インシデント発生時は、内部での対処だけでなく外部のステークホルダーとの連携が被害の拡大を防ぐ鍵になる。しかし調査では、「外部専門家への相談体制、インシデントレスポンス、リテーナーサービスの事前契約」を準備している企業は33.3％にとどまっている。

　「インシデントの利害関係者（外部取引先など）への連絡体制」は26.3％、「インシデント発生時の顧客への公表、公開、連絡体制」は22.0％と低迷している。「ランサムウェアを対象としたサイバー保険への加入」は15.9％と最も低い水準にある。有事の際の対外的な情報開示や金銭的なリスク分散の仕組みが構築できていない企業が多数を占めることが、今回の調査で明確に浮き彫りになった。

身代金要求に対する「方針の曖昧さ」

　ランサムウェア感染時、企業が直面する最大の難局が身代金要求への対応だ。同調査において、身代金要求に対する方針を尋ねた結果は以下の通りとなった（複数を選択した企業が含まれるため、合計は100％にならない）。

• 身代金は支払わない方針で、ルール化している：29.5％
• 身代金は支払わない方針だが、ルール化はしていない：36.5％
• 状況を踏まえて判断する方針で、ルール化している：19.0％
• 状況を踏まえて判断する方針だが、ルール化はしていない：7.5％
• 決めていない／分からない：15.8％

　多くの企業において「身代金は原則として支払わない」という方針は存在するものの、それを具体的なルールとして実運用できている企業は3割に満たない。企業内で合意形成が曖昧なままにとどまっているため、結果として約7割の企業は、インシデント発生後に初めて具体的な判断を下さざるを得ない状況に置かれていることが分かる。

極限状態での判断を避けるための「事前のシミュレーション」

　方針が不明確なままサイバー攻撃を受けた場合、企業は時間的余裕のない極限状態での対処を迫られることになる。Gartnerのディレクター アナリストである鈴木弘之氏は、このような切羽詰まった状況下での意思決定は、企業にとって致命的となる誤った選択をしてしまうリスクを著しく高めると指摘している。

　鈴木氏は、身代金交渉を「必ずしも身代金の支払いを前提としたものではなく、被害状況や情報漏えいの範囲を調査、分析するための時間を確保する手段」として活用できる側面もあると説明する。しかし、攻撃者と直接やりとりすることは極めてリスクが大きいため、企業単独で実施すべきではないと警告する。

　インシデント発生後の場当たり的な初動対処を防ぐためには、インシデントの発生を完全に防ぐことはできないという前提に立った体制の構築が不可欠だ。万が一、交渉や処置が必要いなった場合に備え、専門のベンダーに即座に相談できる体制を平時から整えておくことが求められる。

　これからの事業継続において、サイバーセキュリティは単なる防御システムの導入にとどまらない。経営層を巻き込んだ事前のシミュレーションや机上演習を継続的に実施することが、企業全体の耐性を高める上で重要となる。想定される被害シナリオに基づき、自社の判断基準をあらかじめ明確にしておくことで、有事の際の事業へのダメージを最小化することが可能になるのだ。