IPAが語る災害BCP×サイバーBCPの実践法

　IPAは2006年から、国民の情報セキュリティにおける脅威への関心喚起や対策実施の促進を目的に「情報セキュリティ10大脅威」を公表している。その内「組織」向け脅威では「ランサム攻撃による被害」が4年連続で1位を獲得するなど、ランサムウェアの脅威は依然として大きい。2025年はランサムウェアに感染した企業や組織が多く確認され、取引先を含むサプライチェーン全体に深刻な影響を及ぼしたことが、このような順位に反映されているとみられる。

　IPAにおいて企業向けのサイバーインシデント相談窓口や、コンピューターウイルス・不正アクセス届出窓口の受理を担当している「対処支援グループ」に所属しているIPAセキュリティセンター 対処調整部 対処支援グループ グループリーダー 釜谷 誠氏は「サイバーインシデント相談窓口では、ランサムウェア感染に関する相談が週に数件ペースで継続的に寄せられています。コンピューターウイルス・不正アクセスの届出情報を見るとこうした感染要因として、VPNやアカウント管理の不備といった脆弱性が見られます」と指摘する。

　ランサムウェアの被害は、2020年以降増大傾向にある。近年はQilinやThe Gentlemenなどの攻撃グループによる活動が活発化しており、日本企業も継続的に標的となっているという。

　こうした攻撃グループによるランサムウェア攻撃は、従来と比べてどのような変化があるのだろうか。鎌谷氏は攻撃手法の技術的な観点として、二つの傾向を挙げる。

　一つ目は「組織インフラを熟知した高度な攻撃手法」だ。昨今は一つのサーバーの中に仮想化基盤を構築し、複数の仮想化環境を運用している企業も少なくないが、攻撃グループはこの仮想化基盤を破壊することでバックアップ環境そのものを利用不可能にしたり、リストアをできなくしたりするのだという。また、Active Directory（AD）の認証情報を窃取することで、組織のシステム内部に入り込み、重要なシステムやデータの暗号化をするような攻撃も行う。こうしたランサムウェアの侵入経路としてはVPNゲートウェイや、海外法人・協力会社を経由したサプライチェーン攻撃も多く見られるという。

　二つ目は「ステルス性を高める技術・インフラの活用」だ。その手法の一つとして鎌谷氏は「LotL」（Living off the Land：環境寄生型）を挙げた。これは不正なツールを使うのではなく、正規のシステムや管理ツール、リモート管理ツールを悪用することによって、侵入したシステムのネットワーク内部を横移動していく手法だ。「正規のシステム管理ツールを使っているため、ウイルス対策ソフトでは検知できなかったり、検知した場合でも『管理者が使っている』と判断されてしまい発見が難しかったりするのが特長です。またEDRやセキュリティ対策を無効化したり、正規サービスを利用してデータを持ち出したりする事例も確認されています」と語る。こういった手法は国家支援による高度サイバー攻撃（APT攻撃）で使われるものも多いという。

　ランサムウェアの被害を受けた企業は、被害発生後どのような対応を迫られるのだろうか。まず鎌谷氏は「ランサムウェア被害は必ずしも全システムの完全破壊を意味するわけではなく、暗号化が途中で止まったケースや、感染拡大防止のための予防的なシステム停止措置が取られるケースも多くあります」と述べた上で、ランサムウェア被害の範囲特定の調査が完了するまでは業務継続・復旧方針の策定ができないという課題があると指摘した。そのため、業務の継続を行うためには現行システム（感染したシステム）を使わずに業務を遂行することを考える必要があるという。例えば優先業務を判断し、そこに対して感染していない機材や環境を用いることで、業務の継続を行うような対応だ。こうした業務継続の判断には、情報システム部門と業務部門の連携、および経営層の迅速な意思決定が不可欠だ。

　鎌谷氏は「ランサムウェア攻撃の被害に遭った企業の中でも、BCP対策を講じていたり、DRを運用していたりした企業などは業務への影響を最小限に抑えて業務継続を実現できたようです。被害範囲が限定的であったことが成功の背景にありますが、ランサムウェア被害時にDRサイトやBCPの内容を適切に対応できたことが事業継続成功の要因としてあるでしょう。一方、実際には事前にBCPが策定されていても、インシデント対応では全く異なる状況が生じることもあり、経営層の判断、情報システム部門と業務部門の連携が非常に重要な課題になっています」と指摘する。

　また、ランサムウェアによる被害からシステムを復旧させる場合「被害発生前の状態に戻さない」ケースも多いという。侵入経路となったシステムを封鎖したり、セキュリティ対策を追加したりする必要が出てくるためだ。また暗号化によりメールシステムなどが使えなくなるケースも存在するため、調達時間を短縮できるクラウドサービスを代替システムとして採用するケースもあるようだ。

　また前述したように、BCP対策によるバックアップからシステムの再構築を行うケースもある。しかしバックアップしたデータが安全かどうかの判断が付きかねることも多い。バックアップデータの安全性を確認するには、攻撃者の侵入経路や侵入時期をログから特定する必要がある。しかし、ログが破壊・改ざんされている場合、その特定は極めて困難になる。バックアップの安全性を判断するためにはこのログの存在が非常に重要だと鎌谷氏は指摘しており「取得したバックアップが安全かどうかは攻撃者の侵入経路や時期を特定することが重要であり、ログがない場合はその特定が困難です。ログがない場合は安全性が確認できず、せっかくバックアップを取っていてもシステムを全て作り直す必要が出てくることもあります。そのため、セキュリティイベントログをしっかり取得し、長期間保持することも事業継続を実現させるためには重要です」と語る。

　またバックアップデータの安全性が確認できても、そのデータからリストアするハードルも存在するようだ。釜谷氏はそのハードルとして「誰がリストアできるか」「どれだけ時間がかかるか」「リストアしたシステムが業務上使えるか」という三点を挙げると同時に、リストアのテストを行う重要性を強く語る。「ランサムウェア被害に備えたBCP対策を行うことが重要です。これは単に一般的な計画にとどまらず『プレイブック』と呼ばれる、実行可能な具体的な手順書に落とし込まれていることが重要です。実際のランサムウェア被害対応では、事前にさまざまな計画や準備がされていても、実際に体験してみると全く異なるという指摘があります。これは、プレイブックが机上の空論にとどまっていることを示唆しており、実運用を想定した具体的で実行可能な手順書の策定が課題です」と釜谷氏は語る。

　IPAセキュリティセンター 対処調整部 対処支援グループ 主幹 川口修司氏は「ランサムウェアによる被害に対して、IT部門だけで対処することは困難です。BCPの中にランサムウェア対策を位置付けることや、バックアップの有効性を実際に試す環境を整備すること、そしてシステム復旧と業務復旧・原因究明は必ずしも同じベクトルではないことを理解した上で優先順位を決める必要があるため、経営者の覚悟と判断が不可欠なのです」と指摘する。

　続けて川口氏は「『これさえやれば大丈夫』という万能策は存在しません。実際、バックアップを取っていてもリストアができるか確認している企業はほとんどありません。本番環境のバックアップをリストアするには予備機が必要ですが、それを用意している企業はほとんどいないためです。バックアップデータを正しくリストアできるかを検証するために、ITベンダーと協力してリストアを試せる環境の整備を行うことも重要でしょう」と語った。

　最後に、釜谷氏は企業へのメッセージとして「インシデントは発生するものという前提に立つこと」「リストアが本当にできるかを含めてバックアップを考えること」「ログをしっかり取り長期間保持すること」の三点を挙げ、災害BCPとサイバーBCPを統合した企業のレジリエンス強化を訴えた。