サイバーレジリエンス

サイバーレジリエンスとは？攻撃を前提とした事業継続力を解説

はじめに

サイバー攻撃の手口は年々巧妙化しており、どれほど対策を講じても侵入を完全に防ぎきることは難しくなっています。攻撃を受けないことだけを目指すのではなく、攻撃を受けても事業を止めない、早く立て直すという発想への転換が求められています。この考え方を表す概念が、サイバーレジリエンスです。限られた予算や人員の中で何を優先して備えるべきかを考える上でも、この視点が役立ちます。

サイバーレジリエンスとは？

サイバーレジリエンスとは、サイバー攻撃やシステム障害が発生した際に、事業の継続性を維持し、影響を最小限に抑えて早期に回復する組織の対応力を指す概念です。

従来のサイバーセキュリティが侵入させない、被害を防ぐという予防に重点を置くのに対し、サイバーレジリエンスは侵入される可能性があることを前提に、検知、対応、復旧までを含めて事業を守るという考え方に立ちます。両者は対立する概念ではなく、予防を担うサイバーセキュリティと、事後の対応力を担うサイバーレジリエンスを組み合わせることで、より強固な体制が実現するとされています。

米国NIST（国立標準技術研究所）が示すサイバーセキュリティフレームワークでは、特定、防御、検知、対応、復旧という5つの機能が示されており、このうち検知・対応・復旧の部分が、サイバーレジリエンスの中核をなすとされています。

事業継続計画（BCP）と関連が深い概念でもあり、地震や災害への備えと同様に、サイバー攻撃という脅威に対しても、平時からの備えと発生後の対応手順を用意しておく発想が土台にあります。

よく使われるシーン

情報システム部門が事業継続計画（BCP）を見直す際、サイバー攻撃を想定したシナリオを組み込む場面で使われます。人事部門では、インシデント発生時に誰がどう動くかを定めた対応体制の整備や、全社員向けのセキュリティ教育・訓練を企画する際に登場する考え方です。取引先からサプライチェーン全体のセキュリティ体制について確認を求められる場面でも、自社の対応力を説明する材料として使われます。経営層への報告で、セキュリティ投資の考え方を説明する際にも用いられます。

サイバーレジリエンスを理解することの重要性

人事担当者がこの概念を理解しておくことには、実務上の意義があります。第一に、インシデント対応には情報システム部門だけでなく、広報や人事を含めた全社的な体制と役割分担が必要だと理解できます。第二に、全社員向けのセキュリティ教育や訓練を、単発の研修ではなく継続的な取り組みとして位置づけられます。第三に、緊急時に落ち着いて行動できる人材の育成や対応マニュアルの整備が、採用・育成計画に組み込むべき要素だと気づけます。第四に、セキュリティ人材の採用や定着が経営上の重要課題であるという認識を持てます。