かが迅速に判断し、必要な封じ込め措置を決定する権限を持つ必要があります。インシデント発生時に通知すべき主要人物をあらかじめ特定しておけば、この管理が容易になります。連絡先情報は定期的に更新し、必要なスタッフがすぐにアクセスできるようにしておきましょう。インシデント解決まで、通常業務を一時停止する必要がある場合もあります。

4. 根絶と復旧

インシデントを封じ込めたら、原因を取り除き、システムを正常な機能に復旧させます。サーバーやデバイスからウイルスを除去するだけで済む場合もあれば、バックアップからデータを復元する必要がある場合もあります。システムを段階的にオンラインに戻す必要があるため、インシデントはいつ発生するかわかりませんから、増分バックアップを定期的にスケジュールすることが重要です。

インシデント後には教訓を振り返り、プロセス、手順、テクノロジーの改善を検討すべきです。

インシデント対応計画の実践

最近、あるSMMが標的型フィッシング攻撃（スピアフィッシング）を受けました。スピアフィッシングは、一見無害なメールを通じて機密企業情報（財務データなど）を盗み取ったり、企業ネットワークに侵入したりする攻撃です。

ある製造業者の従業員が、取引先からのメールを受信しました。前日に同社従業員が送信した実際のメールへの返信のように見せかけ、経理担当の従業員をターゲットにソーシャルエンジニアリングで巧妙に仕組まれたものでした。PDFファイルを開いた瞬間、悪意あるコードが社内ネットワークに侵入しました。

幸い、この製造業者は地元のMEPセンターと協力してサイバーセキュリティを強化したばかりでした。インシデント対応計画を策定・実装し、従業員にフィッシング攻撃の見分け方とインシデント発生時の対応を教育していました。悪意あるコードによる脅威を検知し、新しいインシデント対応計画に基づいて即座に対応しました。従業員は各自の役割を理解し、計画を取り出して行動しました。感染したのは1台のコンピュータのみだったため、ITチームがネットワークから隔離し、悪意あるコードを食い止めました。

従業員が果たす重要な役割

従業員はサイバー攻撃に対する第一線の防衛です。インシデント対応計画を整備し、従業員に対応方法を教育することは、ポジティブなサイバーセキュリティアプローチです。多くのSMMは依然として自社のサイバーリスクを認識しておらず、無関心です。

文書化された攻撃の34%が製造業を標的としており、SMMは特に脆弱です。サイバー犯罪者はこれらの企業をサプライチェーンへの容易な侵入口と見なしています。マルウェアの90%以上がメール経由で配信され、たった1回の誤クリックでビジネスが危険にさらされます。犯罪者がシステムに侵入すれば、ネットワークにアクセスし、顧客に関する機密情報を入手できます。

自社の情報が狙われていないと思っても、顧客やその先の顧客に関する機密情報は確実に狙われています。統計や脅威を強調する啓発イベントがSMMに恐怖を与えても、必ずしも行動には繋がりません。スモーキーのように、怖いクマから大きなハグへ、従業員によりポジティブなサイバーセキュリティメッセージを伝える方向へシフトすべきだと考えます。

詳細については、NIST MEPサイバーセキュリティリソースページをご覧いただくか、最寄りのMEPナショナルネットワーク™センターにお問い合わせください。