サイバーセキュリティと公共部門の技術リスク

公共価値にとってなぜ重要か

ある病院のシステムが攻撃者によって暗号化されると、臨床医は投薬歴を見ることができなくなり、救急車は転送され、手術は中止される。ある水道事業の制御システムが侵害されると、危機に瀕している公共価値はサーバーの停止ではなく飲料水の安全性である。ある給付機関のデータベースが侵害されると、最も曝露される人々はしばしば、その帰結を最も吸収できない人々である。遅延した支払い、盗まれた身分、支援を負っている国家に対して自分が誰であるかを証明できない家族である。コンピュータセキュリティは一般にサイバーセキュリティと呼ばれ、コンピュータシステム、ネットワーク、データを、不正なアクセス、混乱、あるいは損害から保護する実践である。公共機関において、その実践は、国家とそれが奉仕する市民との間の経路の直接上にある。

これが、このトピックがサイバーリスクを、単に技術的な問いとしてではなく、公共価値の問いとして枠づける理由である。正当性と支持は、市民が、自分たちのデータを保有し、必須のサービスを運営する機関が、その両方を安全に保つよう信頼できると信じることに依存する(トピック1.2「戦略的三角形:正当性、価値、実行能力」を参照)。広く報道された単一の侵害は、下手に扱われた緊急事態と同じように、その信頼に持続的な損害を与えうる。なぜなら、市民は機関を、日々どう機能しているかと同じくらい、攻撃下でどう振る舞うかによって判断するからである(サイバー事案をレジリエンスというより広い規律の中の一つのカテゴリーとして扱うトピック3.12「危機、緊急事態、レジリエンス・マネジメント」を参照)。サイバーセキュリティはまたデータガバナンスとも不可分である。機関は自らが保有していると知らないものを保護できず、データから公共価値を創出する相互運用性と開放性は、攻撃者が悪用できる表面も広げる(トピック5.4「公共部門のデータ、相互運用性、オープンデータ」を参照)。

資源配分の問題は深刻であり、公共・社会セクターに特有である。大規模な国の機関はますます専用のセキュリティチームと企業規模の予算を持つようになっているが、小さな町に奉仕する水道委員会、地域の病院トラスト、家庭内暴力のシェルターを運営する地元の非営利団体は、いかなる銀行にも匹敵する、あるいはそれを超える機微さのデータを保有しているにもかかわらず、通常はそうではない。攻撃者はこれを知っている。資源不足の公共機関はこのトピックにおける周縁的な事例ではない。それはその中心に近い。なぜなら、今日このリスクに直面する中央値的な公共機関は、国の省庁ではなく、小さな地方自治体、地域の公益事業体、あるいはセキュリティ専門家がまったくいない一握りの情報技術職員しか持たない慈善団体だからである。

最後に、これは仮説ではなく、生きていて悪化しつつある問題である。ランサムウェア・キャンペーンは、地方自治体、病院、学校、社会セクターの組織をますます標的にしている。まさに、それらが機微なデータ、必須のサービス、ダウンタイムへの低い許容度、そして比較的弱い防御を組み合わせているからであり、この組み合わせが、それらをより支払いやすく、そもそも攻撃を防いでいる可能性がより低くする。サイバーセキュリティを、ガバナンス水準の公共価値のコミットメントとしてではなく専門家向けの付加物として扱うことは、この種類の組織にとって、招待に近い。

中核概念

重要インフラとは、エネルギー、水、交通、医療、金融、通信といった、それが機能を失う、あるいは破壊されることが、安全、経済、あるいは公衆の信頼に衰弱させる効果を及ぼすほど必須である、一連のシステムと資産である。重要インフラ保護とは、これらのシステムを物理的・デジタル的脅威の両方から守る規律である。これがここで重要なのは、最も重大な公共部門のサイバー事案の多くが、抽象的なデータへの攻撃ではなく、記録を保ち取引を処理する情報技術とは区別される、物理的なインフラを稼働させ続ける運用技術への攻撃だからである。

脅威アクターとは、あるシステムを侵害しようとするかもしれない個人、集団、あるいは国家である。公共部門においては、これらは金銭的動機を持つ犯罪組織から、諜報活動や混乱を追求する国家支援の行為主体まで多岐にわたり、同一の機関が、非常に異なる目的を持つ両方に同時に直面することもある。ランサムウェアとは、組織のデータやシステムを暗号化し、その解放のための支払いを要求する悪意のあるソフトウェアである。必須のサービスは長期のダウンタイムに耐えられず、これが支払いへの圧力を高めるため、ランサムウェアは公共機関にとって支配的な脅威になっている。フィッシングとは、攻撃者が、通常は欺瞞的な電子メールを通じて、職員を騙して資格情報を明らかにさせたりマルウェアをインストールさせたりする、ソーシャル・エンジニアリングの一形態であり、技術ではなく人を標的にするため、攻撃者が最初に足場を得る最も一般的な方法であり続けている。

データ侵害とは、外部の攻撃、内部者、あるいはインターネットに開かれたまま放置された設定ミスのあるデータベースのような単純な人的誤りを通じた、情報への不正なアクセス、開示、あるいは喪失である。サプライチェーン攻撃とは、標的とする組織が信頼する、よりセキュリティの弱い供給者、ソフトウェア・ベンダー、あるいはマネージドサービス・プロバイダーを標的にすることで、間接的にある組織を侵害するものである。これらは公共部門にとって特に危険である。なぜなら、あまりに多くの公共機関が同じ一握りのソフトウェア・ベンダーを共有しており、単一のベンダーの侵害が何百もの機関に同時に連鎖しうることを意味するからである。

サイバー衛生とは、ソフトウェアを迅速にパッチ当てすること、強力な認証を強制すること、誰が何にアクセスできるかを制限すること、データをバックアップしそれらのバックアップの復元を検証することといった、特殊な道具を必要とせずに成功する攻撃の大部分を防ぐ、日常的な実践の集合である。ほとんどの侵害は、新規の技法ではなく既知のパッチが当たっていない脆弱性や弱い資格情報を悪用するため、組織の実際のサイバー衛生とその公表された方針との間のギャップは、通常、そのリスク登録簿が名指しする脅威の洗練度よりも、そのリスクのより良い予測因子である。

ゼロトラスト・アーキテクチャとは、たとえ組織自身のネットワークの内部であっても、いかなる利用者やデバイスも既定では信頼されるべきではなく、アクセスへのすべての要求は、それがどこから発せられたかにかかわらず検証されなければならないと定めるセキュリティ設計の原則である。これは公共部門の指針において影響力を持つようになった。なぜなら、それは、すでに境界の内部にあるものを信頼していた古いモデルよりも、職員、契約者、市民が多くのデバイスと場所からサービスにアクセスする、現代の政府の仕事が実際にどう行われるかによく合致するからである。

コンピュータセキュリティ・インシデント管理は、通常はインシデント対応と呼ばれ、セキュリティ上の事案を検知し、封じ込め、根絶し、それから回復する組織的なプロセスであり、それに続いて、何がそれを可能にしたかの見直しが行われる。開示義務とは、個人データや重要なサービスが侵害されたとき、定められた期限内に定められた基準で、影響を受ける個人、規制当局、あるいは公衆に通知する法的あるいは規制上の義務であり、市民と監督機関には、自分たちのデータや必須のサービスがリスクにさらされたことを知る権利があり、適時の開示が人々に自らを守ることを可能にするという論理に基づいている。

ベストプラクティス

1. サイバーセキュリティを、委任された技術機能としてではなく、統治機関の責任として扱え。 理事会、議会、執行チームは、サイバーリスクについての定期的で平易な言葉の説明を受け、それを削減するのが最も容易な、より広い情報技術の予算項目の内部で交渉されるままにするのではなく、その予算を直接承認すべきである。
2. どう保護するかを決める前に、あなたが何を保有しているか、そして何がそれに依存しているかを棚卸しせよ。 組織は、それが地図化していないデータやシステムを守ることはできない。別の場所で扱う相互運用性とデータガバナンスの作業(トピック5.4「公共部門のデータ、相互運用性、オープンデータ」を参照)と相互参照された現行の資産とデータの棚卸しは、このリストの他のすべての実践の前提条件である。
3. 高度な何かに支出する前に、基本をあらゆる場所に適用せよ。 パッチ管理、多要素認証、検証されたバックアップ、最小権限のアクセス統制は、現実世界の攻撃の圧倒的多数を止める。これらが整っていない公共機関は、脅威インテリジェンスの購読やオーダーメイドの監視ツールを優先すべきではない。
4. オーダーメイドのものを発明するのではなく、認知された枠組みを採用せよ。 国立標準技術研究所のサイバーセキュリティ・フレームワークのような枠組みは、共有された語彙と構造――特定、保護、検知、対応、回復――を与え、小さな組織は簡略化された形でそれを採用でき、大きな組織は完全な形でそれを採用でき、基本的な分類法を再発明する必要がない。
5. それぞれが単独で購入するのではなく、小規模な組織にわたって資源をプールせよ。 共有されたセキュリティ運用サービス、地域のサイバー事案対応プール、あるいはセクター全体の調達枠組みは、小規模な地方自治体や非営利団体のグループに、そのいずれも個別には賄えなかったであろう保護を与えることができる――これはこのトピックが中心に据える資源不足の問題への最も直接的な単一の答えである。
6. 事案対応計画をその事案の前に書き、それをリハーサルせよ。 生きた攻撃の最中に初めて起草される計画は、それが実際に機能するかどうかを一度も検証したことのない人々によって、パニックのもとで下手に起草された計画である。少なくとも年に一度演習される計画は、混沌とした最初の一時間を、既知の段階のリハーサルされた連続に変える(これが依拠するより広い規律についてはトピック3.12「危機、緊急事態、レジリエンス・マネジメント」を参照)。
7. 開示と支払いの方針を事前に決めよ、事案の最中にではなく。 組織が身代金の支払いを検討するかどうか、誰がその決定を下す権限を持つか、そして影響を受けた人々にどう、いつ告げるかは、生きた恐喝の要求の圧力のもとで即興で下される決定ではなく、理事会が承認した方針であるべきである。
8. 一つの侵害がすべての侵害にならないよう、ネットワークを分割せよ。 物理インフラを制御する運用技術を一般的なオフィスの情報技術から分離すること、そして高機微性のシステムをより低機微性のシステムから分離することは、一つの弱点から侵入した侵入者がどれだけ遠くまで移動できるかを制限する。
9. 第三者とサプライチェーンのリスクを、内部のリスクと同じくらい厳密に管理せよ。 ソフトウェア・ベンダーやマネージドサービス・プロバイダーとの契約において、セキュリティの保証、監査権条項、事案通知の義務を要求せよ。なぜなら、主要な公共部門の事案の増えつつある割合が、直接の攻撃ではなく信頼された供給者に起因しているからである。
10. 道具だけでなく人に投資せよ。 シミュレートされたフィッシング演習を含む、定期的で現実的な訓練は、成功するソーシャル・エンジニアリング攻撃を測定可能な形で減らし、小規模な組織においてさえ一人か二人の熟練したセキュリティ職員を維持することは、通常、追加のソフトウェアライセンスへの同等の支出よりも価値がある。
11. 事案を正直に報告し、ニアミスを無償の教訓として用いよ。 疑わしい侵害を報告した職員を罰する文化は、次のそれが遅れて、あるいはまったく報告されないことを保証する。最も速く改善する組織は、あらゆるニアミスを非難を割り当てる理由としてではなく、そこから学ぶべき証拠として扱う組織である。
12. サイバーレジリエンスを、単なる内部の方針としてだけでなく、調達と助成の条件に組み込め。 資金提供者や委託機関は、それらが資金を出す、あるいは契約を結ぶ組織に、セキュリティの実践の基準水準を要求できる。これは、さもなければそれに投資する外部の圧力をまったく持たないであろう、より小規模な提供パートナーにまで、良い実践の到達範囲を広げる(トピック3.7「公共調達と委託」を参照)。

チームで話し合うべき問い

私たちは、実際にどのようなデータとシステムを保有しているか、そしてそれらのうちどれが、侵害されたら誰かを傷つけるかを知っているか? 多くの組織は、自分たちのデータ保有の真の範囲を、侵害の調査の最中になって初めて発見するが、それはそれを学ぶのに最悪のタイミングである。あなたの主要なサービスをたどり、それぞれについて、それがどのような個人的あるいは運用上機微なデータに触れるか、そしてもしそのデータが盗まれ、改ざんされ、あるいは利用不可能にされたら、実在する人物に何が起きるかを問え。もし正直な答えが「わからない」であれば、その不確実性それ自体が発見であり、それを埋めることがあなたの議題の最初の項目である。この問いは、買収、合併、あるいは蓄積されたレガシーシステムを通じて成長し、何が存在するかについての制度的記憶が薄くなった組織にとって最も重要である。

もし明日ランサムウェアに襲われたら、私たちは支払うことなくバックアップから復元できるだろうか? バックアップの価値は、それが存在することではなく、重要であるほど十分に最近のバージョンから、実際に十分速く復元できることが検証されていることにある。バックアップが、単なる完了ログではなく、実際の復元演習で最後に検証されたのはいつか、そして完全な復元がどれだけかかるかを、あなたの組織が停止をどれだけ許容できるかと照らして問え。もしその数値が一致しなければ、それは事案の最中にではなく今下すべき資源配分の決定である。これはまた、バックアップ自体が、あなたの主要なシステムに到達した攻撃者も到達できるであろうネットワークから隔離されているかどうかを議論する瞬間でもある。

誰が身代金を支払うかどうかを決める権限を持っており、それを尋ねられる前に私たちはそれを議論したことがあるか? これは、しばしば攻撃者が実際に何を持っているかについて不完全な情報のもと、数時間以内に求められる、執行チームが直面しうる最も利害の高い決定の一つである。プロセス、認可する個人、そして原則を事前に決めることは――最終的な判断がなお事案の詳細に依存するとしても――恐喝の圧力のもとでの即興の決定を防ぐ。あなたの法域の法律とあなたの資金提供者の条件が身代金の支払いについて何を述べているか、そして誰に通知する必要があるかを議論せよ。

私たちの最も小さなパートナーや供給者は、私たち自身よりも私たちにとって大きなリスクか? よくセキュリティを確保された中央の組織でも、そのシステムやデータへの正当なアクセスを持つ、セキュリティの弱い供給者、契約者、あるいは提供パートナーを通じて侵害されうる。あなたのシステムに到達できる、あるいはあなたのデータを保有する第三者を地図化し、あなたが実際に彼らのセキュリティの実践についてどれだけの保証を持っているか、それに対してどれだけの保証を持っていると想定しているだけかについて正直になれ。今後彼らに要求する最低基準が何か、そして単に書面の保証を求めるのではなく、それをどう検証するかを決めよ。

私たちは侵害されたことを知るだろうか、そしてどれだけ速くか? 最も損害の大きい事案の一部は、速く起きるものではなく、何か月も発見されないままであるものである。その間、攻撃者は静かに探索し、権限を昇格させ、データを流出させている。あなたが実際に今日どう異常な活動を検知するか、誰がそれを監視しているか、そしてその監視が勤務時間外にも及んでいるかを議論せよ。なぜなら、多くの攻撃は、対応が最も遅くなる夜間や休日の週末に意図的に開始されるからである。もし検知が完全に、市民やパートナー組織が何かがおかしいとあなたに告げることに依存しているなら、それは重大なギャップである。

私たちの理事会や統治機関は、このリスクを統治するのに十分なほど理解しているか、それとも私たちはその判断を静かに情報技術チームに外部委託してしまっているか? サイバーリスクの決定には、費用、サービスの継続性、市民の保護の間の真のトレードオフが関わっており、それらは本来、うなずいて通過させるだけの委任された技術的な事柄ではなく、統治機関の業務である。サイバーリスクが現在あなたの理事会や議会にどう報告されているか、それが専門家でない者が実際に行動に移せる言葉で書かれているか、そしてそのための予算が他のいかなる主要なリスクとも同じ厳密さで決められているかを議論せよ。もしあなたの統治機関が現在、あなたの組織のトップ三つのサイバーリスクを自分自身の言葉で説明できないなら、それが最初に埋めるべきギャップである。

実践において:公共価値の事例

中規模の地域交通局――実在するいかなる組織の報告でもなく、あるパターンを例示するための架空のもの――は、十年にわたって近代化されるのではなく断片的にパッチを当てられ続けてきた古いスケジューリングと支払いのシステムを運用していた。その情報技術チームは三人であり、ヘルプデスクのチケットからネットワークセキュリティまですべてに責任を負っており、サイバーセキュリティはそれ自体の予算項目を一度も持ったことがなかった。それは、何年も実質的に増加していなかった一般的な「システムメンテナンス」の配分の中に存在していた。

ある攻撃者は、財務担当者に送られたフィッシング電子メールを通じてアクセスを得た。それは、当局が実際に利用していた供給者からの偽装された請求書を用いていた。内部に入ると、攻撃者は六週間かけて静かにネットワークを移動し、その後、スケジューリングシステム、運賃支払いプラットフォーム、そして主要なネットワークから一度も隔離されたことのなかった当局のバックアップを暗号化するランサムウェアを展開した。バスは最初の一日、運転手のルートの記憶を頼りに運行を続けたが、運賃は電子的に徴収できず、リアルタイムの情報画面は真っ暗になり、当局の財務システムは給与計算に使えなくなった。

執行チームは、事前に合意された方針なしに身代金の決定に直面した。誰も事前に、誰が支払いを承認する権限を持つか、法的な立場が何か、あるいは利用者に何を伝えるかを決めていなかった。バックアップからの復元は選択肢ではなかった。なぜならバックアップは他のすべてとともに暗号化されていたからである。九日間の混乱、部分的なサービスの回復、そして当局の理事会が後に当時利用可能な最も悪くない選択肢だったと表現した支払いの後、当局は独立したレビューを委託した。

このレビューの発見は地味であり、このトピックが記述するパターンと完全に一致していた。財務システムに多要素認証がなかったこと、オフィスシステムと支払いインフラの間にネットワークの分割がなかったこと、二年以上検証されたバックアップの復元がなかったこと、そして事案の前にはサイバーリスクについての理事会レベルの可視性がまったくなかったことである。当局の対応も同様に地味だった。基本を修正する段階的な計画、いずれの当局も単独では賄えなかった専門的なカバレッジの費用を分担するための、二つの隣接する交通局との共有セキュリティ監視の取り決め、そしてサイバーリスクについての常設の理事会の議題項目である。そのいずれも、主要な情報技術プログラムの基準からすれば高価ではなかった。それらのすべてが、それを主張することが明確に誰かの仕事として割り当てられたことが一度もなかったために、何年も見送られていたのである。

四つのセクター別視点

地方自治体

地方自治体は居心地の悪い交差点に位置している。それらは高度に機微なデータ――社会ケアの記録、住宅と給付の情報、有権者名簿――を保有し、市民が容易には手放せないサービスを運営しているが、通常、いかなる政府レベルの中でも最小のセキュリティ予算と最も少ない専門職員しか持たない。大規模な国の省庁は社内のセキュリティ運用センターを構築できるが、小さな地区議会は通常できない。これは、共有サービス、地域でのプーリング、国の支援プログラムを、任意の追加要素ではなく、適切な保護への実務的な経路にする。地方の選出された公職者もまた、しばしば、いかなる政府階層の中でも技術的なリスクの説明を精査する備えが最も整っておらず、これは選出された議員への平易な言葉での報告を、このレベルに特有のガバナンスの課題にしている。

国の政府

国の政府は一般に、専用のサイバーセキュリティ機関と国の枠組みを構築する資源を持っている。英国のNational Cyber Security Centreや米国のCybersecurity and Infrastructure Security Agencyのような機関は、基準を設定し、対応を調整し、その法域内の資源不足の公共機関を支援するために存在する。国レベルに特有の課題は、基本的な衛生よりも、国家支援の非常に能力の高い脅威アクター、セクターと民間の事業者にまたがる国の重要インフラの相互依存性、そして地方や組織レベルではめったに現れない、帰属と対応の外交的・法的な次元についてである。

社会セクターと非営利団体

非営利団体やNGOは、しばしば、本書のいかなるセクターの中でも最も薄いセキュリティ予算で運営しながら、いかなるセクターの中でも最も機微なデータの一部――健康記録、暴力や迫害の生存者の記録、難民や庇護の事案処理――を保有している。なぜなら、資金提供者はめったにセキュリティのための資金を特定せず、助成条件もめったにそれを要求しないからである。多くの社会セクターの組織はまた、ボランティアと高い職員の離職に依存しており、これは、安定した専門的に人員配置された組織よりも、一貫したセキュリティ訓練とアクセス統制を維持することを困難にしている。セキュリティ上の事案は、小さな慈善団体にとって、政府の部門にとってはめったにない形で、存続に関わりうる。なぜなら、評判の損害と寄付者の信頼の喪失は、組織をまったく終わらせうるからである(トピック3.8「社会セクターと非営利団体のマネジメント」を参照)。

多国間・国際機関

多国間・国際機関は、異なる開示法、重要インフラの異なる定義、異なる水準の国のサイバー能力を持つ法域にまたがって活動しており、これは調整そのものを独自の問題にする。国際機関自身のシステムはよく保護されているかもしれないが、その国の加盟機関は大きく異なり、経済協力開発機構や欧州連合サイバーセキュリティ機関のような機関は、運用上の役割と同じくらい基準設定と能力構築の役割を果たしている。多国間の視点はまた、国境を越えた事案対応と情報共有の取り決めが最も重要になる場所でもある。なぜなら、ある国のインフラで始まった攻撃は、ほとんどの国際調整の仕組みが動けるよりも速く、数時間以内に別の国へと連鎖しうるからである。

よくある失敗パターン

• 運用上の実質を伴わないセキュリティという演劇。 ある組織が、印象的に見える方針文書、コンプライアンス証明書、あるいは単一の高価な道具を採用し、その箱にチェックが入ったものとして扱う一方で、パッチ当て、多要素認証、検証されたバックアップといった基本の衛生は一貫性のないままである。これは、セキュリティそのものではなくセキュリティの見た目のために本物のお金を費やし、その演劇であったことは、しばしば、ある事案が方針と実践のギャップを露呈させた後にのみ発見される。
• 所有者のいないリスク。 サイバーセキュリティは、他の誰か――情報技術チーム、ベンダー、規制当局――の仕事だと想定され、統治機関のレベルで説明責任を負う単一の所有者が存在しない。これは、どこでも議論されるがどこでも決定されないリスクを生み出し、これはまさに、尋ねられたときに組織が自らの曝露についての基本的な問いに答えられないままにしておくパターンである。
• 過去の事案の不在によって正当化される過少投資。 よく運営されたセキュリティプログラムは、それが成功したときには何の目に見える出来事も生み出さないため、可視的な成果物を持つ何かを優先して、厳しい予算のラウンドで資金を打ち切るのが容易であり、これまでのところ侵害がないことが、まだ検証されていないことの証拠としてではなく、十分な保護の証拠として誤解される。これは、より広くレジリエンス投資を損なうのと同じ予算の論理を反映している(トピック3.12「危機、緊急事態、レジリエンス・マネジメント」を参照)。
• 保守可能な寿命を超えて稼働し続けるレガシーシステム。 公共機関は、置換が高価で、破壊的で、あるいは政治的に不人気であるという理由で、そしてそのシステムが「今もなお機能している」という理由で、あるベンダーがそれに対するセキュリティパッチの発行をやめてからずっと後まで、頻繁にソフトウェアやハードウェアを運用し続ける。パッチの当たっていないサポートされていないシステムはレガシーの不都合ではない。それは攻撃者が通り抜けるのに何の費用もかからない開いたドアである。
• 非難を先行させる事案の文化。 疑わしい侵害や誤りを報告した職員が、支援されるのではなく懲戒されるとき、将来の事案は遅れて報告されるか、最小化されるか、まったく報告されなくなり、組織は適時の報告が提供する早期警戒のシグナルを失う。この失敗パターンはこのリストの他のすべてを複利で悪化させる。なぜなら、組織が自らの問題を正直に見ることができなければ、上記のいかなる修正も機能しないからである。

成熟度モデル

チェックリスト

• 統治機関のレベルの名指しされた個人あるいは委員会がサイバーリスクを所有し、それについて平易な言葉で定期的に報告する。
• 組織が保有するデータとシステム、そしてそれらのうちどれが最も機微であるか、あるいはあるサービスにとって最も重要であるかの現行の棚卸しが存在する。
• 機微なデータを保有する、あるいは重要なサービスを統制するすべてのシステムにおいて多要素認証が強制されている。
• バックアップが定期的に取得され、主要なネットワークから隔離された形で保存され、復元が過去十二か月以内に検証されている。
• ソフトウェアとシステムが定義されたスケジュールでパッチを当てられ、もはやパッチを当てられないいかなるシステムにも、それを置換または隔離する文書化された計画がある。
• 書面の事案対応計画が存在し、誰が主要な決定を下す権限を持つかを名指しし、過去一年以内に現実的な演習を通じてリハーサルされている。
• 身代金の支払いについて、そして影響を受けた人々、規制当局、公衆にどう、いつ通知するかについて、理事会が承認した方針が存在する。
• ソフトウェア・ベンダーやマネージドサービス・プロバイダーとの契約に、セキュリティの保証と事案通知の義務が含まれている。
• 職員が、シミュレートされたフィッシング演習を含む、定期的で現実的なセキュリティ訓練を受けている。
• 疑わしい事案やニアミスを報告することが、非難の根拠としてではなく価値ある情報として扱われている。
• 同規模・同予算の同業組織との共有あるいはプールされたセキュリティの取り決めが検討されている。
• サイバーリスクが、別個の切り離された計画としてではなく、組織のより広い危機・レジリエンス計画に明示的に含まれている。

主要情報源

このトピックは、サイバーセキュリティの実践を組織化する主要な構造化された枠組みとしての国立標準技術研究所のサイバーセキュリティ・フレームワーク、欧州連合全体で共通の水準のサイバーセキュリティを達成することについての欧州連合サイバーセキュリティ機関の公表されたミッションと指針、デジタルセキュリティを純粋に技術的な問題としてではなく経済的・社会的リスクマネジメントの問題として枠づける経済協力開発機構のデジタルセキュリティ政策の研究、そして、いずれも資源不足の公共機関を特に対象とした無償の指針を提供する、英国のNational Cyber Security Centreや米国のCybersecurity and Infrastructure Security Agencyのような国のサイバーセキュリティ機関によって公表された運用上の指針に依拠している。

参考文献

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about