ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その11
みなさん、こんにちは！
株式会社カチカのオフサイト＆コールドバックアップ業務担当の村島です！
今回も、毎度おなじみの文書を見ていこうと思います。
こういう文書系って結構たくさんありますので、こうして書いていくことが、世の中の人にこういう問題があるのだという啓発活動になり、同時に正しい対応の普及活動につながればいいなと考えています。
というわけで、今回もレッツスタディセキュリティ！なのです。
例によって文書のはじめの1ページだけ貼っておきます
「ストップ！ランサムウェア特設ページ」
より引用
上のページの丸で囲んだ「仮訳」というところになります。
そこから見られる書類の1ページ目も貼っておきましょう。
り引用
（以降、特記なき場合同資料からの引用とします）
これですね。前回が13までで終わっていますので、その後を見ていきましょう。
「インシデントの影響を評価する」から見ていきます
14.インシデントの影響を評価するための措置を講じることで、組織はより良い準備を整え、保険適用範囲を検討することができる。情報が最終的に漏洩するかどうかに関係なく、ランサムウェア・インシデント時のデータ流出の結果として、影響を受けた個人への通知、データ保護に関連する規制上の罰金など、既に何らかのコストが発生している可能性があることに留意することが重要である。そのため、これらのコストの影響は、身代金を支払うかどうかの決定とは別に考慮する必要がある。考慮事項には次のものが含まれる。
• 加入している保険の補償範囲の調査。
• 業務の中断、セキュリティ改善作業、スタッフの残業、訴訟費用又は規制上の罰金による収益損失の見積もり。
• 盗まれた可能性があるデータや知的財産の特定、及び盗まれたデータが流出した場合には組織、顧客、該当する場合はクライアントに及ぶ可能性がある損害の推定。
結構、長いですね。
インシデントの影響を評価するための措置を講じることで、組織はより良い準備を整え、保険適用範囲を検討することができる。
前回の「─事件を解決せよ─ CASE1：フォルダを開くのが重い」で、とりあえずデータはバックアップから復旧し、クラウドのデータをセキュリティ会社から入手した安全な復号鍵で復旧、データを公開するぞという要求に対しては犯行グループに身代金を払うことは拒否、被害を受けた可能性がある人々に対してはお詫びをするという形で閉めて、その後原因追及と同じ原因で同じような事件が起きないように規則を変更するという内容にしました。
それはこの「インシデントの影響を評価するための措置」を表現したかったからです。
それをしていくことで、インシデントのたびに組織が強くなっていくことになります。
あ、たまには言っておかないといけないかも知れませんので、ここでも言っておきます。
実際に悪い事態が起こってしまったことは「アクシデント」ですよね。「インシデント」というのはそこのちょっと手前、危なかった、なんとか何事もなかったという結果にはなったけど、これからは気をつけないといけないね、という出来事が「インシデント」です。
インシデントはしばしば現体制の弱点を炙り出します。ですので、インシデントが起こってしまったときには、起こってしまったことを悔やむより、そこから何か教訓を得ることを考えるべきです。そこには、改善すべき点が必ず含まれています。
情報の流出の有無にかかわらずやるべきことがあります！
情報が最終的に漏洩するかどうかに関係なく、ランサムウェア・インシデント時のデータ流出の結果として、影響を受けた個人への通知、データ保護に関連する規制上の罰金など、既に何らかのコストが発生している可能性があることに留意することが重要である。
さてこの部分なんですが
「情報が最終的に漏洩するかどうかに関係なく」
というところが重要です。前回に書きましたCASE1でも最終的に情報が漏洩したのかどうかはわかっていないことにお気づきいただいていますでしょうか。
CASE1はランサムウェア案件でした。そして犯行グループはすぐにでも情報を公開することだって可能だというようなことを言って高橋さんや渡辺さんが勤務する会社に揺さぶりをかけてきました。
緊急重役会議が開かれ、勇気ある社長は「関係者にお詫びをすることになっても、犯行グループにお金は払わない」という方針を固め、それを全社で行いました。
お金を払っても、情報の秘密は守られるという保証があるわけではないので、社長の判断はまさに英断と言っていいでしょう。そして
「ランサムウェア・インシデント時のデータ流出の結果として、影響を受けた個人への通知、データ保護に関連する規制上の罰金など、既に何らかのコストが発生している可能性があることに留意することが重要である。」
という長めな1文を見てみますと、データ流出の結果、既に様々被害が出ていることも十分考えられます。CASE1では、流出の有無についてはまだわからない状態でした。
しかし身代金を払ったところで情報の秘密が保証されるわけでもなし、身代金の「おかわり」が来る可能性もあります。
そうであるのならば、業務上やむを得ないコストとしてお詫びをしてしまおうというのが社長が肚を括った理由であるかと思われます。
もちろん、それ以外のコスト発生も可能性として十分考えられます。
情報の管理が義務づけられているタイプの仕事を、高橋さんや渡辺さんが勤めている会社が行っているのならば、行政上の処分として罰金などが科されているかも知れませんし、あるいはもっと重大な何かが必要となるかも知れません。
社長はそこまでちゃんと考えられる人だったということです。さすが社長！
そのため、これらのコストの影響は、身代金を支払うかどうかの決定とは別に考慮する必要がある。考慮事項には次のものが含まれる。
• 加入している保険の補償範囲の調査。
• 業務の中断、セキュリティ改善作業、スタッフの残業、訴訟費用又は規制上の罰金による収益損失の見積もり。
• 盗まれた可能性があるデータや知的財産の特定、及び盗まれたデータが流出した場合には組織、顧客、該当する場合はクライアントに及ぶ可能性がある損害の推定。
勘違いしないでいただきたいのは、身代金を払うか払わないかということと、お詫びをするための必要コストというのは別々の問題だということです。
仮に身代金を払っても、身代金を要求されるような事態に陥ったことがまず問題としてありますし、身代金を払っても情報がバラ撒かれないとも限りません。
CASE1では、渡辺さんがすごく頑張りましたが、それでも情報がバラ撒かれる可能性までは渡辺さんにはどうすることもできません。
そこが渡辺さんが悔しく感じたところではあるのですが、何とか揉み消そうとして四苦八苦して、状況が悪くなってからやっとお詫びをするよりは早いうちに情報を公開した方がよいと考えた社長、やっぱり素晴らしいです。
そして考慮するべきものとして
• 加入している保険の補償範囲の調査。
• 業務の中断、セキュリティ改善作業、スタッフの残業、訴訟費用又は規制上の罰金による収益損失の見積もり。
• 盗まれた可能性があるデータや知的財産の特定、及び盗まれたデータが流出した場合には組織、顧客、該当する場合はクライアントに及ぶ可能性がある損害の推定。
というのがあるということなんですが、まあこれは列挙しているだけのことですのでざっと見ておいてください。
しかし、会社にとっては、かなり痛いコストですね…。
ランサムウェア・インシデントの影響は結構大きい！
最後に、多くのランサムウェア・インシデントにおいて、サイバー犯罪者はデータも盗むようになっている。
したがって、被害組織は身代金を支払えば盗まれたデータを削除するという約束を信用してはならない。組織が、盗まれたデータの特定とその機密性を判断するための評価を実施することは優れた取組みである。法的助言は、法規制の遵守、関連当局への報告や支援の要請に役立つ。また、データが公開された場合、生命、個人データ、又は国家安全保障へのリスクも評価する必要がある。盗まれたデータの性質と量に関する主張が真実であることを確認することを推奨する。
ランサムウェアの影響の大きさがここでは述べられています。
最後に、多くのランサムウェア・インシデントにおいて、サイバー犯罪者はデータも盗むようになっている。
というか、むしろサイバー犯罪者はバラされたら会社の信用が揺らぐようなデータをこそ狙ってくるという印象なのですが…。
被害組織は身代金を支払えば盗まれたデータを削除するという約束を信用してはならない。
これはもう、この文章だけでも何回も言ってますが、お金だけ払えば解決してくれるような犯罪者はなかなかいないってことです。
組織が、盗まれたデータの特定とその機密性を判断するための評価を実施することは優れた取組みである。
はい、ですので、普段から機密性を段階的に評価しておいた方がいいかもしれませんね。どんな形で評価するかは会社次第だと思うのですが、SSS・SS・S・A・B・C・Dとか、そんな感じでいいと思います。
重要なデータになるほど、失われてしまったときの影響は甚大だと思いますので、バックアップしておくことが望ましいと思われます。
弊社で行っておりますようなオフライン・コールド・オフサイトのバックアップですと、ネットワークからの侵入はほぼ完全にシャットアウトできます。ぜひご検討ください。
そして盗まれたデータの特定というのは簡単な作業ではないかも知れません。サイバー犯罪者に真正面から訊いても教えてくれる可能性は高くなさそうですし、交渉の中で犯罪者がポロッとこぼすのを上手く拾うのが一番よい方法かも知れません。
法的助言は、法規制の遵守、関連当局への報告や支援の要請に役立つ。
というわけなんですが、法的助言って一体誰に訊けばいいのかという問題もあるかも知れません。
これも何度もお話ししている問題で申し訳ないのですが、強調してしすぎる問題でもありませんので、相談先を列挙致します。
まず↑ここをご覧いただいたら諸々相談先となり得るところは乗っているのですが、他を挙げますと
やっぱり警察ですが、サイバー事案の専門窓口があります。
↑は相談窓口ではありませんが、CASE1で渡辺さんも見たであろう、犯人に頼らない復号鍵がおいてあります。
↑やはり犯人に頼らなくてもいい復号鍵を配布しています。
↑ごく当たり前に、警察に届けるというのもぜひ推奨したい対策のひとつです。
そして、大きな会社であれば顧問弁護士や弁護士事務所があるかもしれません。IT化の進行に伴って、そちらの方面に詳しい弁護士さんも増えています。そういう目で以て顧問弁護士（あるいは法人）を選ぶのも今後は重要になるかも知れませんね。
また、データが公開された場合、生命、個人データ、又は国家安全保障へのリスクも評価する必要がある。
窃取されたデータの質にもよるんでしょうが、最悪の場合国家安全保障へも影響する可能性も考えなければならないということですね。
怖いですね、ランサムウェア。
盗まれたデータの性質と量に関する主張が真実であることを確認することを推奨する。
自分たちが盗んだデータの性質とか量を把握してないおっちょこちょいなサイバー犯罪者はいないと思いますが、それでもやっぱり確認しておいた方がいいということですね。案外、問題の突破口はそういうところから見つかるかも知れません。
例えば、業務上不可欠なデータが窃取されたとして、それは古いバージョンであって現行バージョンでなかったなんてことがあったら、サイバー犯罪者に無理してつきあう義理はありません。
でも慌てた振りをして犯人の情報をできる限り手に入れてしまう…なんていうちょっとした社会貢献をしてもいいかもしれませんが、皆様そこまでヒマではありませんかそうですか。
小括
というわけで、今日はここまでで終わりたいと思います。また次から話題が変わっていますのでね。
カウンターランサムウェア・イニシアティブが出しているランサムウェア・インシデント発生時の組織向けガイダンスをこうして精読しているわけですけども、前回は架空の事例CASE1という形でストーリーにした結果、正直お話がしやすくなったという感覚がこちらにはあるのですが、お読みいただいてどう思われますか？もしご意見・ご感想があればお聞かせください。
個人的には気に入ったので、架空のケースでもって対応をシミュレーションしてみるという記事の書き方は今後も続けてみたいななんて思っています。
では、今後ともよろしくお願いいたします。
目次
クラウドストレージと遠隔地バックアップの相互補完性
クラウドストレージのデータ消失に関する責任の所在
ディザスタリカバリ手順をあらかじめ決めておくべき理由
弊社でお取り扱いしておりますデータ・OSにつきまして
クラウドストレージのメリット・デメリット
Windowsからの乗り換え先になるか？ Linux MintとChrome OS Flex
バックアップの方法 オフライン・オンラインバックアップとは？
IPAの言うセキュリティ対策の基本を見ていきましょう！ その1
IPAの言うセキュリティ対策の基本を見ていきましょう！ その2
IPAの言うセキュリティ対策の基本を見ていきましょう！ その3
IPAの言うセキュリティ対策の基本を見ていきましょう！ その4
IPAの言うセキュリティ対策の基本を見ていきましょう！ その5
IPAの言うセキュリティ対策の基本を見ていきましょう！ その6
IPAの言うセキュリティ対策の基本を見ていきましょう！ その7
IPAの言うセキュリティ対策の基本を見ていきましょう！ その8
IPAの言うセキュリティ対策の基本を見ていきましょう！ その9
IPAの言うセキュリティ対策の基本を見ていきましょう！ ラスト
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その2
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その3
内閣サイバーセキュリティセンター（NISC）を見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その1
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その3
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その4
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その5
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その6
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その7
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その8
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その9
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その10
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 1
─事件を解決せよ─ CASE2：Webサイトのデータが消えた Part 2
今日はバックアップに関する最近の話題をつらつら語りたいと思います
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その12
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 1
─事件を解決せよ─ CASE3：火事でオフィスが焼失 Part 2
ランサムウェア・インシデント発生時の組織向けガイダンスを見ていきましょう！その13（最終回）
今日はバックアップに関する最近の話題をつらつら語りたいと思います その2
オフサイトバックアップに関する最近の話題をつらつら語りたいと思います
バックアップがきちんとしていれば起きていなかった情報事故 その1
バックアップがきちんとしていれば起きていなかった情報事故 その2
中小企業のための簡単・安価なデータバックアップ戦略 その10
大企業における物理的媒体による遠隔地バックアップの重要性 その1
大企業における物理的媒体による遠隔地バックアップの重要性 その2
大企業における物理的媒体による遠隔地バックアップの重要性 その3
