サウジアラビアの国営石油会社の事例に学ぶ

サイバー攻撃に襲われた企業が“心の傷”から立ち直るためにしたこと

サウジアラビアの国営石油会社であるサウジアラムコが2012年に見舞われた大規模なサイバー攻撃。同社の対応から学ぶべき教訓をセキュリティの専門家が紹介する。

公開 2015年08月28日 12時01分

著者

Michael Heller

[TechTarget]

印刷する

サウジアラムコの公式サイト。幸い、攻撃が石油生産に影響を与えなかったのはなかったという《クリックで拡大》

　サイバー災害を受けた後にITセキュリティを立て直すのは、不可能なタスクであるように思えるかもしれないが、適切なアプローチを使用すれば対処できる。そう語るのは、セキュリティの専門家であるクリスティーナ・キューベッカ氏だ。

　米ラスベガスで2015年8月上旬に開催された「Black Hat USA 2015」でキューベッカ氏は、2012年にサウジアラビアの国営石油会社であるサウジアラムコを襲った大規模なサイバー攻撃の経験に基づき、企業におけるサイバーセキュリティを立て直すプロセスについて説明した。キューベッカ氏は、ITセキュリティ担当者として政府機関、軍隊、民間企業で20年以上働いた経験を持つ。

併せて読みたいお薦め記事

サイバー攻撃の被害事例に学ぶ

セキュリティ防御に新たな一手

セキュリティ人材をどう確保するか

　サウジアラムコを狙ったこの攻撃により、同社の3万台ものワークステーションが影響を受けた。同社によると石油生産はサイバー攻撃の影響を受けていないとのことだった。これは同社が情報システムよりも産業用制御システム（ICS）に対するセキュリティの予算を優先させていたことに起因するという。

　サウジアラムコグループは、自宅に泥棒が侵入した後に残った心の傷のようなものとして、このサイバー攻撃を捉えていた。コンピュータへの不信感がつのり、社内では被害妄想の意識が肥大化していた。従業員はPCにログインできないという理由で、新たな攻撃があったなどの誤った情報をミニブログ「Twitter」に投稿するほどだった。

　当時サウジアラムコの最高経営責任者（CEO）を務めていたハリード・アリファリフ氏は、2013年に開催されたエネルギー業界のカンファレンスで、このサイバー攻撃の影響について次のように総括した。「私たちが情報テクノロジーと情報システムにどれだけ依存しているかを過小評価してはならない。これらは空気のような存在になっている。なくても耐えられると思うかもしれないが、そうは行かないのが現実だ」

　サイバー攻撃を受けた後、サウジアラムコは自社のネットワークを完全に分離していた。コンピュータ間のアクセスを制限して外部との通信を断ち切り、卓上電話も廃止するという徹底ぶりだった。

　これは、キューベッカ氏がオランダにある同社の関連会社で初のITセキュリティ部門を設立するという任務を担ったときの状態だった。そこでは現在、サウジアラビア以外の中東とヨーロッパ、アフリカ地域、そして南米に対してサウジアラムコの全ITサービスを提供している。

　キューベッカ氏は、この任務を遂行するに当たって大型の予算というメリットがあったことを認めているが、予算に制限がある場合にも活用できるヒントを紹介している。また、予算に関して大きな問題がある企業には、セキュリティのためのジョイントベンチャー（企業共同体）に参加することを提案している。

　人材の採用に関しては、ネットワークやコミュニティーカンファレンスなどの会場が重宝するとキューベッカ氏はいう。一方で同氏は米redditの掲示板サービス「Reddit」でも優秀な人材を見つけている。また、採用担当者にはビジネスイメージや保有資格、学歴で候補者を見るのではなく、自宅で作業をする人や低スキルでも仕事に対して並々ならぬ情熱を持っている人を探すことを提案している。

　キューベッカ氏は、IT担当者には休息が足りていないことにも言及している。そのため、IT担当者が外に出て日光を浴びるための時間が取れるようにスケジュールを管理することに腐心した。それから、予算に関しては、給与が全てではないことにも言及している。IT部門はトレーニングのための予算を確保する必要がある。

　「IT部門は、今ある知識で最新の脅威に対抗できなければならない」とキューベッカ氏は語る。

　企業のITセキュリティ部門とビジネス部門の間でコミュニケーションがあり、風通しが良いことにも大きな価値がある。従業員はIT部門に対して親しみを持てなければならない。キューベッカ氏は、IT部門に潜在的なセキュリティの問題を報告した人を表彰するという同僚からの提案を紹介している。

　一方、IT部門は、ただパケットを監視するのではなく、ビジネスについての理解を深める必要がある。IT部門がビジネスの仕組みについて詳しい知識があるほど、セキュリティの脅威となり得る異常を簡単に特定できるからだ。

　また、コミュニケーションと避難訓練によって来たるべきサイバー災害に備えるプロセスも含め、きちんとした準備しておくことの効用を侮ってはいけないという。

　「事件が発生したときには、大混乱が生じる。備えあれば憂いなしだ」とキューベッカ氏は締めくくった。

印刷する