【自己採点】あなたの会社のランサムウェア対策は？ ガートナー説く60点・90点・100点(2/2)

実施企業は4割未満…“90点”の会社が事前にやっていること

　もっとも、鈴木氏によれば、完璧なバックアップデータの取得には、予想以上のコストを要するという。また、事業継続に向けた各システムの重要性はそれぞれ異なり、当然、至急、復旧させるべきものもあれば、数時間ほどの停止が許されるものもある。

「『うちの会社は大丈夫』と言えるようになるには、それらの多様なリスク要因を洗い出し、組織として共有して分析し、どこまで対策すべきかについて経営層まで巻き込んで事前に決めておかねばなりません。ビジネスとシステム、脅威は変化を続けており、リスク分析と対策の検討は継続して行う必要があります」（鈴木氏）


　現状、ここまで踏み込めている企業は実のところ少数派だという。

　たとえばランサムウェア対策として、すぐに思いつくものだけでも「感染時の対応のマニュアル化」「外部専門家やインシデント対応サービスとの事前契約」「公的機関の届け出体制の整備」などが挙げられるが、ガートナーの調査では、それらの実施企業はいまだ全体の4割に届かない。

「万一に備えるのであれば、細かな施策の立案とともに、その確実な遂行に向け、組織変更時の指揮系統の見直しなどの取り組みに気を配るべきでしょう」と鈴木氏はアドバイスする。

　一方で、事前に対策を講じるにあたっては、陥りやすい落とし穴もいくつか存在するという。「被害後に何が起こるかの理解不足」もその1つだ。

　ランサムウェアの被害内容は「データの暗号化によるシステムダウン」と「情報漏えい」の2つに分類できる。このうち、事業停止というダメージの分かりやすさから特に前者が目を引きがちだが、後者も企業の信頼失墜という経営上、深刻なダメージをもたらす。

身代金は払う？ サイバー保険の保険金は本当に下りるのか

　被害の内容が異なれば、対応策も自ずと変わってくる。システム復旧はIT／セキュリティ部門が責任を負うのに対し、信頼失墜への対応は経営レベルの判断を抜きには行えない。「そこでの迅速かつ適切な判断のためにも、事前の詳細なリスク分析を心がけるべきです」と鈴木氏は強調する。

　ランサムウェア関連の落とし穴では、「身代金要求に対してどう対応すべきかについて、あいまいな共有しかできていない」「サイバー保険の保険金が期待どおりに支払われると思っている」などもあるという。

　前者の問題点としてまず挙げられるのが、対応方針を明確に打ち出せていないがゆえの対応のブレだ。

　選択は「身代金を支払う」と「交渉に応じない」で、どちらが正しいかの絶対的な解は存在しない。早期での業務復旧に向け前者も1つの考え方であり、後者は信頼の回復手段にもなるからだが、ともあれ、いずれのケースにおいても迷いが判断をそれだけ遅らせることに変わりはない。

　また、後者の問題に関して、鈴木氏は現状、8割以上の企業がサイバー保険の加入、あるいは加入を検討中だと説明する。万一の際のコスト負担の軽減が最大の動機だが、保険の中には特定のセキュリティベンダーの利用時以外は保険金が支払われないケースもあると鈴木氏は注意を促す。

「保険会社側の保険金の支払い条件内容によっては、対策の抜本的な見直しが必要になることもあり得ます。念のため、保険がどこまで補償しているのかを必ず事前確認すべきです」（鈴木氏）

保険で埋まらない“最後の穴”、「100点の回答」とは