暴露型ランサムへの対応（４）

　事実確認も不十分で、事業復旧にもメドが立たない状況でも（いや、だからこそ）対外情報発信が重要になる。これについては、想定している危機が各パネリストの間でも相違があるのか、少々異なる意見が出た。

・基本は保守的に、最重要顧客など特別な相手には可能な限り状況を説明。

・確認できたことは、可能な限り公表。個別問い合わせにもメディアにも。

　全員が一致していたのは、情報発信地点は一つに限定すること。本社の役員はこう言っているのに、現地子会社はメディアに別の何かを漏らしたなどということが無いようにしなくてはいけない。まあ、これはそれ自体難しいことなのだが。

　当局への報告はとの問いには、通常メディア等と横並びでいいという意見が多かった。通常というのは、例えば犯罪捜査への協力などでは、より深い情報を出すこともあり得るという意味だ。また、メディア等に「もっと情報を出せ」と迫られたときに、「捜査中なので･･･」と言い逃れる手段もあるという話も出た。この手段は日本政府もよく使っているから、企業広報も熟知しているとは思う。

　　　　

　そしてハッカー集団との交渉だが、もちろん焦点は身代金。支払い自身が犯罪となる可能性は低いとはいえ、犯罪集団にカネを渡して再犯の資金とさせたり、犯罪自体を助長することもあって、間接的な反社会行為との批判はあり得る。一方でカネを払ったところで本当に復旧できるのか、データは握られたままだから再度の脅迫はないのか、有無を言わせず暴露されないのか、という危惧もある。

　従って「払うべきか／払わないべきか」は、簡単に結論の出せる命題ではない。パネリストの意見としては「なるべく引き延ばすこと」が多かったように思う。具体的に何を待つというよりも、時間の経過とともにおきる状況の変化を見極めて、少しでも有利な展開にできるか可能性に賭けるということだろう。

　ただこれはリアル世界での身代金目的誘拐事件とは、多少状況が異なる。誘拐事件では時間が経てば、人質は犯人側の負担となってくる。あっさり殺してしまえばともかく、逃げられないようにし世話もしなくてはいけない。しかしサイバー空間での犯罪では、人質に手はかからない。むしろ長引いて「企業の信頼」を損ねるレピュテーションリスクが増すことを、被害者側が負うようにも思う。

＜続く＞

暴露型ランサムへの対応（３）

　この「海外子会社の事案」という設定が問題を難しくするのだが、実際によく起きる／起きやすいケースであることは確かだ。M&Aで入手した子会社なら、経営感覚もIT基盤も全く別物からのスタート。統合を目指していたとしても、必ずスキは残る。現地に設立した子会社なら、十分なリソース（特にデジタル関連で）を投入することは難しい。どちらのケースでも、ガバナンス＆セキュリティは本社や国内事業所よりは甘くなり、ハッカーはそこを狙ってくる。

　パネリストたちが口をそろえて指摘するのが、

・時差や言語の問題で、社内コミュニケーションが遅れがちになる。

・もともと本社のスタッフと現地の責任者や部署との連携が薄い。

・本社の統制が行き届かないパス（現地メディア等）があって、事案が漏れやすい。

　という点。このシナリオでは現地子会社からのワーニングの後、本社に脅迫が来るようになっているが、現実には本社が海外メディア等から最初に通報を受け慌てて調べたらそうだったということもあった。

　　　　 

　そんな困難の中で、経営者は、危機管理担当役員はどう行動すべきなのか？まず一番重要なのは「企業としての信頼」を壊さないように努力することらしい。目の前の戦術的な課題に振り回される前に、危機管理にあたる全員にそれを徹底しなくてはいけない。これには全パネリストが異論をはさまなかった。

　次に考えるべきことは、事実確認・事業復旧・対外情報発信のバランスをいかにとっていくかということ。一般にどの業務（システム）が停止しているかは分かっても、どの情報が窃取されたかは、簡単には特定できない。何が漏れ、それはどのようなリスクを伴うのか、その事実確認は絶対に必要だ。

　そして事業復旧。さきごろのコロニアル・パイプライン社の事件では、ハッカー側に身代金を支払うことなしに復旧は出来なかった。そう簡単に復旧できるはずもないのだが、まずは限定的にでもシステム復旧が可能かはやってみるべきだ。

　さらに対外情報発信、ある意味これが一番難しいかもしれない。これに失敗して「企業としての信頼」を失墜させた例は少なくない。サイバー攻撃ばかりではないが、システムダウンの危機管理を失敗し、メディアに叩かれてクビになったCEOは急増している。

＜続く＞

暴露型ランサムへの対応（２）

　このセミナーのタイトルは「グローバル経営とサイバー危機対応」というもので、いずれもグローバルに活動する、監査法人・コンサルファーム・法律事務所の共催で、経団連が後援していた。登壇したのは３共催団体と、日本の大手企業の人。いずれも日本人だが、活動拠点は米国・欧州にしている人もいて、現地からオンライン参加しているパネリストもいた。

　実際にグローバル企業で事案の端緒にあたる役割の人、クライアントから事案を持ちかけられたり、事前相談を受ける立場の人が集った会合である。法律、フォレンジック、レピュテーション管理と企業実務の専門家が、あるシナリオを巡って議論するという趣向は興味深いものだ。事前案内によると、

・サイバー攻撃対応は、被害状況の正確な情報が入らない中、複雑な対応を迫られる。

・ハッカーとの交渉、当局への報告、ステークホルダーへの対応を同時並行に。

・グローバル企業では、各国の法制度や民意（個人情報の軽重）、言語の違いも課題。

　にどう対処すべきかを議論するとある。

　　　　

　用意されたシナリオは、

・東証一部上場のBtoB型企業、海外売り上げが50％

・海外子会社から暴露型ランサム攻撃を受けたが、実際の被害状況は不明。

・ただ顧客からのデータなど事業継続に関わるものも漏洩した可能性がある。

・東京本社にハッカーから連絡、年間売り上げの0.5％ほどの身代金を要求。

・支払期限は３日、従わなければデータを暴露するとのこと。

　というもの。単なる個人情報漏洩では、たとえばGDPRの制裁金がいくらか身代金がいくらかを図って、無視するか身代金を払って口をつぐむかを、経営者は判断するかもしれない。そこで「事業継続に関するデータ」が対象になっているのは、いい設定である。

事業継続こそが重要 - Cyber NINJA、只今参上 (hatenablog.com)

　簡単なパネリストの自己紹介の後、司会者がシナリオを説明して、パネリストの意見を聞いた。一番気になるのは身代金支払いそのものが犯罪になってしまわないかだが、それは通常はないとのこと。一般に、身代金支払いそのものに対する罪状はない。しかし特定の制裁を受けている国（例：北朝鮮）に渡ると知って支払うと、それは罪に問われることはあるという。

＜続く＞

暴露型ランサムへの対応（１）

　先日のコロニアル・パイプラインの事件や、ブラジル食肉加工大手へのランサムウェア攻撃は、ホワイトハウスも座視できず「サイバー攻撃はテロと同様に扱う」と宣言するに至った。ランサム（身代金）ウェア攻撃は従来からあり、データを暗号化するなどして使えなくし「暗号解除のキーを教えて欲しければ、カネを払え」というものが多かった。

　ダークウェブ上でツールが売られていたり、攻撃対象に関するデータも販売されているので「初心者」でも犯行ができる。加えて「暗号通貨」がポピュラーになったことが犯罪を助長した。リアル社会でも誘拐事件のクライマックスは、身代金の受け渡し。犯人側は身代金を入手する時に、姿を現さないといけないリスクを持っている。そのあたりは多くの小説・映画で描かれているところだ。

誘拐という重犯罪 - 新城彰の本棚 (hateblo.jp)

　しかし「暗号通貨」なら、ネット上で送金を正体を現さずに受け取れる。「使用済み少額紙幣で用意しろ」と言ったはいいが、20ドル紙幣が詰まったトランクを引きずって逃げる羽目になることもない。

　　　　

　そこでハッカー集団はランサムウェアをバラ撒いて、引っかかった被害企業・団体から、安全・安心に身代金をせしめられるようになった。日本企業も被害に遭ったのが2017年の「Wannacry」の跳梁、2019年にはフロリダ州の市が行政機能を止められて、議会で身代金（50万ドル）の支払いを決議するという事件もあった。これらは「氷山の一角」で、表ざたに成ってはいない事案は一杯あっただろうと思われる。

　これに対しては、重要なデータはバックアップをとっておき、それを使って業務を再開するという対策が考えられる。その効果か昨年中ごろから、この手の攻撃は減少しつつあった。ところが代わって登場したのが「暴露型ランサム」という新手。あらかじめ重要なデータを窃取しておき、暗号化などして業務を止める。被害者が身代金要求に応じないと「窃取したデータをネット上に公開するぞ」と脅すわけだ。これは「二重の脅迫」ともいえる手口だ。

「二重の脅迫」という手口 - Cyber NINJA、只今参上 (hatenablog.com)

　今回、この手の攻撃に企業はどう対処するのか、専門家が議論するというオンラインセミナーがあったので参加してみた。

＜続く＞

これってホントに「党首」討論？

　先週、国会で２年振りに「党首討論」が行われた。記者会見などで原稿棒読みと非難されていた菅総理に、論客の枝野代表が食い下がって追い詰めるシーンを期待していたメディアなどもおおかったのではなかろうか？結果としては、内閣不信任案を叩きつけるだけの失言はなく、まあ平穏に過ぎた。与党からしてみれば「総選挙前に党首討論を１度やりました」というアリバイ作りはできたように思う。各党の反応は、

・自民党　野党の質疑は気迫が無かった。

・公明党　首相は冷静だった。

・立憲民主党　オリンピック問題も会期延長もゼロ回答。

・国民民主党　首相は正しい現状認識と危機感がない。

・共産党　議論かみあわず、首相はひどい答弁。

・維新の会　首相は「答弁風」で終始。

　のようなもの。ここで「答弁」という言葉が目立つ。あれ、これって「討論」じゃなかったっけ？確かに「討論」というよりは「国会質問」のような雰囲気だった。僕自身が聞いていて気になったのは、枝野代表が国会の会期延長を迫った時、菅総裁（あえて総裁といいます）は「それは国会でお決めになること」と躱したこと。これは行政府の長たる菅総理の発言でであって、与党党首である菅総裁の発言としてはおかしい。

　　　　

党首討論はやはり歴史的使命を終えていた。悪いのは菅首相と枝野代表のどっち？ (fnn.jp)

　中小政党には時間が３分しかなく討論にならないという意見もあるが、そもそもこれって「討論」の体を成していない。だからこそ上記のように「党首討論不要論」が出てくるのだ。討論ならばNHKが「日曜討論」で時々やるように、各党の政策責任者を一堂に集めて話を聞く形態の方がマシである。あえて「朝まで生TV」に党首を集めろとは言わないが、「日曜討論」的に各党党首でやればいいのだ。

　今回の党首討論、面白かったのは菅総裁が枝野代表に「立憲民主党は私権制限に慎重すぎる」と逆襲したときくらい。そもそも「立法」の場である国会で、「行政」の話ばかりしているというのも矛盾だ。国会の党首討論なら、与党が「こういう立法が必要」といい、野党が「それではダメだ、対案としてこう考える」というべきではないか。

　「Ｋ字回復」で良くなっている産業もあるが、苦境にある業界・家庭も多い。「立法」の議論をしない国会なら、もっと「身を切ってスリムに」すべきではないでしょうか？