|
「フォレンジック調査」をご存じですか？ －進化するＢＣＰ－
|
企業のリスク対策業11ネット/リスクコンサルタント
礒村 安倫
政府は年内の防災庁設置に向けて準備を進めています。南海トラフ地震など大規模災害への備えが進む一方で、企業のBCPで想定すべきリスクも変化しています。その一つが「サイバー攻撃」です。サイバー攻撃によって社内システムが停止すれば、受発注や製造、請求などができなくなり、会社そのものが動かなくなる可能性があります。さらに情報が流出すれば、復旧費用だけでなく、損害賠償や取引先への対応、そして長年築いてきた信用まで失う恐れがあります。特に注意したいのが「サプライチェーン攻撃」です。大企業を直接狙うだけでなく、セキュリティ対策が十分でない取引先などを侵入口として、糸を手繰るように攻撃が広がることがあります。独立行政法人情報処理推進機構、通称「IPA」も、中小企業のセキュリティ対策が不十分な場合、自社だけでなく取引先にも被害が及ぶ危険性を指摘しています。BCPも進化しています。事実香川県でも、自然災害や感染症だけでなく、サイバー攻撃を事業継続を脅かすリスクとして取り上げているのです。
では、実際に攻撃を受けたらどうするのか。一般的には、①攻撃の発生・検知、②事案の認知、③初動対応、④原因と影響範囲の特定、⑤関係者への報告、⑥復旧・再発防止という流れになります。
ここで経営者のみなさんに知っていただきたいのが「フォレンジック調査」です。フォレンジック調査とは、パソコンやサーバー、通信記録などに残されたデジタル上の痕跡を専門家が調べ、「どこから侵入されたのか」「何が盗まれたのか」「どこまで被害が広がったのか」を明らかにする調査です。火災に例えるなら、消火後に行う「現場検証」に近いでしょう。火を消しただけで出火原因を調べなければ、再び火災が起こるかもしれません。サイバー攻撃も同じです。システムを復旧させるだけでなく、原因と被害範囲を確認することが重要なのです。そして、ここにもBCPの考え方が必要です。被害が発生してから「誰に相談するのか」「誰が判断するのか」を決めていては初動が遅れます。平時から専門家への連絡先、社内の責任者、取引先への報告手順などを決めておく。これは避難場所や緊急連絡網を決めておくことと同じです。自然災害とは異なる怖さがあります。一度外部へ流出した情報は、完全に回収することが困難だからです。さらに悪用されれば、被害が顧客や取引先へ広がる可能性もあります。経団連も「サイバーセキュリティ経営宣言2.0」を公表しています。サイバーセキュリティは、もはやIT担当者だけの問題ではなく、経営課題です。これからのBCPに求められるのは、災害から「復旧する」ことだけではありません。情報が奪われたとき、被害範囲を把握し、どう事業と信用を守るのか。ＢＣＰが守る対象は、建物や設備だけでなく、『情報』、そして企業の『信用』へと広がっていきます。ＢＣＰそのものが、時代とともに進化しているのです。
以上
|
|
