富士フイルム株式会社は6月14日、6月2日に公表した同社サーバへの不正アクセスについて続報を発表した。(記事はこちら)
6月上旬に公表されたランサムウェアによる不正アクセスについて、続報が発表されています。不正アクセスのインシデント対応をする際に注意すべきポイントについて説明します。
今回のインシデントでは、6月1日の深夜にランサムウェアによる攻撃の可能性を認識し、サーバ及びパソコンの停止とネットワークの遮断を行って調査を進めていたということです。ランサムウェアとは、ランサムの意味である「身代金」とソフトウェアを組み合わせた造語です。感染した端末に保存されているファイルやストレージを暗号化してデータを人質にとることにより、データの所有者に対して身代金を要求するものです。
インシデント対応を進める中で、安全が確認されたサーバやパソコンを6月4日から稼働させ、遮断していたネットワークの通信も順次再開させたということです。今回の発表から業務再開に至るまで、速やかな対応と段階的な公表がなされていますので、顧客や取引先に対しての配慮が十分になされたインシデント対応であると考えられます。
また、社長を委員長とする「総合危機管理委員会」と外部専門家を含む「特別対策チーム」でインシデント対応が行われたということです。インシデント対応では組織としての重要な意思決定をリアルタイムに求められるため、責任者がインシデント対応に直接関与していくことは有効であると考えられます。
速やかなインシデント対応を行うためには、事前にインシデント対応の手順が整備されていることが求められます。インシデント対応の手順について説明します。
インシデントの発生から解決までの一連の流れを「インシデントハンドリング」と呼びます。インシデントハンドリングは、検知や連絡の受付を行った後にインシデント対応の優先順位付けであるトリアージを行い、インシデント対応を経て情報公開に至ります。
例えば、今回のようなランサムウェアを含めたマルウェア感染の場合、検知や連絡受付として、ネットワークやエンドポイントのセキュリティ製品などが検知を行い、セキュリティ担当者がアラートを受信します。トリアージとして、セキュリティ製品の誤検知ではないか確認し、間違いがない場合はインシデント対応に移行します。インシデント対応では、まず冷静に事象の分析を行った上で、自組織で対応が可能な場合は関連部署と連携し、自組織で対応が困難な場合は外部の専門機関と連携し、対応計画を策定します。また、経営層と情報共有を行い、必要に応じて組織としての判断を仰ぎます。対応計画の実施後、改めて問題が解決できていることが確認出来たら、すべての関係者に情報共有を行い、必要に応じて一般に向けた情報公開を行います。
このような一連の流れをマニュアルとして整備し、想定通りに機能するか定期的に予行演習をすることも必要です。マニュアルに問題があれば適宜修正を行い、セキュリティ体制全体の見直しも行います。
ランサムウェアやマルウェア感染による情報流出を最小限に防ぐ方法の一つとして、情報資産の管理が挙げられます。今回のインシデントについては詳細情報が公開されていませんので、あくまでも一般論として説明します。
サイバー攻撃の高度化や複雑化により、不正アクセスの被害を未然に防ぐことが困難になりつつあります。そのような状況で、まず組織にとって守るべき情報資産を特定することが求められます。理由は、守るべき情報資産があり、情報資産が保存されているシステムに脆弱性があり、その脆弱性を悪用する攻撃者やマルウェアがあって、初めてセキュリティリスクが顕在化するからです。
ECサイトを例に挙げると、守るべき情報資産としてネットショップを利用しているユーザの個人情報があり、個人情報を保存しているサーバに簡単なパスワードを設定している脆弱性があり、その脆弱性を悪用してサーバに不正アクセスを試みる攻撃者がいるから、セキュリティリスクが顕在化するということです。言い方を変えれば、世の中に攻撃者がいなければセキュリティリスクが顕在化することはありませんが、残念ながら攻撃者やマルウェアは日々攻撃できるサーバを探しています。
守るべき情報資産を保持している場合は、脆弱性診断などでシステムに脆弱性がないことを定期的に確認することが必要になります。
今日の10分セキュリティラジオにて毎週月・水・金にセキュリティの最新ニュースを取り上げ解説を行っています。隙間の時間の情報収集にぜひお役立てください！
お見積り・ご相談など、お気軽にご相談ください
サイトTOPへ
