そのキーワードとは、「サイバーレジリエンス」です。既に聞いたことのある方も増えてきていると思いますが、“レジリエンス”とは「回復力」「復元力」を意味する英単語で、その“サイバー版”であるサイバーレジリエンスも、サイバーインシデントからの回復力、復元力を意味しています。今、あらゆる業種の企業が、自社システムやサービスにおけるサイバーレジリエンスの力を得ようと奔走しています。

図1　IPAが公開している「サイバーレジリエンスのためのコミュニケーション ～セキュリティ担当者に必要なコミュニケーションスキル集～」の表紙［クリックで拡大］ 出所：IPA

　そのような中、2024年8月に興味深い資料が公開されました。情報処理推進機構（IPA）による、その名も「サイバーレジリエンスのためのコミュニケーション」です。もちろん、無料で公開されています。

　注目すべきは、この資料が製造業向けにも書かれている点です。日本は製造業が最も多く、そして「サイバー攻撃を受けても事業が止まらないようにする」「被害が出ても速やかに事業を回復する」ことが強く求められています。

　もちろん“サイバー攻撃を受けないようにすること”も重要ですが、攻撃が高度化／深化している今、“攻撃を受けた後のこと”も考えねばなりません。そして、それは決してセキュリティ担当者だけの仕事ではないことが、本書をさらりと眺めるだけでも理解できます。よって、この資料は、製造業に関わる組織の全ての方を対象としていると考えてよいでしょう。決して、人ごとではないのです。

“OT”に関わる全ての人に

　また、本書（IPAが公開している「サイバーレジリエンスのためのコミュニケーション」）は、サイバーレジリエンスとは何か？　という点よりも、サイバーレジリエンスの考え方（つまり、システムが停止した後にいち早く復旧させるために何をすべきか？）を取り入れるに当たり、おそらく全ての組織がぶち当たるであろう障壁について、事前に考え、それを打ち壊すためのポイントを学べる資料となっています。

　ここでの障壁とは、ずばり「コミュニケーションを阻害する“組織の壁”」です。

　米国立標準技術研究所（NIST）は、サイバーレジリエンスのことを「サイバーリソースを含むシステムに対する悪条件／ストレス／攻撃、または侵害を予測し、それに耐え、そこから回復する／適応する能力」と定義しています。

　これを見ても分かるように、サイバーレジリエンスは「サイバーレジリエンス対応製品」を入れることではなく、IPAが定義するように「部署／部門のサイバーセキュリティに関する対応力／回復力を強化し、企業組織全体の強靱化を図ること」が重要です。つまり、部署、部門を“強化”しなくてはなりません。

　しかし、その部署、部門というのは、どうしても組織間の壁が存在します。この壁は部署ごとの考え方の違い、用語の違い、ミッションの違いなどから生まれるものです。平時であれば問題ないことも、サイバーインシデントという1分1秒を争うような有事においては、この文化の違いがコミュニケーションを阻害し、大きな問題となり得ます。

　本書では、有事におけるコミュニケーションとして「つまずきやすいポイント」があらかじめ図示されています。それも、工場や重要インフラなど、OT環境におけるサイバーインシデントフローを基に、製造業で起こり得ることがIT環境とは別に章立てされています（「3.2.2 OT環境のサイバーインシデント対応フロー」）。これだけでも、本書の内容が製造業でも役立つことがお分かりいただけるでしょう。

図2　OT環境のサイバーインシデント対応フロー図。★が付いている部分が、コミュニケーションでつまずきやすいポイントだ［クリックで拡大］ 出所：IPA／「サイバーレジリエンスのためのコミュニケーション」

　さらに、本書では、OT環境におけるOTSIRT（OT Security Incident Response Team：制御系サイバーインシデントレスポンスチーム）と、関連する工場長、ITSIRT（IT Security Incident Response Team：IT系サイバーインシデントレスポンスチーム）とで交わされるやりとりや、コミュニケーションに関する留意点がまとめられています。

　おそらく、これだけを読んでもなかなかピンとこないかもしれませんが、例えば、有事を想定し、全社を挙げてサイバーインシデント訓練を一度でも実施しておくと、本書における現場とOTSIRTとの意見の食い違いが、何を原因として発生しているのかが体感できるのではないかと思います。

　本書でも触れられていますが、製造業に限らず組織内ではお互いの「当たり前」が食い違います。同じアルファベットの略語が全く違うものを指すという、普段なら何でもないことが、有事では大きな誤解につながり、対処が遅れる原因にもなり得ます。そのようなことも、本書を読んでおけば社内のどの部分が課題になりそうかを前もって把握できますので、このドキュメントは大変有用だと筆者は考えます。

有事になる前にできることをやっておく

　本書は、先人の知恵ともいうべき、サイバーレジリエンス力を獲得するための「転ばぬ先のつえ」として活用できます。こういった資料が次々と出てくるということは、それだけサイバー攻撃が激化していることを意味しており、その対応に乗り遅れないようにと作られているはずです。

　その知恵を無駄にしないためにも、ぜひこの資料に目を通してみてください。そして、このような資料が出ていることを経営層にも伝え、サイバーインシデント訓練の重要性を理解してもらってください。

　ランサムウェアをはじめとするサイバー攻撃は、製造業のビジネスを止める可能性がある経営課題と捉えるべきです。感染しないことはもはや難しく、いかに素早く復旧するかを理解するために、ぜひさまざまな資料をチェックしてみてください。その1つ目の資料として、今回取り上げたサイバーレジリエンスのためのコミュニケーションを強く推薦したいと思います。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！