被害総額30億円以上--実際の事件から考えるランサムウェアへの対策 - (page 3)

体制を今すぐ確認しよう

　さて、あなたが務める組織のシステムバックアップ体制は十分だろうか。今この瞬間、スポットライトを当てて確認してみよう。組織の情報システムがランサムウェアに侵入されてダウンしてしまった、とする。その仮定の上で以下6つの質問に答えてみていただきたい。

情報保護課題を顕在化させる6つの質問

1. 業務を停滞させることなく、情報システムとデータを復旧する見通しは立っているか
2. （1の回答がイエスの場合）、その復旧作業には正確に何時間かかるか
3. 情報保護対策が十分でないことが組織のコンプライアンス違反にあたるかどうかを知っているか
4. ランサムウェアなどのマルウェア感染が、個人情報保護法や業界に特化した法律などに抵触することを知っているか
5. 4の法律抵触によって、どの程度の罰則、罰金が課せられるか知っているか
6. 社会的信用を失墜させることなく、業務を継続する自信があるか

　これらすべてに迷うことなく答えられたというなら、ある意味、組織のシステムバックアップ体制は確立されているといえるだろう。しかし、一つでも、特に1や2の回答に自信がないというのであれば、この機会を逃さず仕組みを見直し、強化した方がいい。対策が早ければ早いほど被害に苦しむ確率を減らすことができ、コストという観点でも最小の投資ですむ方法だからである。

情報保護は経営を左右するテーマ

　それでも現実感が沸かず、「そのときになったら考える」という方もいるだろう。確かに、今回の事件で支払われた40ビットコインという身代金は、相応規模の組織なら払えない金額ではない。「それぐらいで済むなら支払ってしまおう」と考えるかもしれない。

　しかし、それで犯人はつけ上がる。次は本当に9000ビットコインかもしれないし、支払っても復号鍵は手に入らないかもしれない。そうなれば、組織経営はたちまち苦境に陥ってしまう。

　Hollywood Presbyterian Medical Centerに対して、今後、法執行機関やFBIがどう出るか。行く末を見守るしかないが、この事件によって、業務が混乱し、当局の介入を招いて捜査協力という余分な仕事が増えてしまったことは確かだ。そして、その先に、病院に対する世間の厳しい目と厳しい罰則が彼らを待っていないと誰が言い切れるだろうか。

　実は同時期に、Hollywood Presbyterian Medical Centerだけでなく、ドイツの2つの病院でもランサムウェアの被害に遭っている。この2つの病院は身代金を支払わないことを選択した。

　その中の1つの病院は、定期的にバックアップを取っていたが、ファイルレベルのバックアップであったため、システムの復旧まで数週間かかる見込みで、それまでHollywood Presbyterian Medical Centerのように紙やペン、電話とファクスを使用し、記録しなければならなくなった。

　もう1つの病院は早期に感染に気付き対応を取って拡散を防ぐことができたが、それでもシステムの復旧まで数週間かかる見込みだという。適切にバックアップを取っていたなら、長くても1日、場合によっては数分で復旧できたであろう。

　結局、対策がすべてなのだ。このような事件に巻き込まれないようあらかじめ情報保護対策を講じ、ランサムウェアの侵入に気付いても、何ごともなかったようにシステムを復旧させることができていれば、不名誉な事件で世間に名前を知られるようなことにはならなかった。彼らの苦い教訓から、われわれは真摯に学ぶべきだろう。