AM情報共有と備えの大切さ社会を何度も襲う自然災害。私たちは、災害の分析や過去の体験を礎に、正確な情報をより早く伝えるための体制を整えてきました。消防や救急隊などの機関は平時でも非常時を想定した訓練を繰り返しています。多くの民間企業も災害や事故に備えた訓練を定期的に行っています。被害を減らすには、情報共有と平時の備えが欠かせません。情報共有と備えの大切さは、情報セキュリティにも同じことが言えます。攻撃者は、人と企業のわずかな隙を突いてきますから対策は難しいのですが、平時の備えとして、できること、なすべきことはたくさんあります。情報セキュリティの分野では、インシデント(セキュリティ被害につながる事故や事件)に対処する活動を、「インシデントレスポンス(対応)」と呼んでいます。)がセキュリティ関連の文書「SP800-61」で発表して以来、多くの企業や研究機関が参照するようになりました。具体的な内容ですが、インシデントに対応する行動を「インシデントレスポンスのライフサイクル」として、以下の4段階で表しています。・事件後の対応ライフサイクルの根底にある考え方は、巧妙化する標的型攻撃やランサムウェアのような攻撃を100%阻止することはもはや困難と見られ、攻撃を受ける、侵入されることを前提に、被害を最小化するための準備、攻撃の検知、初動対応などをしっかりやっていこうとするものです。このサイクルの特徴は、「検知」や「封じ込め・復旧」などと同等に、「準備」に大きなウェートを置いている点。「検知と分析」以後の行動を「事件後の対応」で検証し、「準備」にフィードバックしていきます。インシデントマネジメント」などの内容も参照しながら、一般企業ができる、しなければならない「準備」について、重点的に見ていくことにしましょう。準備の中身は「体制の確立」と「安全性の維持」インシデントレスポンスの目的は、被害の最小化と再発防止に集約されます。ライフサイクルはこれを実現するため、4つのフェーズを回していくものですが、準備段階での必要な要素は、「インシデント対応の体制確立」と「システムの安全性の維持」に大別できます。体制の確立ですが、平たく言うと事故対応チームの編制。一般社会でも、消防団などの組織は、情報を伝達・共有する体制を整え、初動の手順書も用意して、訓練を重ねていますが、企業のセキュリティ対策でも、同様の役割を担うチームの存在が欠かせません。数年前には、マルウェアが添付されたメールの配信が外部から指摘されたにも関わらず、セキュリティ担当者まで伝わらずに放置され、被害が拡大した例も報告されていました。事故対応チームが機能し、インシデントの可能性がある事案を通報する体制があれば、こうした事故は防げるはずです。Team:シーサート)と呼んでいます。CSIRTには、ITと情報セキュリティ、法務や人事、BCP(業務継続計画)などの部門から人材を集め、事故対応責任者がこれを統括します。広範な分野から集める理由は、活動が多岐にわたり、社会との接点も多いからです。密接なやり取りが欠かせません。小規模の企業・団体は部署数が限られ、少数精鋭のチーム編制になりますが、規模に関わらず欠かせないのは経営層の関与です。インシデント対応は、人員の振り分けや業務継続計画の立案、そして予算の計上も伴います。どれも経営と密接に関わるテーマです。Ver.2.0」)もう一つの要件は、当然ですが実働を伴うこと。CSIRTの組織化で目的を達したかのように、活動が下火になっていく例も散見しますが、CSIRTの精神を日常業務に組み込むことは欠かせません。連絡窓口の維持、定期的なシステム点検、チーム内のトレーニング、そして企業全体を対象にした訓練の実施など、日々の行動が緊急時の適切な対応の支えとなるのです。インシデントマネジメント」でも、“平時におけるインシデント対応の準備”として、以下の点に言及しています。修正プログラムの適用、予行演習3.技術的手段の準備バックアップ手段、侵入検知を支援するツールどれも基本的な要素ですが、ここでは安全性の維持につながる平時の行動を抽出した2.について、ポイントを補足しておきましょう。定期的なバックアップ。システムの設定情報やデータの保存は、もっともベーシックな対策の一つです。データを暗号化して身代金を要求するランサムウェアの被害が拡大した2017年頃から、その重要性は認識されていますが、徹底できていない組織も散見します。バックアップのルールと手順を見直し、確実に実践する体制があるか確かめてください。システムの通常状態の把握は、平時の稼働状況の記録や記憶がベースになります。通常の動作を把握していなければ、異常の発生は検知できません。管理者の目視による定期的な検証に加えて、システムの不審な動きやファイルの不正変更を監視するソリューションの導入も有効です。外部情報の収集と修正プログラムの適用は、マルウェアや脆弱性情報の日常的なチェックと、修正プログラムをできるだけ早期に導入すること。予行演習は、インシデント対応の訓練の実施です。不審なメールやシステムの異常に気づいたら、すぐに通報する体制を整えると同時に、攻撃を想定したトレーニングも行いましょう。最近の標的型攻撃やビジネスメール詐欺は、その手口をよく知る人でも見抜けないほど巧妙化しています。このような先鋭化する攻撃への耐性を高めるための訓練サービスもありますから、実施を検討してみてもよいでしょう。みなさまの企業でも、一度セキュリティインシデントに備える準備を見直してみてはいかがでしょうか。