• リスク・課題

ゼロトラストセキュリティの発展に伴い、VPNを活用しないSASE（Secure Access Service Edge）に移行する企業が増えている一方、VPNを利用している企業が依然として多いのが実態です。昨今のサイバーインシデントはVPNの脆弱性を突いた攻撃の割合が高く、海外拠点を足がかりとしたサイバー攻撃が、日本国内の本社やグループ全体へと侵入して被害を広げるインシデントが増加しています^※。
セキュリティ環境や運用体制が異なる海外拠点が攻撃者の「侵入口」となり得ることは、企業全体のリスクといえます。多くの企業がこのリスクを背負う一方で、国内本社の情報システム部門が、各海外拠点のセキュリティの状況を詳細まで把握し、リスクへの備えや有事での対応を統率することの難しさが大きな課題といえます。
本記事では、情報システム部門がこの課題と構造を自分事として捉える必要性、そして企業全体のリスクとしてどう備えるべきかについて解説します。

※出典：経済産業省『最近のサイバー攻撃の状況を踏まえた経営者への注意喚起』（2020.12.18）
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_uchu_sangyo/pdf/001_07_00.pdf

セキュリティが手薄な海外拠点がサイバー攻撃の侵入口に

情報システム部門では把握しきれないのが、海外拠点の詳細なセキュリティ環境です。以下では国内からは盲点になりがちな海外拠点の環境が、攻撃の侵入口となって国内本社やグループ会社への被害につながった事例などを紹介します。

海外拠点でセキュリティが手薄になりやすい理由

海外拠点でセキュリティが手薄になりやすい要因を以下に挙げます。

こうした要因により、海外拠点のどこかが攻撃者の標的となる可能性があります。これは、業界・業種を問わず、海外拠点を持つ大企業に共通する課題といえます。

海外拠点が、国内本社へのサイバー攻撃の「踏み台」にされた事例

海外拠点でサイバー攻撃の侵入を許した場合、VPNや業務連携を通じて本社まで被害が拡大するリスクが高まります。このようなリスクの事例を下図に示します。

このように本社からは認知することが難しい脆弱なポイントが、攻撃の踏み台とされるケースがあとを絶ちません。
一方で、大規模化する国際的なサプライチェーンにおいて、海外拠点を含むグループ全体のセキュリティの状況を完全に把握・統制しようにも、多くの企業が国ごとの環境差といった共通の課題に直面しています。

情報システム部門の「初動対応の遅れ」が被害を拡大させる

サイバーインシデントの発生時、被害の範囲、復旧にかかる期間を極小化するために初動対応の速やかさが重要です。ここでは、海外拠点で初動対応が遅れてしまう理由、そして、大きな課題である「情報システム部門が矢面に立つことになり、海外拠点対応に限界が生じる構造」について解説します。

海外拠点でのインシデント発覚の第一報は、時差により日本の深夜や休日を問わず、外国語で突然届くケースが少なくありません。情報システム部門の担当者は、海外拠点からの限られた情報の中で、以下のような判断を迫られることになります。

海外拠点に対して日本から遠隔で技術的な緊急度判定（トリアージ）を行うにも限界があるでしょう。こうした判断に悩む間にも、被害規模を左右する「初動の24時間」^※が失われていきます。

海外拠点の実態が見えにくい一方で、インシデント対応では、最終的に国内の情報システム部門が矢面に立つ構造が多く見られます。しかし、現地の状況はおろか、企業としても現地の法的な整理、保険の補償範囲や内容などがわからない状況下、情報システム部門はインシデントへの対応に追われます。

※「初動の24時間」とその重要性について：
サイバーインシデントの発覚の報告を受けてから、トリアージや専門家との連携を経て、適切な対応策を策定・実行する必要があります。通知から24時間以内にインシデントマネージャーが基本情報を収集して、関係専門家を手配し、海外拠点と連携。そして2日以内に調査と対応を進めるといった体制が求められます。海外拠点でのインシデント発生後にこの体制を築くのは困難なため、平時から外部と連携した備えが必要といえます。

サイバーインシデントが「企業全体の損害」に変わる瞬間

海外拠点でのサイバーインシデントへの初動対応の遅れにより、どう被害が拡大し、損害・損失へと変わるのかを想定してみましょう。以下では、インシデントによる被害や、必要とされる補償の例を紹介します。

情報漏えいだけにとどまらない被害

サイバー攻撃による被害は、個人情報漏えいや賠償問題だけでは済まないケースが多いといわれており、たとえば以下のようなリスクがともないます。

なかでも近年、深刻化しているのが、営業停止による損害（逸失利益）です。実際の営業利益の喪失だけでなく、営業停止期間中でも経常費（従業員への給与や固定費）は継続して発生し、事業を圧迫していきます。

さらに、営業停止による一時的な損害だけではなく、「取引先や消費者への影響」や「信頼やブランド価値の低下」などの将来的な機会損失につながる可能性があります。業種を問わず、企業活動そのものに影響がおよんでしまうリスクがあります。

サイバー攻撃による損害・損失を、誰がどう補うのか

サイバー攻撃により損害・損失が財務的に厳しい規模となり、営業継続も危機的な状況に陥る可能性があります。
具体的には、サイバー攻撃に起因したネットワークの中断などによる損害・損失や第三者に対する賠償責任、インシデント発生時の対応費用のほか、営業継続のための復旧費用も必要です。これらは事業規模が大きければ大きいほど巨額となり得ます。

企業が被害を受けた際に「情報システム部門の海外拠点の管理が不十分だったのでは」と責任を向ける構造は、企業全体が常に潜在的かつ巨大なリスクを抱えている状態といえます。

技術と経営をつなぐ情報システム部門、そして企業全体として備えるべきこと

サイバーリスクへの備えは情報システム部門を起点としながらも、企業全体のリスクとして取り組むべき課題です。特に以下のような考え方が、課題を解決しリスクに備えるための重要なポイントとなります。

サイバーリスクに備えるための重要なポイント

これらを実現するインフラともいえるのが、損保ジャパンの「サイバー保険ワールドワイドプログラム」です。
国内の本社やグループ会社のみならず、サイバー攻撃の侵入口となりやすい海外拠点もカバー。また、平時のチェックや有事の際の現地と国内本社の情報システム部門をつなぐサポート体制、日本語・多言語対応、さらに有事後の経営継続に求められる補償への備えも導入することができます。