前回は、M&Aにおけるサイバーセキュリティ術の話でした。セキュリティスタンダードに明るいだけではなく、人々の心理の動くさまをよくとらえて行動しなければならない、ということが要点でした。一言で言えば、ワキマエル、ということでしょうか。同じ会社の中にいても、情報管理のルールや社内組織の動きは特殊な状態にあるのですから、神経を使うのは当たり前かもしれませんが、役者のように役回りに合わせて行動するのは、誰にでも簡単なことではないでしょう。

とは言え、国際的なM&Aの際のセキュリティリーダーの所作が難しいとしても、所詮、揺れる船は内海に浮かんでいます。しかし、弁（わきま）えてなどいられない外洋に出て、政情不安の大しけの天候に遭遇した時には、我々はどのように戦うべきでしょうか？ロシアのウクライナ侵攻を他人事とは思えない、欧州の感覚を知っておくことは有益ではないかと考えます。

(Image – the ISF)

特に、M&Aのように一回成功すれば良いのではなく、第二の矢もしっかりと的を捉えて射貫くような矢を放つ自信を得るにはどのようにしたら良いでしょうか？いつものように、Steveのブログを読んでみることにします。

（ここから引用）

政情不安時にサイバー脅威と戦う7手段

May 13, 2022
SOURCE: Securty Magagine  
Steve Durbin/ISF Chief Executive

各国政府だけでなく、NATOも各国軍も、今やサイバースペースを一つの「作戦領域」、つまり、陸、海、空、宇宙と並ぶ第五の作戦領域として認識しています。世の中が超接続状態になるにつれて、サイバー脅威が広まり、より猛威を振るうようになり、社会に恒久的な打撃を与えるようになるでしょう。この新しい世界秩序において、各国政府や企業がサイバーレジリエンスを身につけるための唯一の手段は、あらゆる種類の混乱、紛争、あるいは政情不安に対する備えをすることです。

企業やセキュリティチームが、政情不安の際に起こりうる脅威を理解し、あらゆる不測の事態に備えるための手段を整理しました。

1. 自社が標的になるかどうかを判断する

自社の事業目的、知名度、取引関係などから、サイバー過激派グループによる攻撃の直接のターゲットになりうるかどうかを判断します。例えば、事業が食料、水、電力、通信、医療などの重要なサービスに携わっている場合、直接のターゲットになる可能性はある程度あるはずです。また、間接的な攻撃は、どのような企業にも可能性が残されていると言えるでしょう。最近の歴史上最大のサプライチェーン攻撃の一つであるSolar Winds社への攻撃でも、250以上の連邦政府機関や企業に間接的な影響を与えたと考えられています。こうした直接的、あるいは間接的なリスクが自社のリスクプロファイルにどのような影響を及ぼすかを検討し、そのリスクに対処するための緩和策を実施することが必要です。 

2. 定期的な診断の実施

インフラ、ネットワーク、デバイス、およびアプリケーションをスキャンし、セキュリティ上の脆弱性を特定します。第三者機関に依頼し、リスクの高いすべての領域で侵入テストを実施し、悪用される可能性のある抜け穴を特定します。そして、フィッシング詐欺の模擬演習を実施し、従業員やセキュリティ手順の準備状況を確認します。また、万が一、サイバーインシデントが発生した場合の、組織としての対応と復旧体制を整えておくために、インシデント対応計画を再確認し、あらゆるギャップを埋めておきます。

3. 状況の推移を見守る

状況が変化するにつれ、現在起こっていることや予測されることについて、タイムリーで正確な情報を入手できるようにしておく必要があります。自社にとって何が重要であるかという視点で、リスクの順序づけを決めておくとよいでしょう。直接の標的となるようなリスクは、重要なリスクとして警告を発し、直ちに対処しなければなりません。また、いざというときに、時間を無駄にすることなく迅速に意思決定できるよう、トップマネジメントには関連情報を伝えておいたほうがよいでしょう。

4. 紛争地域にデジタル資産が存在するかどうか確認する

自社のインフラ（クラウドまたはオンプレミス）が紛争地域にあるかどうかを検証します。また、そのようなデジタル資産やインフラストラクチャに自社がどの程度依存しているかを把握し、そのインフラストラクチャが利用できなくなった場合に備えて、レジリエンスを高めるために会社が取るべき当面の措置を検討します。

5. 資産遮断計画の策定

サイバー攻撃や切迫した脅威に備えて、リスクの高い環境やインフラストラクチャを遮断する計画を策定します。また、事業継続計画が期待通りに運用できるかを検証していきます。事業継続計画には、冗長性の確保、代替資産の選択や既存資産の堅牢化などの戦術も含まれる可能性があります。