サイバーインシデントレスポンス

サイバーインシデントの発生時においては、ステークホルダーからタイムリーな説明が求められます。例えば、個人情報の漏洩等によって被害者が発生するリスクがある場合、被害者の特定や保護にむけた情報発信を一刻も早くする必要があります。また、取引先への影響が考えられる場合、適切な情報共有と対処にむけた連携が求められます。また、広報活動を通じて企業価値の棄損を最小限に食い止め、早期に信用を回復する取り組みが必要となります。

ただし、人間の心理として、現時点で分かっている情報をできるだけ「早く」、かつ「詳細」に発信することが、誠実性の高い行動であると考えがちですが、とりわけ、時々刻々と状況が変化している場合、注意が必要です。調査の最中でまだ正確性が十分に確認できていない情報を発信してしまった後、新たな事実が判明した際、訂正の必要性が生じることになります。訂正しないままにして、後になってその事実が判明した場合、企業の隠蔽体質を疑われることになります。一方、訂正を繰り返してしまうことで、貴社（組織）が発信する情報の信憑性が疑われてしまうことになります。
開示できる情報の「早さ」と「正確性」のバランスはトレードオフの関係にありますが、緊迫した状況下においても拙速な対応に陥らないような冷静さが求められます。

従来のような情報漏洩による被害に加え、組織の業務を停止に追い込みサプライチェーンや社会に影響を及ぼすケースや数十億円規模の金銭的な損害が生じたケースも発生しており、サイバー攻撃による被害は深刻化しています。

• 日本の自動車メーカーの取引先がサイバー攻撃を受けてネットワーク遮断に追い込まれ、部品の受発注システムが使用できなくなり、自動者メーカーや二次取引先との部品取引が困難となり、自動車の生産ラインを停止。
• 米国最大の石油パイプラインがランサムウェアの被害により数日間の操業停止に追い込まれ、ガソリン不足の不安が生じたことにより、買い占めや価格高騰など社会的な影響が発生。
• 日本の製造業の海外子会社において、悪意ある第三者による虚偽の指示に基づき数十億円の資金を流出させるBEC（ビジネスEメール詐欺）の被害が発生。

金銭的な利益の獲得を目的とした「二重脅迫型ランサムウェア攻撃」に代表されるように、サイバー犯罪は産業化し、組織的に行われるようになっています。

また、日本企業において、海外子会社や関連会社に対して、コストや人材不足の制約から、本社と同レベルのセキュアなIT環境が整備されていないケースは多くみられます。こういったセキュリティレベルの低いグループ会社や取引先を攻撃して、強固なセキュリティ対策を講じた本社に対して間接的に攻撃する「サプライチェーン攻撃」も増加しており、攻撃対象組織の規模や業種も広がっています。

ひとたび、サイバーインシデント対応がグローバルに及ぶとなると、言語の違いや時差への対応といったコミュニケーション上の問題、各国に合わせた法規制対応や広報対応等が必要となってきます。そのような状況下で迅速な対応をするには、国内で閉じたケースよりも一段と難易度が高くなります。これまでのKPMGにおけるグローバルに及ぶサイバーインシデント対応の経験を踏まえて、日本企業が直面する典型的な課題を以下に紹介します。