ICO（英国個人情報保護監督機関）は、サイバーセキュリティ攻撃が「大幅に増加」しており、2021年の下半期には1,345件の攻撃が組織から報告されていると報告しました。国家サイバーセキュリティ・センター（以下、NCSC）は、英国が直面する最大のサイバー脅威はランサムウェアと認識しています。特に現在の国際的な緊張状態を考慮すると、サイバー攻撃を予防し、サイバー攻撃を受けた場合に対処するための十分な措置を確実に講じておくことが、これまで以上に重要です。企業に大きな混乱をもたらすリスクや風評被害に加え、英国GDPRに基づくデータ侵害に対する制裁金は、1750万ポンドまたは全世界の年間総売上高の4%のいずれか高いほうになります。
ランサムウェアとは何ですか？
ランサムウェアは、悪意のあるソフトウェアを配信することで、コンピューターシステム上のファイルを不正に暗号化するマルウェアです。これにより、システム所有者は、ファイルやデータにアクセスすることができなくなります。攻撃者は、ファイルへのアクセスを可能にする代わりに、身代金を要求することがよくあります。
ランサムウェア攻撃は、個人データが第三者（コードによるものも含む）によって違法にアクセスされた場合、または管理責任者が個人データにアクセスできなくなった場合に（一定期間のみであっても）、データ侵害に該当する可能性があります。
小規模組織であれば心配不要でしょうか？
一言で言えば、「いいえ」です。攻撃者が多数の受信者に送信する無差別攻撃を行うことは珍しくありません。サイバー攻撃は、特定の種類の組織を狙ったものではないため、あらゆる規模の企業に影響を与える可能性があります。
ランサムウェア攻撃を防ぐためにできることは何でしょうか？
攻撃を防ぐには、以下の手順が役立ちます。
- サイバーインシデント対応計画の実施。NCSCはこれを「堅牢で効果的なインシデント管理と技術的な対応能力に向けた重要なステップ」と説明。
- サイバーセキュリティに関する従業員教育。これは、組織のリスクを低減し、サイバー攻撃を受けた場合の対応に役立つ。NCSCの「Exercise in a Box」は、トレーニング戦略の一環として組織が役立つと考える演習を提供。
- 技術的な観点から、NCSCは組織に対して次のことを推奨。
- 定期的なデータバックアップ
- マルウェアの配信と端末への拡散の防止
- 端末上でのマルウェアの実行防止
まだ実施していない場合は、システムを可能な限り安全にするために、どのような技術的手段を講じることができるかを検討する必要があります。
- サイバー攻撃がビジネスにどのような影響を及ぼす可能性があるか（製品供給能力など）、およびその影響を軽減するためにどのような手段を講じることができるか（攻撃を受けた場合は供給契約に基づき履行を停止する権利を含めるなど）の検討
- サイバー保険への加入の検討
サイバー攻撃を受けた場合、どうするべきですか？
初期対応には以下のようなものがあります。
- IT部門（または外部のITプロバイダー）に直ちに連絡し、事態を収拾するための措置を講じてもらうこと
- できるだけ早く弁護士に連絡。これにより、データ保護に関する潜在的なリスクを特定し、対処することができる。
- ICO（英国個人情報保護監督機関）および関係者に報告する必要があるかどうかの判断。
- 身代金要求に応じるかどうかの検討。法執行機関とICO（英国個人情報保護監督機関）の立場は、身代金の支払いに反対することを推奨するもの。NCSCは、身代金を支払えばデータへのアクセスが提供される保証はなく、将来的に標的にされるリスクが高くなることを明らかにしている。
データ保護の観点からリスクを最小化するために弊社ができるサポートについて詳細をご希望の場合や、本ニュースレターの内容に関してご質問がある場合には、3CSのコーポレート・商法チームまたは担当者にご連絡ください。
