サイバーレジリエンスの定義と例え
皆さんこんにちは。日本で唯一サイバーレジリエンスを社名にしたサイバーレジリエンス株式会社の須田です。
村瀬です。
よろしくお願いします。
村瀬さん、村瀬さん、改めまして、レジリエンスって何でしたっけ?
直訳すれば、回復力ってことですよね。
サイバー攻撃にやられてしまった後で、すぐに回復する体制を最初から作っておく。
柔道とか合気道でいうところの受け身、そういう体制、能性、ポスチャーかな、とっておきましょうって話ですね。
ああ、そうですよね。
うちの代表の佐野は、実は柔道の苦労日なんで知ってました?
いや、苦労日では知りませんでした。
めちゃくちゃ怖いですよ。
ぜひいつか皆さんにも見ていただきたいなと思ってます。
レジリエンスに戻すと、サイバーセキュリティは守ることに力点があるので、
このうちの社名のレジリエンスっていうのは、わりと視野が広いかなと思います。
そうですね。普通サイバーセキュリティっていうと、防御するっていうところにどうしても力点があるというかね。
でもレジリエンスっていうと、やられてしまった後の回復のことまで視野に入っているので、ちょっと上の次元というかね、その感じがしますよね。
これもレジリエンス、転がされてもダメになっても真っ直ぐに立ち上がるっていう概念なんですけど、
これって日本のことわざみたいなので言うと、七転び八起きですよね。
いや、すごい。その通りなんですがしかし、なんか意外多くないですか、それ。
え、どこが?
七転び八起きって、七回転んだったら七回起き上がればいいのに、なんで八回目があるんですかっていう。
あー、考えたことなかった。それを言うと八回目はジャンプ。
ちょっと元気な須田さんにビンタされて目覚めた気がしますよ。
いや、ビンタしてないですけどね。皆さん勘違いしてないでくださいね。
はい。
ちょっと待ってください。それ聞いて、なんか七転び八起きもいいんですけれども、ヒーローの変身シーンが目に浮かびました。
変身して強くなる、戦える体制になったっていうことですかね。
そうそう、ていうか、そうなんですけど、なんか私の息子が昔ウルトラマンが大好きでウルトラマンいっぱい集めてていっぱい見てたんですけど、
この七回転がされてボロボロになったウルトラマンが八回目に立ち上がってシュワーってやるやつ。今やりたい、今やりたい。いいですか、やって。
うん、どうぞ。
シュワッチ!
ノリですね。
いいですか、何が言いたいかわかりました。
そうです、それがサイバーレジリエンス。ダメージ受けてもシュワッチって言って変身して戻ってくるっていう意味。
そうですね、変身でサイバーって言うとデジタルトランスフォーメーションがまさにそれとも言えますよね。
そうですね、それにも通じます。怪獣にやられる前に皆さん変身しておきましょうってことですね。
事前に変身しておく、トランスフォームしておくってことが大事ですね。
そうなんです。うまくまとまりましたね。
サイバーレジリエンス対策の第一歩：情報資産の把握
しかしですよ、ここからが本題です。まだまだ皆さん聞いてくださいね。
しかしですね、どこから手をつけたらいいんでしょうか。
セキュリティ対策の第一歩、それはですね。
それは、何ですか?
情報資産の洗い出しというか、リストアップが最初にやることですね。
情報資産をしっかり把握するってことですかね。
そうです。
でもこの情報資産の把握なんですけど、購入した記録って会計上にありますよね。
そうなんですけど、まず消耗品とかで買ってしまったレベルのものだと具体的な品名が書いてない場合も結構ありますし、
あとそういうところにもそもそも載っていない情報資産っていっぱいあって、それで結構怖いことが起こる場合もあるんですよね。
その怖いことってどんなことですか?具体的に。
とあるメカ系の会社で外国人の従業員がいたと。
で、高価なCADソフトを使ったんですね。
CAD。
CAD。もうさ、変ですよ。
もう数百万で年間の保持料がいくらで、合計すると1,000万、2,000万っていうような、使ったんですよね、社内で。
で、業績も上げていました。
ところがですね、それを使ってたらある日弁護士を通じて2,000万払いみたいなのが来たんですよ。
2,000万!?
めっちゃ高い!
そうなんです。実はそれ、不正にダウンロードして勝手に使っていたんですよね。
へぇー。え、でもその不正にダウンロードして2,000万請求は確かに怖いんですけど、これってよくある話ですか?
意外とあります。
ある!?
というのは、例えば個人情報漏らしてしまったとか、他の会社を攻撃しました、無理だになってましたっていうのは報道されるし、公表しなきゃいけないことがあるから。
でも今のようなことは報告する必要がないので、弁護士同士の話で終わっちゃうんですよね。
あ、そうか。個人情報が流出しているわけじゃないから、報告義務がなく、どこにもその情報がニュースとして出てないってことですね。
あまりの巨大な話だと出るんですけれども、2,000万ぐらいだと大体出ないで、弁護士同士の話で終わっちゃうんですね。
でもそれって誰に責任というか、誰がそのお金、賠償請求されたとして払うんですか?
ソフトの開発元としては使っていたのは会社だから、会社に請求するしかないですし、実際来るわけですね。
会社は従業員に対して責任を取ると言えるかというと、使用者責任があって、それを持っていけるかというのは微妙な話だし、
今回の件で言うと従業員はもう外国に帰っちゃってるんですよ。だからもうどうしようもなかったっていう。
しかも裁判をしても絶対負けるんですよ。使っちゃったんだから。
あー、なるほどね。
だからそもそも最初から使っていた定産費にして、じゃあいくら払うかという交渉をするしかないんですよ。
なるほどね。
話をちょっと戻すというかですね、そもそも何の話かをもう一回言うと、情報資産のガバナンスというか統治をしていないと、
社内に台帳に載っていないアプリがあって、勝手に使われているということがよく起こるということが言いたかったんですよね。
情報資産の把握と検知の重要性
えー、怖い。でも、さっきのウルトラマンの話に戻りますけど、ウルトラマンが返信する前にやられちゃってるってわけじゃないですか。
そうです。
この一丁目一番地は情報資産の把握ということでこの話をさせてもらってますけど、
その情報資産の把握とか洗い出しとは別に検知しなきゃいけなくないですか。
そうです。検知と洗い出しというのはほぼ一緒ですよ。台帳を見てもどうせ全部載ってませんよねという話から、
実際に動いているものをちゃんとリストアップして調べるということですね。
なるほど。
それはどういうふうにやればいいんですか。
それはね、いろいろやり方がありますので、具体的には我々サイバーレジリエンス社にご相談をいただけたらいいなと思っております。
ちょっと待って、これ教えてくれないんですか。
それは次回。
次回ですね。わかりました。
じゃあ次回もぜひ皆さん聞いていただきたいと思います。
では最後までお付き合いいただきありがとうございました。
ありがとうございました。