サイバーレジリエンスとは、サイバー攻撃を受けることを前提にその被害を最小限に抑え、迅速に復旧する能力である。いまやビジネスのあらゆる業務でITやインターネットが活用されており、セキュリティの専任部門を置きにくい中小企業でも、事業存続のためには無視できないテーマとなった。ここでは、さらに詳しくサイバーレジリエンスが注目される背景について深掘りする。

サイバー攻撃の高度化

膨大な資金を背景にした大規模なサイバー攻撃や、AIや暗号化といった最新技術を取り入れた攻撃手法など、サイバー攻撃は年々高度化している。そのため、既存のサイバーセキュリティ対策だけでは不十分である。

また、これまで主流だった「境界型防御」に限界が生じていることも挙げられる。システム内部は安全であることを前提に、外部からの脅威に対策を講じる「境界型防御」だが、近年のクラウドツールやリモートワークの普及によって、社内外の区別もあいまいになってきた。そのため、企業セキュリティの考え方を改める必要が出てきている。

デジタル利用の増加

クラウドツールの普及やDXの推進により、ITシステムはほとんどの企業で事業の中核に関わるようになった。工業や農業などの現場業務でもIoTの導入が広がり、金融や行政のサービスもオンライン化が進んでいるため、ひとたびサイバー攻撃を受ければその影響は甚大なものとなる。

サイバーレジリエンスは「予期」「耐性」「適応」「回復」の要素から定義づけされている。この四つの要素を網羅することが、中小企業がサイバーレジリエンス体制を構築する上での基本方針となる。

【予期】リスク評価

サイバーレジリエンス戦略の土台作りとして、リスク評価は欠かせない。ツール導入や監視体制の整備を行う前段階で、自社のシステムや業務プロセスの現状を徹底的に分析する。これにより、セキュリティ上の問題点や対策の重要度を明確化できるため、サイバーレジリエンスの強化に必要なリソースを効果的に配分できる。

【予期】監視システム

サイバーレジリエンスを高めるためには、セキュリティ上の脅威をいち早く検知することが重要で、それには社内システムを常時監視することが欠かせない。AIによるセキュリティ監視ツールを効果的に活用することも有効な手段である。

【耐性・適応】インシデント対応計画

インシデント対応計画では、サイバー攻撃を受けた場合にどの部署がどのように対応するのかを明文化する。攻撃内容ごとのチェック項目や対処方法などを明確に記載しておく必要がある。これにより、速やかにセキュリティインシデントに対応して被害を最小限に抑えられる。インシデント対応計画も定期的に見直すことが必要だ。

【回復】データバックアップ

サイバーレジリエンスでは、データのバックアップと復旧も不可欠となる。定期的にデータをバックアップしておくことで、サイバー攻撃を受けても、バックアップ先にデータが残っていれば速やかに業務を再開できる。バックアップデータの保管場所を複数確保すれば、より安心である。

【適応】学習・アップデート

サイバーレジリエンスを担保する仕組みは、一度作って終わりではない。大切なことは、セキュリティに関するトレンドを常に学習し、これまで自社が経験した事例と掛け合わせて仕組みをアップデートすることである。これにより、継続的にサイバーレジリエンスを維持できる。

ここでは、中小企業でサイバーレジリエンスを実現させるポイントについて解説する。限られたリソースの中で実効性のある防御と復旧体制を整えるため、中小企業が優先して取り組むべき実践ポイントを解説する。

ゼロトラストセキュリティの活用

境界型防御だけでは限界が生じている昨今のセキュリティ対策において重要な概念が、システム内外問わずあらゆるアクセスを無条件に信頼せずに都度確認する「ゼロトラストセキュリティ」である。これにより社内外どちらからでも不正アクセスを検知でき、迅速な対応が可能になる。

関連記事：ゼロトラストセキュリティを用いているサービスは? 主要4領域と選び方を解説

従業員教育

高性能なセキュリティツールを多数導入しても、従業員自身がツールの機能や運用ルールを十分に理解し、適切に使いこなせなければ十分な効果は得られない。また、従業員の操作ミスが原因でセキュリティインシデントが発生するケースもある。そのため、定期的に従業員教育を行い、セキュリティに対する意識付けを図ることも重要である。

インシデント発生時の体制整備

サイバーレジリエンスでは、サイバー攻撃の発生を織り込んで、その被害をいかに食い止めるのかを重視している。しかし、その対応を特定のメンバーに依存すると属人化しかねない。そのため、従業員全員がインシデント発生時にすぐ対応できるように日ごろから社内体制を整備し、データのバックアップや関係者への周知も迅速に行えるようにしておくことが欠かせない。

サイバーレジリエンスを強化するためには、「予期」「耐性」「適応」「回復」の要素を盛り込んだ、リスク評価や継続的な監視などが必須である。また、中小企業でサイバーレジリエンスを実現させるには、ゼロトラストセキュリティの活用や従業員教育などが求められる。

自社のクライアントには、サイバー攻撃に伴う損害を最小限にとどめる手段として、サイバーレジリエンスの強化を積極的に提案していきたい。