サイバーセキュリティ侵害に備える

転ばぬ先の杖 - サイバーセキュリティ侵害に備える

この世で確かなものは死と税金だけ、ということわざがありました。不幸なことに、経営者には確実といえるものがさらにひとつ加わってしまいました。それは、データ紛失事故です。その原因はハッカーとは限りません。事実、ハッカーによるものよりも、組織内の誰かが原因になっている方がはるかに多いのです。あなた自身がその誰かになる日が来るかもしれません。データ紛失事故のうち、実に約80%が従業員によるうっかりミスが原因なのです。Eメールを受信して「あの人はどうしてこれを私に送信したのだろう?」と思っていたら、ほどなくしてまた「さきほどお送りしたメールは消去してください。間違って送ってしまいました。」というメールが届いたことが、これまでに何度あったことでしょうか。

今日では、そうしたうっかりミスを防ぐ手助けをし、潜在的な問題にアラートをあげてくれるソリューションも登場しています。ですが、万一事故が起きてしまった場合の計画も用意しておく必要があるのです。データ紛失だけでなく、解決が必要なセキュリティ インシデントすべてが計画の対象です。物理的な災害に対してはDR(災害復旧)やBCP(事業継続計画)を用意している組織が多いですが、今日はサイバー災害に対しての計画も立てておく必要があります。もし、すでにDRやBCPが立ててあるのであれば、取り掛かりやすいでしょう。DRやBDPをまだ用意していない、あるいは他も検討してみたいという方は、クリアスウィフトのホワイトペーパー「サイバーセキュリティ侵害に備える - 転ばぬ先の杖」をぜひお読みください。

準備はまず理解することから

誰がメンバーになるか、法的な通知が必要なのは何か、そしてそれはいつか、を決めます。その後はセキュリティインシデントの際にカバーすべきステップが3つあります。

  • 1. 何… 何が実際に起きたのか、どの情報(またはシステム)が被害を受けているのか、何人が影響を受けるのか?
  • 2. 情報伝達による沈静化… 様々な利害関係者に対してコミュニケーションを取り、問題を解決しましょう。
  • 3. 事後処理… 物理的な災害と同様、システムのバックアップ作動が終わっても影響は続きます。

DRやBDP計画は、作ったらそのままほったらかしにしていいものではありません。作っては試し、さらに改定を加えていく作業の繰り返しが必要となります。こうした計画が本当に必要になる機会が来ないことを願いますが、計画を作っておけば、準備はできているのです。

転ばぬ先の杖