『セキュリティ対策』何が一番大事？

「サイバーインシデント演習」in名古屋に参加しました！

こんにちは！スタッフNです。
1月16日に開催された、「サイバーインシデント演習in名古屋」に行ってきました！

「サイバーインシデント演習」と聞くと、なんだか難しそう、と思いますよね。私もそうでした。

サイバーインシデント演習とは
本演習は、サイバー攻撃への備えとして、擬似的なインシデント発生時対応手順を体験することにより、組織内の基本方針やルールなどを考えていただくことを目的としています。
東海総合通信局：報道資料より引用

今回参加したサイバーインシデント演習では、組織内の基本方針やルールなどを考える機会として、事例と対策に関する講義と疑似的なサイバー攻撃に対するワークショップをしてきました。

ワークショップでは、
「朝出社をしたら、電源を落としたはずのパソコンに電源が入っていて、英語のメッセージで身代金を要求される。社内のパソコンがすべて同様ののっとり状態となり、システムも動かせなくなる」というお話し元に、どのような手順でどう解決するかをグループで考えるというものでした。

セキュリティ対策が必要な３つの理由

今回のセミナーの前半の講演で、「サイバー攻撃から事業を守るために考えるべきこと」を事例を交えて学びました。その中でセキュリティ対策がなぜ必要か？という下記３つの点が、ものすごく納得いく部分でした。

1.事業継続

何をおいても、社会的責任も考え、事業が継続できることを考えなければならない。
この部分を置き去りにして、サイバー攻撃などを受けた際対応してしまうと、間違った対応になりがち、また結果的に事業継続できない恐れもでてくる。

2.情報漏洩に対する対策

あくまで「手段」であり、対策をすることが主の目的ではない。

3.説明責任

公的な組織では求められること。関係省庁を始め、セキュリティ事故発生時は報告することが、情報共有にもなり、同様の被害を防ぐことにもなる

セキュリティ対策をしても、事業が継続できなければ意味がない。社会的責任の観点からも、関係各所への情報共有も、会社として必要なんだと改めて考えることができました。

では、サイバー攻撃をうけないためにできることは？

備えあれば患いなし！

セキュリティ対策は、会社、組織全体で守る意識が重要であることを、強くお話されていました。
IT担当者に丸投げ、わかる人に丸投げ、ではなく、組織全体で考え、対策できること、何より会社のトップが、判断、指示を出すことが、事業継続にも影響してくるとのことでした。

セキュリティ事故発生時は早く動くことが大事で、

早く情報を吸い上げ
早く判断をする
早く指示を出す

３つの早くができる体制を整えておくことが、初動に大きく影響してくることも改めて感じました。

いざというときのために、ITベンダー（セキュリティ対策に強いシステムやソフトウェアなどのIT製品を販売する会社）とのつながりや、関係省庁、またセキュリティに関する情報発信をチェックするなど、備えをし、体制を整えておくことが、大事だと思いました。

グループワークでは、各企業内でされている対策や日々の訓練の様子などお話を聞くことができました。
定期的に、訓練用に作成したメールを社員に送信し、開くと注意喚起の画面が開くということを実施されている企業もありました。普段から不用意にメールを開かない、メールを開く前に確認をするという意識を持つことが大切ですね。

企業の大きい、小さいに関わらず、できる対策をしていければと思いました。