サイバーレジリエンスとは？ゼロトラストの1歩先へ

ビジネスを進める上でサイバー攻撃や災害に対する備えは不可欠です。しかしながら、どれほど入念に攻撃に備えたとしても完璧に防ぐことは困難です。そのため、新しい戦略である「サイバーレジリエンス」が注目されています。

本記事では、サイバーレジリエンスの必要性や構築方法について解説し、さらにゼロトラストについても触れながら、セキュリティ担当者の皆様がサイバー攻撃や災害に対する備えを整えるための一歩を踏み出すお手伝いをします。

サイバーレジリエンスとは？

サイバーレジリエンスとは、サイバー攻撃やその他の災害に対して、攻撃を受けることを前提にして、攻撃を受けた後のレジリエンス（予測、抵抗、回復、適応）に力を入れる手法です。

これまでのセキュリティ対策はネットワークを社内と社外に分けて考えて、内部ネットワークには外部からアクセスできないクローズな環境を作ってセキュリティ性を高めていました。しかしながら、働き方に変化が起こり、自宅やコワーキングスペースなどの外部から業務を行う必要が出てきました。VPNなどを利用してセキュリティを保つことはできるものの、外部からのアクセスを拒否できない以上、セキュリティの堅牢性は下がり、実際にサイバー攻撃の被害は増え続けています。

サイバーレジリエンスとゼロトラストの違い

ゼロトラストは、社内、社外というこれまでの「境界」の考え方を捨てて、情報資産にアクセスするものはすべて信用せずに安全性を検証する考え方です。外部に情報資産を置くクラウドサービスやモバイル端末からのアクセスが増えており、どこから攻撃を受けるかを予想できなくなったことが背景にあり、需要が高まっています。

一方、サイバーレジリエンスは、ゼロトラストの考え方をさらに飛躍させた考え方です。誰も信用せずに検証を行ったとしても攻撃を防ぐことはできないものとして、攻撃を受けた後にどのように被害を最小限にし、ビジネスの継続ができるかを考えるものです。

サイバーレジリエンスの必要性

サイバー攻撃はこの10年で66倍に増えています。もし企業が攻撃や災害に対して備えていなければ、サービス停止や機密情報漏えいなどの被害が発生し、信頼性や評判を損なうことになります。また、サイバー攻撃の目的が金銭目的になってきたこともサイバーレジリエンスが必要になってきた理由の一つです。企業の機密情報や個人情報を盗み、売りさばく行為が現在も横行しています。さらに、攻撃の手法も多様化しています。メールやSNSを悪用したフィッシング被害も増加しており、会社に関わる部分以外からも攻撃のきっかけになってしまっています。

サイバーレジリエンス体制の構築

サイバーレジリエンスを確保するためには、以下のような取り組みが必要です。

情報資産の整理

まず、企業や組織が保有する情報資産を整理し、それぞれが攻撃された際のリスクを想定する必要があります。どのような情報資産が攻撃のターゲットとなりやすく、どの程度の被害が予想されるかを把握することができます。
情報資産にはクラウドサーバー、オンプレミスの業務サーバー、個人用のPC、USB記録媒体など多岐にわたります。それぞれの資産がどのように管理、運用されているかを整理することで、リスクが顕在化します。例えば、社員一人ひとりが使用しているPCに攻撃を受け、アカウントの乗っ取りが発生した場合、どれくらいの情報が流出するか、ビジネスの継続に影響があるか、被害規模はどれくらいになるかなどを分析します。

システムの健全性の維持

システムの健全性を維持することも、サイバーレジリエンスの重要な要素です。システムの脆弱性を定期的にチェックし、必要に応じて修正を行い、セキュリティを強化することが必要です。また、システムのバックアップを定期的に行い、災害発生時には迅速かつ正確にシステムを復旧することができるようにしておく必要があります。
また、テレワークなどの外部から接続する端末にはエンドポイントセキュリティで保護する必要があります。

サイバー攻撃被害の局所化

サイバー攻撃が発生した場合、被害を局所化し、拡大を防止することが必要です。ネットワークを小さな単位で分割することで、特定のユーザーのみがアクセスできるようにする仕組みです。
攻撃を受けたネットワークのみ遮断する対処が取れれば、それ以外のネットワークへの影響を防ぐことができ、被害が抑えられます。

ビジネスを再開をするための回復力の向上

攻撃を受けて、事業やサービスが停止した時、復旧時間を短縮することができれば、信頼を損なわずに済むかもしれません。そのためには再開に向けた回復力を向上させることが必要です。
そのためには、バックアップシステムの整備や、代替のインフラストラクチャの用意などが含まれます。例えば、定期的にストレージの状態を保存するシステムや予備のPCをやサーバーなどが該当します。
また、復旧の仕組みや手順を準備することは必須ですが、その手順を周知する必要もあります。事前に十分な教育を行い、被害発生時に従業員が的確な対応ができるようにすることが必要です。実践的な演習を行い、被害を食い止める経験を積むことで、有事でも対処可能になります。
なお、サイバーセキュリティ保険というものがあり、金銭的な被害に対して活用することも可能です。被害を受ければ、訴訟費用や賠償金、調査費用などが発生することが考えられますが、それらの費用を補償するものです。回復力があり、ビジネスを早急に再開できたとしても、諸費用の負担によりキャッシュフローが悪化し、経営全体が揺らぐことも考えられます。ビジネスを再開できた後についても検討するとよいかもしれません。

まとめ

サイバーレジリエンスは、サイバー攻撃や災害に対して事業活動を継続するための能力を指します。サイバーレジリエンスを確保するためには、情報資産の洗い出しやリスク評価、システムの健全性維持、攻撃被害の局所化、事業再開に向けた回復力の向上などの取り組みが必要です。企業や組織は、サイバーレジリエンス体制の構築を通じて、サイバー攻撃や災害に対する備えを整えることが求められています。