もう一つのポイントは、経営陣が身代金支払いの拒否を、早い段階で決断したということ。どちらであったとしても、判断の速さというのはサイバー攻撃において重要です。しかし、BCPがサイバーセキュリティを考慮していなかったため、既に取得しているバックアップからの完全復旧はできず、時間、コストがかかってしまいました。このインシデントを機に、エンドポイントでの検知能力を高め、被害を限定化できるEDR（Endpoint Detection and Response）の導入に踏み切り、CSIRTの設置も着手したとのことです。

　結果論で言えば、あらかじめそういったセキュリティ対策が行われていれば、被害は発生しなかったかもしれません。少しでもそう思えた人がいたならば、この組織がこういった失敗事例を公開した意義があると思います。

サプライチェーンが狙われる

　ケース4を見てみましょう。この事例では、さまざまなセキュリティレベルの企業が集まる、サプライチェーンが舞台となっています。

ケース4（出所：NISC「サイバー攻撃を受けた組織における対応事例集」）

　これは成功事例と言ってもよいかもしれません。取引先のメールアドレスが乗っ取られ、マルウェア添付のメールが着弾するところまではケース3と変わりません。しかし、導入済みだったEDRがその異常を検知します。しかも、既存のウイルス対策ソフトでは検知できない、新種のマルウェアがEDRで検知できているのです。

　EDRで検知ができても、その後の行動次第では無意味になる可能性もあります。この事例では、EDRベンダーとの良好な関係により分析も迅速に行い、端末二台の感染で封じ込めに成功しています。インシデント対応訓練も実施済みで、サイバー保険にも入っていたという準備も素晴らしいです。

　しかし、この事例ではその先を見据えています。きっかけは取引先の問題であり、もはやサイバー攻撃対策は取引先を巻き込んだ、サプライチェーン全体での課題になっていることが浮き彫りになってしまったわけです。このケースではインシデント発生を受け、次のステージである「サプライチェーン防御の実施コストをどこが負担すべきか」や、本当の意味での「セキュリティ人材不足」を考えることになります。

　このケースは示唆に富んでいます。ぜひ、皆さんもチェックしてみてください。