製造業者のためのサイバーセキュリティ必須知識：パット・トス氏の洞察

サイバー攻撃の件数は増え続け、サイバー犯罪者はより執拗になっています。企業は、急速に変化するデジタル環境の中で混乱した技術的ガイダンスをどう乗り越えるか苦慮しています。中小製造業者は往々にして自社がリスクにさらされているとは思っていません。結局、なぜ大きな企業があるのに、小さな地方の製造業者を狙うのか？

実情を理解し、製造業者がサイバーセキュリティについて本当に知るべきことを探るため、パット・トス氏に話を聞きました。パット氏はNIST製造延長パートナーシップのコンピュータサイエンティストで、30年以上のサイバーセキュリティ経験を持ち、多数のNISTサイバーセキュリティガイダンス文書の作成に携わってきました。

質問：製造業は他業種と比べて本当にサイバー攻撃のリスクが高いのですか？ もしそうならなぜ？

パット：米国国土安全保障省によると、報告されたサイバー攻撃の件数ベースで見ると、製造業は第2位の標的とされています。

中小製造業者（SMM）が特に脆弱なのは、大規模サプライチェーンへの「容易な侵入口」と見なされるからです。こう考えてみてください：あなたが犯罪者で、ビルに侵入して強盗をしようと計画しているとします。監視カメラ、警報システム、警備員がいるビルを狙いますか？ それとも、これらのセキュリティ機能のないビルを狙いますか？ 通常は後者です。だからこそサイバー犯罪者は特に製造業者を狙います。残念ながら、多くの小規模企業は標的だと思っていないため、適切なセキュリティ対策を講じていません。

サイバー犯罪者はあなたの知的財産（IP）に関心があるかもしれませんし、あなたが誰と仕事をし、誰を雇っているかという情報を狙っているかもしれません。ターゲット社の2013年顧客データ漏洩は、この典型例です。彼らのHVACシステムプロバイダーがサイバー犯罪者に狙われたのは、ハッカーがこのHVACプロバイダーを経由してターゲット社のシステムに侵入できると知っていたからです。このデータ漏洩で数百万人のクレジットカード情報が盗まれました。

質問：中小製造業者（SMM）は格好の標的であるにもかかわらず、リソースが限られています。彼らは何ができるでしょうか？

パット：複雑で少し圧倒的に感じられるかもしれませんが、SMMが実行できる低コスト・ノーコストで導入しやすい対策があります。

要は、ポリシーを整備し、従業員を教育することです。さまざまな研究で、従業員があらゆる企業のセキュリティにおいて最も脆弱なポイントの一つであることが判明しています。ほとんどの従業員は、潜在的または実際のサイバーインシデントを何に注意し、どう識別すべきかを知らないまま、手遅れになるまで気づきません。企業は定期的にコミュニケーションを取り、従業員がサイバー犯罪者の手口と、サイバーインシデント防止における自らの重要な役割を理解できるよう支援する必要があります。

例えば、職場でのソーシャルメディア利用に関するポリシーを設けるべきです。一部の従業員は勤務中にソーシャルメディアを利用したがるでしょう。企業は「従業員のソーシャルメディア利用を許容すること」と「システムを守ること」のバランスを取る必要があります。どうすればいいでしょうか？ ポリシーを決めるのです。例えば「業務システムでのソーシャルメディア利用を禁止する」、あるいは「日中ソーシャルメディアにアクセスするための別の準公開ネットワークを用意し、業務システムをリスクに晒さない」などです。どんなポリシーであれ、従業員がそれを認識し、なぜ存在するのか、違反した場合の潜在的結果を理解していることを確認してください。

質問：低コスト・ノーコストの解決策があると聞いて安心しました。もし企業がサイバーセキュリティ改善の準備ができたら、どこから始めるべきでしょうか？

パット：NISTサイバーセキュリティフレームワークとNISTIR 7621「中小企業情報セキュリティ：基礎」を見てください。サイバーセキュリティフレームワークは、サイバーセキュリティ関連リスクを管理するための標準、ガイドライン、ベストプラクティスで構成されています。優先順位付けられ、柔軟でコスト効率の良いシステム保護アプローチを提供します。「中小企業情報セキュリティ：基礎」はフレームワークに基づき、技術的背景を持たない経営判断者向けにより管理しやすい概要を提供します。また、セキュリティ機能の評価と優先順位付けの方法に焦点を当てています。

スタート地点として、フレームワークで見つかる内容を簡潔にまとめます。

第一歩は「識別」です。自社にとって最も価値ある情報を特定します。これは、紛失や改ざんがあれば業務が停止する情報です。例えば、あなたが食品メーカーで、祖母のレシピでチョコチップクッキーを作っているとしましょう。そのレシピはビジネスの要であり、盗難や改ざんから守られなければなりません。

第二歩は「防御」です。マネージャーやスタッフと話し合い、自社にとって最も重要な情報を特定したら、その情報を適切に守るために何をすべきか決めます。このステップは、あなたのビジネス固有の脅威と脆弱性に大きく依存します。対面や電話で顧客とやり取りするだけの小規模企業は、メールやウェブポータルでビジネスを行う企業ほど守るべきものは多くありません。必要な保護はあなたの運営環境によります。

第三歩は「検知」です。サイバーインシデントが発生したときに検知できる必要があります。最新のアンチスパイウェア、アンチウイルス、侵入検知システムを導入すべきです。物理的なスペースも考慮してください。立ち入り禁止区域へのアクセスを検知する必要があるかなどです。デジタルであれ物理であれ、インシデントが発生した「いつ」「誰が」「何にアクセスしたか」を知ることが重要です。

第四歩は「対応」です。サイバーインシデント発生時、潜在的被害を軽減するために迅速に対応する必要があります。事前に計画を立てておく必要があります。計画には、責任者と連絡先、営業時間内外を問わず従業員が計画にアクセスする方法を含めます。

小学校で年に数回避難訓練をしたことを思い出してください。それと同じように、あなたの会社も定期的にサイバーインシデント対応訓練を行い、従業員がインシデント発生時に正確に何をすべきか知っている状態にすべきです。

第五で最後のステップは「復旧」です。定期的なバックアップを行い、システムを復旧できるようにすべきです。バックアップは別の場所またはクラウドに保存します。バックアップをテストする必要があります。テストしなければ、イベントから完全に復旧できるか確信できません。テスト頻度は、情報が会社運営にとってどれだけ重要かに基づいて決めるべきです。

これは「万人にあてはまる」状況ではありません。自社の文化と実態に合うものを決めなければなりません。ある企業なら年1回のテストで十分かもしれません。別の企業なら週1回必要かもしれません。簡単な答えではありませんが、自社システムのどこが脆弱か、どんな脅威に直面し、どう対抗するかを見極めることが真に必要なのです。

質問：適切な安全対策を講じ、対応計画を作ったら、次は何ですか？

パット：これは「一回やって終わり」の活動ではありません。対応計画を書いて棚に置いておくわけにはいきません。これは生きた文書でなければなりません。全員が自社のサイバーセキュリティ姿勢を知り、どう改善し続けるかを理解している必要があります。

新しい設備を購入するたび、新しい従業員を採用するたび、これらの活動がセキュリティにどう影響するか考える必要があります。小規模企業にとってこれは難しいです。急成長した企業が、全員が全情報にアクセスする必要はないことを忘れているケースをよく見ます。時間はかかりますが、マネジメントは従業員リストを見て、誰が何にアクセスすべきで、何にすべきでないかを精査する必要があります。現場の作業員が給与情報にアクセスする必要はありません。役割を定義し、それらを分離実装するのは難しいですが、サイバー脅威から会社を守る上で必要です。

サイバーセキュリティと品質には、導入という点で多くの類似点があると思います。多くの企業がISO 9000のような品質システムの導入に遅れました。品質の主要な要素は企業のマインドセットです。サイバーセキュリティもIT担当者やサイバー担当者だけのものではなく、あらゆるレベルの全従業員が何らかの責任を負います。品質と同様に、サイバーセキュリティが企業文化の一部にならなければ効果的ではありません。

質問：従業員教育のために、サイバーリスク低減のためにできることを学べる情報はどこで入手できますか？

パット：NIST MEPサイバーセキュリティリソースウェブページへアクセスしてください。このページには、NISTサイバーセキュリティフレームワークに基づいたシンプルな自己評価ツールなど、多数のリソースがあります。自己評価で自社のサイバーリスクレベルを自己評価できます。弱点がどこにあり、どこにリソースを集中すべきかを判断するのに役立ちます。我々はあなたの情報を追跡したり結果を保存したりしません。評価後、スコアが表示され、サイバーセキュリティ対策の弱点がわかります。また、全50州とプエルトリコにある51のMEPセンター（MEPナショナルネットワーク™の一員）のいずれかに問い合わせることもできます。