野村総合研究所（NRI）とNRIセキュアテクノロジーズ（以下、NRIセキュア）は10月22日、AI駆動型サイバー攻撃への対応力強化を支援する「サイバーレジリエンス経営支援」の提供を開始したと発表した。サイバー攻撃時にシステムを能動的に停止・再開するための判断基準を平時に定め、経営層の意思決定プロセスを整備する。

主な対象は、EC・デジタル事業者、グローバル製造業、金融機関を含む重要インフラ事業者など。経営コンサルタントやシステムエンジニア、セキュリティ専門家による合同チームが、経営・セキュリティ・システムの3領域から支援する。

事業影響を分析し、停止・再開の判断基準を整備

AI駆動型サイバー攻撃とは、AIを悪用し、偵察や脆弱性の発見、攻撃コードの生成、攻撃の実行までを高速かつ自動的に行うサイバー攻撃である。NRIセキュアの分析によると、脆弱性が公開されてから悪用されるまでの期間は、2018年時点で平均約2.3年だった。これに対し、近年では、公開後数時間から1日程度で悪用が確認される事例もあるという。

攻撃手法の高速化により、企業には、脆弱性への対応やシステムの停止・再開について、従来より迅速な判断が求められている。ただし、適切に判断するには、システムの停止が事業に及ぼす影響をあらかじめ把握しておく必要がある。

そこで、サイバーレジリエンス経営支援では、外部向けサービスや社内システムが停止した場合の事業影響を、定量・定性の両面から分析する。具体的には、インシデント対応費用や停止に伴う臨時支出、契約不履行による違約金・損害賠償、顧客への補償、収益機会の損失、行政処分・制裁金などが試算の対象となる。

  • サイバーレジリエンス経営支援

    サイバーレジリエンス経営支援のサービスメニュー一覧

また、ユーザー離反や株価への影響も分析し、金額に換算しにくい社会的影響や、顧客・取引先との信頼関係、ブランドへの影響といった定性的なリスクも整理する。これにより、どのシステムやサービスの停止が事業にどの程度の影響を及ぼすかを明らかにし、停止・再開に関する経営判断の根拠とするとしている。

短期の支援は約2～3カ月で、現状把握から経営陣の合意形成までを4つのステップで進める。まず、CEO、CISO、CIO、CFO、IR担当、法務担当、事業担当役員で構成する推進委員会を立ち上げる。その上で、個別ヒアリングを通じて関係者間の認識の違いを可視化し、対応方針の合意形成を図る。

  • 短期（2～3か月）での支援内容の詳細

    短期（2～3か月）での支援内容の詳細

具体的には、脆弱性対応の優先順位に加え、対応を保留する場合の暫定策や承認者、見直し期限を定める。また、外部向けサービスや社内システムを能動的に停止し、その後再開する際の判断者と基準も、平時のうちに明確にする。

なお、能動的な停止とは、被害が拡大する前に、脆弱性の公表や攻撃の兆候を検知した段階で、企業の判断により対象のシステムやサービスを意図的に停止することを指す。修復に必要な時間を確保し、被害の連鎖を防ぐことが目的である。

経営・セキュリティ・システムの3領域を支援

同サービスでは、事業影響の分析や経営判断の基準づくりに加え、機器やパッチの適用状況、システム構成・アーキテクチャ上の課題も洗い出す。その上で、経営・セキュリティ・システムの各領域の関係を踏まえ、対応方針の策定から実装までを一貫して支援する。

短期の対応後は、パッチ適用プロセスの再構築、AIを活用したセキュリティ診断、セキュリティ運用の自動化、AIの利用状況の可視化など、中長期を見据えた取り組みにも対応するとしている。