TLP:GREEN

企業利益を損なう結果を招く
サイバー脅威2021年 11月
名和 利男

本講演における問題意識

国内で目立っているサイバーセキュリティ対策の焦点は、￮ 内閣府・個人情報報保護委員会による「個人情報」、￮ 経済産業省による「知的財産」、￮ 内閣官房・NISCによる「重要インフラサービス」、￮ 所管省庁による「法規制、ガイドライン（手引き）、標準等」となっており、これらは行政機関の所掌事務に基づいたものと言えます。
ところが、なぜか企業目線のものが少ない印象です。

© 2021 TOSHIO NAWA

TLP:GREEN

これらは、コンプライアンス（企業の外側にある規則等に従うこと）の領域である。
ところが、（規則等を制定する）行政機関は、サイバーセキュリティの状況認識と知識・経験が非常に低い。
したがって、これらの対策焦点に基づいた対策は、現実のサイバー脅威に適応したものではない。

2

本講演における問題意識
日本

他の主要国

ネガティブ・インセンティブ

ネガティブ・インセンティブ（コストとなる）（不利益を生む）（コストとなる）（不利益を生む）

対策の要求

要請、指導対策の要求

要請、指導

国家サイバー
セキュリティ機関

ポジティブ・インセンティブ
外部影響を伴う
セキュリティ
インシデント（コスト軽減になる）

情報等の提供ポジティブ・インセンティブ

外部影響を伴う
セキュリティ
インシデント（早期解決になる）

技術的支援

企業は「営利を目的に事業を行う経済主体」であるため、現実論としてのサイバーセキュリティ対策の焦点は、「企業利益」であるはずです。
これを踏まえ、企業経営者に把握していただきたい「企業利益」を守るための対策について、支援活動で得られた知見と考察を共有いたします。
© 2021 TOSHIO NAWA

TLP:GREEN

3

アジェンダ1. 日本型組織の特性とサイバーセキュリティの現状
2. 日本型組織が獲得すべきこと
3. 意思決定層に対するサイバー脅威の説明（あり方）
4. 意思決定層に対するサイバー脅威の説明（ポイント）
5. まとめ© 2021 TOSHIO NAWA

TLP:GREEN

4

TLP:GREEN

トピック １

日本型組織の特性とサイバーセキュリティの現状© 2021 TOSHIO NAWA

5

日本型組織の二重構造 – ほぼすべての意思決定プロセスが遅い
日本型組織は、依然として「表面的な組織構造」と「内面的な組織構造」の2つが共存している。

表面的な組織構造

内面的な組織構造• ピラミッド型の階層化された権限• 同じ階層における社員間の非公式なやり取り• トップダウン型の上意下達• 横並び意識と同調圧力の場の空気• 規律やルールによるガバナンス（統制）• 上位階層への忖度と隣接領域への根回し

昭和時代の高度経済成長時代における製造産業に最適であった内面的な組織構造といえる。
安定かつ高品質な製品や商品を生産するには、全員が一つの目標に向けた行動が求められ、尖った個性は邪魔になりやすい。
© 2021 TOSHIO NAWA

TLP:GREEN

6

日本型組織の状況認識不足 – 深刻なまでに酷い不十分な状況認識

適切な状況認識

サイバー攻撃によるインシデント
で、事業停止・営業機会の損失が加重© 2021 TOSHIO NAWA

TLP:GREEN

自組織の環境と想定するサイバー
攻撃に適応したサイバーセキュリ
ティ対策(発生回避、拡大抑止、迅速対処、早期回復)により、事業停止・営業機会損失を軽減

7

2020年 Twitter社へのサイバー侵害の発生を許した「状況認識不足」• 持続的な「強固なリーダーシップ」と「シニアレベルの関与」の重要性• CISOの採用や設置は、一つの手段にしか過ぎない。実務能力や行動力がないCISOはいないと同じ• COVID-19パンデミック時のリモートワーク移行に関連した「規制当局からのガイダンス」や「さまざまなセキュリティ関連組織からのアラート」の準拠の必要性• 特にセキュリティリスクを特定して評価することの重要性に対する認識• 2020年1月から増大しているビッシング（Vishing）に対する警戒の必要性• ビッシング（Vishing）とは、連絡先として偽の電話番号を案内して電話をかけさせ、音声応答システム（IVR）を通じて個人情報を窃取しようとすること• 社員の個人データが犯罪者により取得されている可能が高くなっている状況理解• ソーシャルメディア等から、社員の自宅の住所、職場または個人の携帯電話番号、勤務先、職場または個人の従業員の名前などの個人データが第三者に取得されやすい直近のサイバー脅威に適応した包括的セキュリティコントロールを喪失していた。
© 2021 TOSHIO NAWA

8

日本型組織の不適切な行動様式 – 安直な手段を選択 (1/3)• セキュリティ問題をITで解決しようとする。
￮ 多くの経営層は、サイバーリスクを技術的な問題として扱い、それをIT部門に任せる。
￮ サイバーセキュリティには多くの技術的問題があることを考えると、これは自然な対応であるが、ビジネスを防御することと、システムを保護することとは異なる。
￮ ビジネスを守るには、ビジネスの優先事項から導き出されるリスク感覚が必要である。
￮ ビジネスモデルとバリューチェーン、会社のリスク文化、役割、責任、そしてガバナンスが求められるため、ITだけではサイバーセキュリティに取り組むことはできない。
© 2021 TOSHIO NAWA

TLP:GREEN

9日本型組織の不適切な行動様式 – 安直な手段を選択 (2/3)• 問題解決のために(単に)人材を投入しようとする￮ ある企業は、知名度の高いハッカーを入社させれば、脅威は消え去ると思い込む。
￮ 最高レベルのハッカーであっても、複雑なネットワーク内の何百万ものデバイスに対して、何万もの攻撃を予期し、防御することは不可能である。

© 2021 TOSHIO NAWA

TLP:GREEN

10日本型組織の不適切な行動様式 – 安直な手段を選択 (2/3)• 問題をコンプライアンスで解決しようとする。
￮ 一部の企業は、一日おきに新しいサイバーセキュリティに係るプロトコルとチェックリストを導入しているが、これらの取り組みは、本当の回復力ではなくコンプライアンスに過度の焦点を当てたものである。
￮ CISOのチェックリストにおいて、全てのボックスがチェックされていても、以前よりもサイバー攻撃に対して脆弱となっている可能性がある。

© 2021 TOSHIO NAWA

TLP:GREEN

11

日本型組織が陥る「サイバー攻撃による利益損失」"サイバー攻撃*利益損失"
利益損失

過度な
セキュリティ投資

不十分な
セキュリティ投資
消極的監視（低い状況認識）

訓練不足のインシデント対処

(混乱)

事態
対処・管理

事態進行(繰り返し)・
検知・調査・抑制

調査(繰り返し)・原因特定(一部)・復旧遅延・改善(見込み)

事業エラー

事業停滞

事業推進

インシデント
発生（認識：無）© 2021 TOSHIO NAWA

消極的事態認知（認識：大）事態
発生（認識：小）TLP:GREEN

事態
収束

12

TLP:GREEN

トピック ２

日本型組織が獲得すべきこと© 2021 TOSHIO NAWA

13

日本型組織が獲得すべき「組織的サイバーレジリエンス能力」"サイバー攻撃*利益損失"

利益損失

サイバー脅威に適応した
セキュリティ投資

積極的監視（高い状況認識）

よく訓練されたインシデント対処

(混乱)

事態
対処・管理

予兆管理・警戒

早期検知・調査・抑制

事態
進行

原因特定・
早期復旧

事業
エラー

事業停滞

事業推進

インシデント
発生（認識：小）© 2021 TOSHIO NAWA

積極的
事態 事態認知発生 （認識：大）（認識：中）
TLP:GREEN

事業復元・再開

新たなサイバー脅威に適応した
セキュリティ投資

事業推進

事態
収束

14

日本型組織が獲得すべき「包括的サイバーリスクマネジメント」
古典的なサイバーセキュリティの焦点 包括的なサイバーリスク・マネジメントのアプローチ
ガバナンス
組織プロセスプロセス

コントロールコントロール

人

人

データ

データ

資産

資産

サードパーティー© 2021 TOSHIO NAWA

TLP:GREEN

15

• 包括的 読み方： ほうかつてき 意味：

すべてをひっくるめて一つにまとめているさま（部分的ではなく、全ての要素を網羅していること）

 反意語： 個別的「ITセキュリティ部門」や「CSIRT」は、会社のすべての要素（施設、部門、社員など）を「ひっくるめて一つにまとめる」ことを可能にする権限と実務能力を有しているか？
© 2021 TOSHIO NAWA

他の（多忙な）役職と兼務している「CISO」
は、会社のすべての要素（施設、部門、社員など）を「ひっくるめて一つにまとめる」ことを可能にする知識・能力を有しているか？ また、業務品質を保てるリソースを確保できるか？
16日本型組織が獲得すべき「組織的対処（レスポンス）能力」
検知トリアージ(Triage)(Detect)
人間組織／単一分野

認知

目・耳・鼻等 （感覚神経）

頭脳

認知状況
把握

検知
検知

検知
検知
検知
検知
検知（運動神経）

情報伝達

対処
指示

対処

意思決定

認識

状況
把握

認識

判断
合意

情報伝達

要請
調整

情報伝達

情報伝達

手・足等
対処

情報伝達
CSIRT・管理者・経営層等

認識

認識

判断
合意

動作

対処

外部専門業者等
指示

対処

指示

対処

指示

対処

指示

対処

連携

検知
検知(Respond)

意思決定

ユーザ・システム等

複数分野

判断

認知

検知

対処行動

情報伝達

「人間の行動原理（認知⇒判断⇒動作）」をベースにして、「組織／単一分野」及び「複数分野」における各フェーズ（検知⇒意思決定⇒対処）で実施される行動 を特定した上で、それを実現可能にする能力スキルや知識体系等を獲得し、サイバー訓練を積み重ねて実施可能な状況にしておくこと。
© 2021 TOSHIO NAWA

TLP:GREEN

17

TLP:GREEN

トピック ３

意思決定層に対するサイバー脅威の説明（あり方）© 2021 TOSHIO NAWA

18

意思決定層に対するサイバー脅威の説明： 現状と問題• 現状： 意思決定層は、ビジネスに影響が及ぶ潜在的なサイバー脅威によるリスクを把握したい￮ サイバー環境の持続的な変化により、サイバー空間の利用が経済・社会活動の重要な基盤として定着したため、さまざまな組織のビジネスやオペレーション(運用)を始めとしたさまざまな業務がサイバー脅威に晒されるようになってきた。

￮ したがって、組織の意思決定層（上級幹部や役員）は、重要なサイバーセキュリティの懸念、ビジネスへの影響、考えられる軽減策を理解及び優先順位を確立した上で、必要なリソース（予算・人）を割り当てなければならない。
￮ そのため、意思決定者（上級幹部や役員）は、役員会議にサイバーセキュリティ責任者や外部専門家を招聘するなどして、サイバーセキュリティのリスクを深く理解し、潜在的な問題を先取りするあらゆることをしたいと考える。
• 問題： 意思決定層は、すでにIT領域のセキュリティ運用に偏重した説明を多く受けている￮ しかし、実際の意思決定層に対するサイバー脅威の説明は、ITに係るセキュリティ運用に限られ、意思決定者（上級幹部や役員）の関心事項から外れた技術的事項や関連性の薄いデータポイント（情報の個別単位）に焦点を当てたものになりがちである。

© 2021 TOSHIO NAWA

TLP:GREEN

19

意思決定層に対するサイバー脅威の説明： WHO（説明者）• 意思決定層が最も重視しているビジネス上の問題や事業計画を理解すること。
￮ 例えば、特定のビジネス活動、合併・買収、パートナーシップ、または現在進行中の最優先課題が挙げられる。

• 上級幹部や役員の性格、典型的な質問、知ろうとしていること、獲得した情報をどのように使おうとしているか等を把握すること。
￮ 上級幹部や役員を惹きつけて、理解を容易にして、ニーズを満たすことが期待できる。

© 2021 TOSHIO NAWA

TLP:GREEN

20

意思決定層に対するサイバー脅威の説明： WHEN（時期）• 報道などから伝えられるサイバー脅威動向から、自組織に特定のリスクの発生が予見された時点で実施する。
￮ どのようなリスクシナリオが優先されるか否かに関する情報に基づいた意思決定を行うために必要なデータを提供する必要がある。
￮ ただし、完全な防護策は存在せず、残存リスクを受け入れる必要があり、許容可能なリスクであるか否かを示す必要がある。

• 規制当局などから示される指針やガイドラインに準拠する必要が発生した場合に実施する。
￮ 指針やガイドラインへの準拠に係る課題などに応えることができる情報を収集する必要がある。
© 2021 TOSHIO NAWA

TLP:GREEN21

意思決定層に対するサイバー脅威の説明： WHERE（環境）• 意思決定層がリラックスできる環境で、周辺に認知バイアスを誘発する情報がないこと。
￮ 認知バイアスとは、自分にとって都合のいい情報だけを集めて思い込み強化してしまう心理的作用のこと。
￮ 意思決定者が、説明者に対して質問やコメントをしやすい雰囲気を作り出しておくことが望ましい。

• 意思決定層の発言内容の保秘を確保することが可能な仕組みを整えておくこと。
￮ 意思決定者のとっさの発言の中には、ビジネスや組織管理における重要事項を示唆する情報が含まれていることがある。
￮ 組織外に漏れることで不利益が発生することがある。

© 2021 TOSHIO NAWA

TLP:GREEN

22

意思決定層に対するサイバー脅威の説明： WHAT（内容）• 他所でよく見られる懸念事や質問とその回答を提示した上で、既存のソリューションがどのように対処しているか、または回避・軽減されていない場合にどのように対処する必要があるのかを提示する。
• 戦術的(一定の目標を達成するための取られる手段が組み込まれていること)な文脈にし、厳格かつ明確な構成にすること。
￮ 関連性がなく、提示する理由が特にない情報は入れ込まない。

• 技術的詳細を抽象化し、ビジネス、オペレーション(業務/運用)、法的影
響に焦点を当てた分かりやすい概念を伝えるべき文脈に集中させる。
￮ 技術に関する踏み込んだ話やテクノバブル(技術者の難解な専門用語)を排除すること。
￮ 意思決定層（上級幹部や役員）は、普段からサイバー脅威に関する情報に触れていないことに留意すること。
￮ 意思決定者が容易に理解できる用語を使用する。

• いたずらに恐怖、不確実性、疑念を使って圧力をかけないこと。
© 2021 TOSHIO NAWA

TLP:GREEN

23

意思決定層に対するサイバー脅威の説明： WHY（目的・理由）• 意思決定者が、サイバーセキュリティのリスクを深く理解し、潜在的な問題を先取りするあらゆることを行うために必要な知識や観点を提供するため。
￮ 日本の企業経営者の大半は、「潜在的なセキュリティ問題の先取り」より、「セキュリティ問題を解決するための対策やソリューション」に強い関心を持っている。

• 意思決定層みずからが、サイバーセキュリティに対して全面的に関与することで、組織のセキュリティ統治を強化につなげるため。
• 意思決定層がサイバーセキュリティに関する強いメッセージを発信することで、従業員に対するサイバーセキュリティポリシーの順守を向上させるため。
￮ 一部の組織では、従業員がサイバーセキュリティポリシーに順守していることをパフォーマンスレビューの一部とみなしている。
© 2021 TOSHIO NAWA

TLP:GREEN24

意思決定層に対するサイバー脅威の説明： HOW（方法）• 意思決定層にプレゼンテーションを実施する前に、意思決定層の関心事や課題などについて質問する。
￮ これにより、意思決定層を理解し、プレゼンテーションの目的や彼らの意思決定に必要となる説明内容（文脈）にすることができる。

• 簡潔な事例を使用して、そのストーリーラインの重要要素の中に伝えるべきことを入れ込む。
￮ 類推による説明、簡略化されたグラフやダッシュボードが役に立つ。

• 潜在的な理論上の脅威ではなく、組織に影響を与える実際のリスクについて議論する。
￮ 合理的であり、誇張は避けること。
￮ サイバーリスクの軽減策の決定の経緯や背景を提供すること。
© 2021 TOSHIO NAWA

TLP:GREEN

25

TLP:GREEN

トピック ４

意思決定層に対するサイバー脅威の説明（ポイント）© 2021 TOSHIO NAWA

26

ポイント１： 「サイバー攻撃」より認識しやすい「脅威アクター」を説明
ITに詳しくない方は、脅威アクターを「ハッカー」や「攻撃者」と表現しても、危機感を抱きにくいため、実世界において「害を与える主体」を表す象徴的な用語を利用する。

それぞれの脅威アクターの特性を象徴するイメージを利用することで、識別しやすくなり、印象（記憶）に残しやすくする。
© 2021 TOSHIO NAWA

TLP:GREEN

27

ポイント２： 「脅威レベル」を実感しやすくなるよう表現を工夫
脅威アクターとその影響力について、「文字」のみで表してしまうと、意思決定者において腑に落ちるまでの時間に大きな差が発生する。
短時間による説明を求められる意思決定者に対しては、直前の説明とつながりやストーリー性を持った流れで表現することが望ましい。

それぞれの脅威アクターが持つ攻撃能力の説明は、一見して理解することができるアイコンを併用すると、（ITリテラシーにばらつきのある）意思決定者全体に同レベルの理解を与えることが期待できる。

© 2021 TOSHIO NAWA

TLP:GREEN

28

ポイント３： 「状況の変化」を文脈とイメージなどで印象を強調
攻撃対象領域（Attack Surface）の増大を示すためには、文脈（コンテクスト）やストーリーで説明することが最善である。さらに、一気に増大している状況について、イメージを煩雑（ビジー）にすることで与える印象が強くなる。

自社が利便性向上のためIT（情報技術）やインターネットの利用を積み上げるたびに、構造的なセキュリティを失ってきている状況について、象徴的なアイコンおよび時系列的に表現することで、意思決定層が理解すべきリスク増大の要因を視覚的に得ることができる。
© 2021 TOSHIO NAWA

TLP:GREEN

29

ポイント４： 「難しい状況理解」は、内容ではなく感覚として提供
意思決定層にとって、サイバー攻撃に係るTTP（戦術、技術、手順）の理解は困難である場合があるため、担当者が「感覚として抱いている変化」を、意思決定層も容易に抱くことができるイメージを持って提供する。

© 2021 TOSHIO NAWA

TLP:GREEN

30

ポイント５： 合意形成に要する時間を短くする判断根拠の表現を工夫

意思決定層に、技術的なセキュリティ対策の優先度を判断いただくためには、その判断根拠となる発生頻度や影響を身近で感じるたとえで区分けして示すことで、短い時間で合意形成に到達していただくことが期待できる。
© 2021 TOSHIO NAWA

TLP:GREEN

31

TLP:GREEN

トピック ５まとめ© 2021 TOSHIO NAWA

32

まとめ – 日本型組織の意思決定者が受け入れるべき状況のイメージ© 2021 TOSHIO NAWA

TLP:GREEN

33

本資料に関する連絡先

名和 利男 （NAWA Toshio）
SITE: https://www.nawa.to
PGP: 0xE38B4E01