サイバーセキュリティ脆弱性を自己診断：製造業向け信頼の評価ツール

製造業をはじめとするすべての組織にとって、サイバー攻撃の脅威を認識し、いかに防ぐかは極めて重要です。サイバー犯罪者が悪用する脆弱性は、操業停止を招き、セキュリティ強化に多額の費用を要するだけでなく、顧客の信頼回復にも大きな労力を強いられます。

製造業が直面する課題の一つは、「自社がどれだけ脆弱なのか、把握できていない」こと。自社の脆弱性レベルを評価したことはありますか？ サイバーセキュリティ要件への対応状況を、より深く理解できたら素晴らしいと思いませんか？

幸い、それは思ったより簡単です。MEPナショナルネットワーク™のサイバーセキュリティ評価ツールを使えば、自社のサイバーリスクレベルを自己診断できます。

サイバーセキュリティ評価ツールのウォークスルー

ご存知の通り、米国立標準技術研究所（NIST）が発表した5つの柱からなるサイバーセキュリティフレームワークは、製造業をはじめ多くの業界で標準となっています。MEPの自己評価ツールはこのフレームワークに基づき、「識別」「検知」「防御」「対応」「復旧」の5カテゴリに沿って構成されています。

識別（Identify）

所在地などの基本情報を入力すると、診断を開始できます。NISTとMEPナショナルネットワークは、所在地以外の企業情報を一切保持しません。各ステップのスコアも記録されません。再診断時に進捗を確認できるよう、スコアをメモしておくことをお勧めします。

最初のセクションでは、サイバー脅威を特定するための既存の構造と実践について問われます。

主なトピック：

• 機密データの特定と、それを保管しているデバイスの把握
• 従業員のフィッシング対策トレーニングと機密データへのアクセス権限
• 機密情報を保管するデバイスが最新状態か、不要な業務アプリが入っていないか
• サイバーセキュリティに関する法的・規制要件の理解度
• 組織のリスク許容度の決定と表明
• 社内外からの脅威・脆弱性情報の共有・受信体制
• パスワード管理の方法
• パスワードの強度と複雑さ
• パスワード変更の頻度

回答は「はい」「いいえ」や短い回答で済むシンプルな形式です。

防御（Protect）

次に、NISTフレームワークの「防御」カテゴリに基づき、システム保護について質問されます。以下のような項目に回答します。

• 自動タイムアウトの設定
• ファイアウォールの導入
• データ保持・廃棄ポリシー
• 従業員へのサイバーセキュリティ研修の頻度
• リモートからの社内データアクセスの可否
• 物理資産のアクセス管理
• データ暗号化
• 災害復旧ポリシー
• 物理資産の管理と保護
• 人事部門が退職者のアカウントロック等でセキュリティ実践を支援しているか

検知（Detect）

「検知」カテゴリでは、システムへの悪意ある脅威を検知する体制を評価します。

• デバイスへのアンチウイルス・マルウェア対策ソフトの導入
• マルウェアチェックの頻度
• サイバーセキュリティイベントの監視方法
• ネットワークセキュリティイベントの追跡とログファイルとの相関分析

対応（Respond）

「対応」では、脅威やインシデント検知後の行動計画を確認します。

• 組織内で役割・責任が割り当てられ、実行方法を理解しているか
• インシデント対応計画の詳細
• 過去の問題再発防止策の実施状況
• インシデント統制と発生箇所特定の責任者・グループの有無
• 顧客情報漏洩時の通知計画の有無

復旧（Recover）

「復旧」では、インシデント後の事業継続・復旧体制を評価します。

• データバックアップの頻度
• 復旧支援のための連絡先（法執行機関、ISP、PR会社、サイバー犯罪専門弁護士等）の整備
• 復旧計画に具体的なアクションと従業員の役割が含まれているか
• 復旧責任者の有無
• 教訓を取り入れ、技術・計画変更に合わせて戦略を更新しているか
• サイバーセキュリティ保険の加入有無

「復旧」セクション完了後、推奨リソースが提示され、スコアが生成されます。

地域のMEPセンターがサイバーセキュリティでビジネスを守る方法

診断で課題が見つかった場合、またはNISTフレームワークの特定分野で弱さが露見した場合、地域のMEPセンターがリスク低減を支援します。診断完了後には、インタラクティブなMEPセンターマップへのリンクが提供され、州や所在地で最寄りのセンターを検索可能です。

変化の第一歩は、問題の存在を知ること。MEPナショナルネットワークのサイバーセキュリティ評価ツールで現状を把握し、行動を起こしましょう！