【後編】脅威はゼロにならない！誰でも被害に遭う可能性があるからこそ知っておきたいランサムウェア対策の「今」と「これから」

パロアルトネットワークス 林氏
教育でリテラシーを上げることも大事ではありますが、例えば、メールのリンクを踏まないとか添付を開かないとか、100％は無理ですよね。それ以前に技術的なところでとれる対策はたくさんありますので、そこが必要となってきます。
ただ技術的な対策以前にもやるべきことがあります。それは「ビジネスインパクト」を理解することです。自分たちの持つ重要なデータやシステムが失われたときにどのような影響があるかを考えることです。ビジネスインパクトを考えたときに初めて、例えばいくつかあるサーバーなどのクライアントを落とされたとしても、その中のここだけは死守しようといった戦略が立てられると思います。

パロアルトネットワークス 林氏
実際に侵害を受けたお客様のインシデントレスポンスを支援して分かったのは、侵害の原因が大きく分けて3つであることです。1つ目はフィッシング3、2つ目は脆弱性からの侵害、3つ目はRDP（リモートデスクトッププロトコル）4に対するブルートフォース5攻撃です。この3つで8割くらいです。
まずフィッシングは人に依存しますので100％防ぐのは難しいです。今は2要素認証をバイパスするようなフィッシングも出てきていますので、なかなか万全にはできません。脆弱性ですが、例えばソフトウェアの脆弱性は大体年間2万件ぐらい出てきています。これを全て把握して対応するのはやはり難しいでしょう。リモートデスクトップも同様に、どこで誰が使っていて、セキュリティ対策ができているかを完全に把握している企業、組織は少ないでしょう。
ランサムウェアを含め、サイバー攻撃を受けないための条件を全てクリアにしている企業はそれほど多くないと思います。担当者にしてもコストにしても、潤沢にリソースを持っていない企業はアウトソーシングを上手く利用されることを私もお勧めします。

新建新聞社（リスク対策.com） 中澤氏
ランサムウェアだけでなく自然災害も含め、多くの危機管理の事例を取材してきて、共通に感じているところは、リスクマネジメントでもBCPでも、要は「予測・予防・対応」の3つの要素が重要ということです。予測をしっかりとしているか、それに対して予防はどこまでやっているか、予防しきれないで危機が顕在化した時にどう対応するのか、この3つが全ての危機に関してバランスよくできていることが大切です。
全ての危機に対して重要と言いましたが、唯一ITに関して違うとすると「対応」だと思っています。自然災害など勃発的なものは、対応フェーズのスタートが明確に分かります。ランサムウェアでは18.5日というお話が林様からありましたが、潜入期間中に何が起きているのか分からないということは、対応のスタートが切りにくいわけです。そうした意味で「検知」が重要なフェーズになってくるのではないかと思います。「予測・予防・検知・対応」の4つの対応フェーズが必要になっていると言えるかもしれません。

パロアルトネットワークス 林氏
一番大切なのは重要資産の保護です。ビジネスインパクトの大きな資産が押さえられるのを避け、その上で脅威の封じ込めに注力すべきだと思います。とはいえ、封じ込めも容易ではありません。信頼できるパートナーや、アウトソースのパートナーに依頼する、助力を仰ぐことも必要だと思います。

新建新聞社（リスク対策.com） 中澤氏
優先順位の考え方が重要です。これは危機全般で言えることですが、何かインシデントが起きた際には、必要なメンバーを集めて、どういう優先順位で何をやるのか即座に決めて対応していくことですね。
もう1つは記録です。予防の時点から記録をしておき、いつどのような対策をして、被害を受けてどのような対応をしたのかをしっかり記録することです。その後の報告や、場合によっては記者会見を行う際にも、そうした記録文化は非常に重要です。

パロアルトネットワークス 林氏
「Prisma Access」はクラウド型のネットワークセキュリティソリューションです。SASEといわれている領域で、お客様からの問い合わせもたくさんいただいており、弊社としても主力の製品としてご紹介しています。特に、これまでのデータセンター中心からクラウドベースにシフトするといったところで、日本企業でもたくさん採用いただいています。
コロナ禍に入って、場所を問わずにセキュリティを確保できる「ゼロトラストネットワークアクセス」の考え方を実現でき、ランサムウェアはもちろんサイバー攻撃対策として非常にバランスが取れている製品だと考えています。
「Cortex XDR」は、ネットワーク、エンドポイント、クラウドにわたる詳細な情報と、機械学習を活用した分析機能による、セキュリティ運用の全体最適化と強化を実現するSaaS7型のアプリケーションです。Prisma Accessとあわせご利用いただきますと、エンドポイント・ネットワーク双方の可視化とレスポンスを統合し、セキュリティチームの負荷を抑えて、侵害を早期発見できるソリューションです。

新建新聞社（リスク対策.com） 中澤氏
リスクの専門家の間で近年しきりに言われているのが「黒い象（ブラックエレファント）」とか「灰色のサイ（グレイライノ）」という言葉です。起こるとわかっているリスクだけど手がつけられないで大きな被害が起こってしまう、地球規模で言えば気候変動や宇宙ゴミなんかもそうです。
ここにサイバー攻撃やランサムウェアが入るかという議論もありますが、私はブラックエレファントやグレイライノにしてはいけないと思います。万一何か起きてしまって会見を開かざるを得なくなってもきちんと説明できるよう、できる対策を打っていくことが大切です。あと対策を進める上では経営層の理解もとても重要だと思います。

パロアルトネットワークス 林氏
私も実は中澤さんと同じ考えで、やはり経営が率先してセキュリティ対策を進めていかなければいけないと考えています。ランサムウェアで言えば、情報損失や情報漏えいが起きてしまいますし、システム停止は自社だけではなく他社にも影響を及ぼします。他社にまで被害や損失、影響を与える可能性がある以上、これは経営課題ですよね。
日本企業の場合、セキュリティチームやITチームからのボトムアップで何かセキュリティ対策を行うことが今まで多かったですが、もうそういう時代ではないです。経営が率先して、事業継続の問題として、経営問題としてトップダウンでセキュリティ対策を進めていって欲しいと思います。