【自己採点】あなたの会社のランサムウェア対策は？ ガートナー説く60点・90点・100点

「うちの会社は大丈夫？」への回答、まずは“60点”を狙え

　DXの進展により多様な業務でデジタル化が進んでいる。これは裏を返せば、ランサムウェアに代表されるサイバー攻撃の被害リスクが、それだけ高まっているということでもある。これを受け、「うちの会社は大丈夫なのか？」との問いが、多様なステークホルダーから寄せられるようになっている。

　「ただ、この質問への返答は、実のところ非常に困難です。そもそも何を基準に大丈夫とするかが明確ではありません。ランサムウェア被害が拡大を続ける中、我々は今、その点を改めて検討し、何をどこまでやるべきかを見極める必要に迫られています」と指摘するのは、ガートナー ディレクター・アナリストの鈴木弘之氏だ。

　無論、サイバー攻撃は巧妙化・凶悪化を続けており、「ここまでやれば大丈夫」との絶対的な指針は示しにくい。

　「その中でセキュリティを担保するには、セキュリティに対する理解を段階的に高めていくしか手はありません」と鈴木氏は語る。その理解レベルについて、鈴木氏は「60点」「90点」「100点」の3段階の回答として次のように説明する。

　まずは60点の回答だ。それが、冒頭に述べたとおり、セキュリティの脅威拡大を理解し、完璧に防ぎきることは不可能であることを認めたうえで、「現状の不備を発見し、是正に向けて対策全体の棚卸しと見直しを実施する」である。

VPN廃止は正解か？ 60点と不合格を分ける“ある違い”

　実施に向け参考となる取り組みとして鈴木氏が挙げたのが、リモートワークが広がり始めた時期でのVPN機器の脆弱性を突く攻撃に対応するための、「VPNの廃止の決断」である。

　この取り組み自体は決して間違ってはいない。ただ、「そこで見誤ってはならないのが、サイバーリスクが存在する箇所を見極められているか否かです」（鈴木氏）。このケースでは、VPNという通信手法ではなくVPN機器に脆弱性が存在することが問題だった。

「VPNの廃止に至る判断までのプロセスが重要です。単に他社の取り組みを踏襲したのであれば、理解は十分とは言えません。大切なのは、脆弱性を自ら把握・分析し、廃止を決定できたかどうかです。それができたのならば、対策をネットワーク以外にも広げることができます」（鈴木氏）

　セキュリティ対策は、この水準まで取り組みを進めてようやく機能し始めるという。

　その中での対策状況の棚卸しに向け、鈴木氏が推奨するのが、ISOやCIS、COBITなどのセキュリティ強化のフレームワークと並行しての、セキュリティ対策のガイドラインであるNIST CSF 2.0の活用だ。これらに自社の取り組みを当てはめ、不足部分を強化することが「対策の最低限の合格点」（鈴木氏）だという。

　次の90点の回答が、「万一の際の被害を最低限に抑え、確実に回復できるよう、自社が抱えるリスクをステークホルダーと共有したうえで、対策を事前に講じる」である。たとえば、ランサムウェアの被害時からの復旧だ。そのために広く採用されているのがツールによるデータ復旧用バックアップの取得だ。

　では、この90点の水準に、実際どれだけの企業が到達できているのか。 【次ページ】実施企業は4割未満…“90点”の会社が事前にやっていること