何が起きてもビジネスを止めないために
レジリエンス構築に必須のポイントとは

　日々様々な企業が被害を受けているサイバー攻撃。これによってビジネスが止まってしまうケースが後を絶たない。最近では、大手出版・エンターテイメント事業会社がランサムウェア攻撃を受けて、復旧に約2カ月を要した事例もあった。またサイバー攻撃だけではなく、システム障害のような想定外の事象でビジネスが長期停止するケースも目立つようになってきた。想定外の事象としてはほかにも、地震や風水害、感染症、戦争やテロなども考えられる。

　こうしたことが起きてもビジネスが止まらないようにするには、どうすればよいのだろうか。

　「企業にはビジネスのレジリエンスを確保することが求められますが、そのためにはまず『様々なインシデント対応を整理すべき』だと考えています。よくいわれるインシデント対応としては、サイバー攻撃に対応するサイバーレジリエンスのほかにも、大規模災害に備えるためのコンティンジェンシープランやBCPなど、実に様々なものがあります。特徴はそれぞれ少しずつ異なりますが『何かが起きた時に対応する』という基本は変わりません」とニュートン・コンサルティングの内海 良氏は語る。

　さらに、これらに共通するポイントとして「ビジネスの許容範囲を見極めて対応を検討すること」も重要となる。ここをきちんと考えておかなければ、ビジネスレジリエンスを実現することは難しい。「最終的にはこの観点で、すべてのインシデント対応が融合されていくはずです。そして許容範囲を見極めるには『経営とつながる指標』をはっきりと意識すべきなのです。最大許容停止時間（MTPD）や最小事業継続目標（MBCO）、目標復旧時間（RTO）、目標復旧レベル（RLO）などはその一例です（図1）」（内海氏）。

　これらは主にBCPの文脈で語られる指標で、サイバーレジリエンスの観点からはあまり議論されることがなかった。 　「私自身も10年ほど前までは『インシデントが起きたらとにかく迅速に対応すればいい』としか考えていませんでした。しかし今ではサイバー攻撃対応でも、これらをきちんと意識して議論する必要があると考えています。これができてはじめて、ビジネスとサイバー攻撃対応がつながるようになるからです。そして、こうした指標は、対策に関する組織内の目線合わせや、投資判断にも役立ちます」と内海氏は話す。

　最近ではこれと同様の考え方が、スイスのバーゼル銀行監督委員会からも発表されている。それが2021年3月に公表された「オペレーショナル・レジリエンスのための諸原則」だ。これは平時のガバナンスからセキュリティ、有事対応のBCPに至るまで、7つの原則で構成されている。注目したいのは、従来のようにそれぞれのインシデント対応を個別に考えるのではなく「経営にインパクトを与えるものを統合して管理していこう」という考え方に基づいている点だ。

　またここに盛り込まれている「4つの手段」の中に「耐性度」が盛り込まれているが、これは「復旧目標」とほぼ同じ意味で使われているという。今までは一般的にBCPでしか復旧目標を定められていなかった。しかしセキュリティ対応でもこれを決めていこうという考え方は、今後は金融業界以外にも広がっていくと予想される。

　「これまでも、情報セキュリティからサイバーセキュリティ、さらにサイバー攻撃対応の高度化へと取り組みが進化してきましたが、これからは『ビジネス視点でインシデント対応を融合』させ、最終的に『レジリエンスカルチャーを醸成』していく必要があるのです」と内海氏は話す。

　とはいえ、自社だけでこうした新しい取り組みを行っていくことは容易ではない。そこでニュートン・コンサルティングでは「『あの時もっとこうしておけば良かった』を世界から失くしたい」というビジョンのもと、リスクマネジメントにかかわるコンサルティングを展開。その一環として、サイバーセキュリティ支援ソリューションを最上流から提供しているという。

　まず前者の「インシデント対応の融合」に関しては、最初に必ず経営トップにインタビューを実施する。「経営とサイバーをつなげるには、経営トップの参画が不可欠だと考えているからです。その次に行うべきことが優先業務の特定です。これも従来のサイバー攻撃対策ではあまり行われてこなかったことですが、耐性度を考えるには必須となります。その上でシステムの観点から重要性や対策の方向性へと落とし込んでいくことで、ビジネスとシステムをつなぐことができるのです」（内海氏）

　当然ながら適切な対応を確実に行うには、組織として危機対応の全体像を明確化しておく必要がある。そこで同社では危機対応の全体像を提示している。大きくは「初動・緊急時対応（ERP：Emergency Response Plan）」「全社的な危機対応（CMP：Crisis Management Plan）」「事業・業務継続対応（BCP）」の3フェーズだ（図2）。 　「インシデントが発生したらまずCSIRT／SOCや情報システム部門がERPとして迅速に対応。ここで経営にインパクトがあると判断された場合には、CMPとして全社的な対策本部を設置し、CSIRTやSOCもそのメンバーとして参画します。さらに対策本部で『業務継続に注力すべき』と判断したら、BCPに基づいて動いていくことになります。この考え方であれば、サイバー攻撃でも災害でも、同じような流れで対応できるようになります」（内海氏）。

　後者の「レジリエンスカルチャーの醸成」は、一朝一夕に実現できるものではないため、徐々に意識を変えていくアプローチを行っている。

　「組織がレジリエンスカルチャーに基づいて動けるようになるには、関係者全員が自分自身の頭で考えて判断を下す、という経験が欠かせません。そこで当社では『サイバー攻撃対応演習・訓練コンサルティングサービス』を提供しています。これはサイバー攻撃と同様の状況をシミュレートし、それへの対応を当事者として考えてもらう、という机上演習です。組織のレジリエンス力を高めていくには、このような演習・訓練を繰り返しやっていくことも重要です」と内海氏は語る。

　今後も同社ではこうした考え方や実践手法のもと、企業のビジネスレジリエンスの構築を支援していく考えだ。