セキュリティブログ

SERIES

Series 04｜サイバーセキュリティからサイバーレジリエンスへ

全3回中3回・更新中

防御を尽くしても、業務は止まります。問うべきは「侵入を防げたか」ではなく「止まったときに何が起き、どれだけ早く戻せるか」です。本シリーズは全3回で、サイバーレジリエンスの考え方、重要な業務と耐性度から逆算する復旧設計、そして演習による検証を扱います。金融庁のオペレーショナル・レジリエンスの考え方とNISTの指針を軸に、技術部門ではなく経営が決めるべきことを実務の言葉で具体的に整理します。

このシリーズの記事

  1. 第1「侵入を防ぐ」だけでは足りない ― サイバーレジリエンスとは何か2024年度に金融機関から報告されたシステム障害は約1,800件。委託先サーバへのランサムウェア、セキュリティソフトの更新不具合、なりすましによる不正送金と、防御を尽くしても業務は止まります。問うべきは「防げたか」ではなく「止まったときに何が起きるか」です。本稿では、サイバーセキュリティとサイバーレジリエンスの違いを整理し、NISTが示す4つの能力と、金融庁が求める「重要な業務を耐性度の範囲で提供し続ける」という考え方をつなげ、そのうえで、技術部門ではなく経営が決めなければならない3つのことを示します。
  2. 第2重要業務から逆算する復旧設計 ― RTO・RPOだけでは足りない多くの金融機関では、システムごとのRTOとRPOを定めています。しかしランサムウェアのようなサイバー事象では、計画どおりに戻らないことが少なくありません。RTO・RPOは「壊れるのは器で、データは正しい」という前提で作られているからです。本稿では、システムの復旧目標ではなく重要な業務の耐性度を起点に、業務プロセス・システム・共通基盤・依存先へと目標を割り付ける逆算の設計を解説します。あわせて、クリーンな復旧点の確保、隔離環境への復元、復元後の検証という、サイバー事象に特有の3つの設計ポイントを、DORAとNIST CSF 2.0の要求と対応づけて整理します。
  3. 第3サイバー演習で「本当に復旧できるか」を検証する復旧計画は、試すまでは仮説にすぎません。金融庁の業界横断演習「Delta Wall」は2025年で10回目を迎え、参加は過去最多の177先に広がりました。問われるのはもはや「参加したか」ではなく「演習で見つけた穴を閉じたか」です。本稿では、机上演習・技術演習・経営演習・バックアップ復元テストの4種類を組み合わせる方法、計画の前提をあえて壊すシナリオの作り方、「できたか」ではなく「何分かかったか」で測る評価指標、そして見つけた穴を次の演習までに閉じる改善管理を解説します。