サウジアラビアの国営石油会社の事例に学ぶ
サイバー攻撃に襲われた企業が“心の傷”から立ち直るためにしたこと
サウジアラビアの国営石油会社であるサウジアラムコが2012年に見舞われた大規模なサイバー攻撃。同社の対応から学ぶべき教訓をセキュリティの専門家が紹介する。
サウジアラムコの公式サイト。幸い、攻撃が石油生産に影響を与えなかったのはなかったという《クリックで拡大》
サイバー災害を受けた後にITセキュリティを立て直すのは、不可能なタスクであるように思えるかもしれないが、適切なアプローチを使用すれば対処できる。そう語るのは、セキュリティの専門家であるクリスティーナ・キューベッカ氏だ。
米ラスベガスで2015年8月上旬に開催された「Black Hat USA 2015」でキューベッカ氏は、2012年にサウジアラビアの国営石油会社であるサウジアラムコを襲った大規模なサイバー攻撃の経験に基づき、企業におけるサイバーセキュリティを立て直すプロセスについて説明した。キューベッカ氏は、ITセキュリティ担当者として政府機関、軍隊、民間企業で20年以上働いた経験を持つ。
サウジアラムコを狙ったこの攻撃により、同社の3万台ものワークステーションが影響を受けた。同社によると石油生産はサイバー攻撃の影響を受けていないとのことだった。これは同社が情報システムよりも産業用制御システム（ICS）に対するセキュリティの予算を優先させていたことに起因するという。
サウジアラムコグループは、自宅に泥棒が侵入した後に残った心の傷のようなものとして、このサイバー攻撃を捉えていた。コンピュータへの不信感がつのり、社内では被害妄想の意識が肥大化していた。従業員はPCにログインできないという理由で、新たな攻撃があったなどの誤った情報をミニブログ「Twitter」に投稿するほどだった。
当時サウジアラムコの最高経営責任者（CEO）を務めていたハリード・アリファリフ氏は、2013年に開催されたエネルギー業界のカンファレンスで、このサイバー攻撃の影響について次のように総括した。「私たちが情報テクノロジーと情報システムにどれだけ依存しているかを過小評価してはならない。これらは空気のような存在になっている。なくても耐えられると思うかもしれないが、そうは行かないのが現実だ」
サイバー攻撃を受けた後、サウジアラムコは自社のネットワークを完全に分離していた。コンピュータ間のアクセスを制限して外部との通信を断ち切り、卓上電話も廃止するという徹底ぶりだった。
これは、キューベッカ氏がオランダにある同社の関連会社で初のITセキュリティ部門を設立するという任務を担ったときの状態だった。そこでは現在、サウジアラビア以外の中東とヨーロッパ、アフリカ地域、そして南米に対してサウジアラムコの全ITサービスを提供している。
キューベッカ氏は、この任務を遂行するに当たって大型の予算というメリットがあったことを認めているが、予算に制限がある場合にも活用できるヒントを紹介している。また、予算に関して大きな問題がある企業には、セキュリティのためのジョイントベンチャー（企業共同体）に参加することを提案している。
人材の採用に関しては、ネットワークやコミュニティーカンファレンスなどの会場が重宝するとキューベッカ氏はいう。一方で同氏は米redditの掲示板サービス「Reddit」でも優秀な人材を見つけている。また、採用担当者にはビジネスイメージや保有資格、学歴で候補者を見るのではなく、自宅で作業をする人や低スキルでも仕事に対して並々ならぬ情熱を持っている人を探すことを提案している。
キューベッカ氏は、IT担当者には休息が足りていないことにも言及している。そのため、IT担当者が外に出て日光を浴びるための時間が取れるようにスケジュールを管理することに腐心した。それから、予算に関しては、給与が全てではないことにも言及している。IT部門はトレーニングのための予算を確保する必要がある。
「IT部門は、今ある知識で最新の脅威に対抗できなければならない」とキューベッカ氏は語る。
企業のITセキュリティ部門とビジネス部門の間でコミュニケーションがあり、風通しが良いことにも大きな価値がある。従業員はIT部門に対して親しみを持てなければならない。キューベッカ氏は、IT部門に潜在的なセキュリティの問題を報告した人を表彰するという同僚からの提案を紹介している。
一方、IT部門は、ただパケットを監視するのではなく、ビジネスについての理解を深める必要がある。IT部門がビジネスの仕組みについて詳しい知識があるほど、セキュリティの脅威となり得る異常を簡単に特定できるからだ。
また、コミュニケーションと避難訓練によって来たるべきサイバー災害に備えるプロセスも含め、きちんとした準備しておくことの効用を侮ってはいけないという。
「事件が発生したときには、大混乱が生じる。備えあれば憂いなしだ」とキューベッカ氏は締めくくった。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[アトラシアン株式会社] IT運用や従業員サポートは生成AIでどう変わる？ 使い方や導入の流れは？ -
製品資料
[株式会社みらい翻訳] 音声翻訳活用の課題を解決、“本当に使える”ツールの特徴とは？ -
製品レビュー
[Wrike Japan 株式会社] 400店舗を支えるWalmart Canada、散在する情報やアナログな管理をどう変えた？ -
事例
[Wrike Japan 株式会社] 年間100件超のDXプロジェクトを統合管理、JERAはどのように実現した？ -
事例
[Wrike Japan 株式会社] グローバルなクリエイティブ業務を合理化、エスティーローダーに学ぶ実践のコツ
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
全社標準Copilotに絶望？ MS Copilotで問い合わせ6割減できた企業は何が違った
-
2
身代金支払いは逆効果 情シスのためのランサムウェア対策ガイド2026
-
3
自社を守る「SCS評価制度」活用法 7割の企業が取引先起点の情報漏えいに直面
-
4
ランサムウェア、暗号化の89％は深夜 情シスが備える「夜間の空白」対策
-
5
多要素認証導入済みでもランサムウェア被害に 復旧費用は平均2億7000万円
-
6
「技術屋」で終わるか、部長へ昇格するか 今取りたい「IT×ビジネスの認定資格」5選
-
7
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
8
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
9
「AI活用を前提とした業務PCへの移行」に関するアンケート
-
10
AIエージェントを暴走させない設定、済んでますか？ 対策5選を専門家が紹介
ホワイトペーパーランキング PR
-
1
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
2
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
3
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
4
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
5
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
「スクラム」と「カンバン」の違いとは？ アジャイル型開発手法を徹底比較
-
8
AI時代に成功するための「ナレッジマネジメント」ベストプラクティス
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー