SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

最新イベントはこちら!

予期せぬ事態に備えよ! クラウドで実現するIT-BCP対策 powered by EnterpriseZine

2024年7月10日(水)オンライン開催

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

Security Online Press

重要インフラに携わる3者が語る、止めてはいけないシステムとの向き合い方──総務省/国交省/成田空港

「CISO Japan Summit 2024」セッションレポート

 重要インフラへのサイバー攻撃が脅威となっている。2024年5月14日~15日に開催された「CISO Japan Summit 2024」では、「絶対止めてはいけない重要基幹インフラVSサイバーアタック脅威」と題してパネルディスカッションが行われた。日本ネットワークセキュリティ協会(JNSA)副会長でCISO支援ワーキンググループ リーダーの高橋正和氏がモデレーターを務め、内閣府 情報化参与の中西克彦氏、国土交通省 総合政策局 最高情報セキュリティアドバイザーの北尾辰也氏、成田国際空港(以下、成田空港) 取締役 経営企画部門長の宮本秀晴氏が登壇し、国際イベントや名古屋港、成田空港などをテーマに重要基幹インフラに対するサイバー攻撃の対策や教育に関する知識が共有された。

東京2020大会における戦略的リスクレジスターの導入と活用

 セッション開催の背景として高橋氏は、重要インフラに限らず、止められないシステムの障害は情報システム部門だけの問題ではなく、損害額では見積もりにくい社会的な問題にもなってきていると述べ、内閣府でシステムのインシデントレスポンスやセキュリティ要件のアドバイスをしている中西氏の発表を促した。

 中西氏は、2015年から東京オリンピック・パラリンピック競技大会(東京2020大会)の組織委員会の警備局に所属し、物理セキュリティとサイバーセキュリティの両面からリスクマネジメントに深く関わっていた人物だ。

 組織やその中で働く人の立場によって重要なものは当然異なる。たとえば、財務部では利益やコストカットが大事だが、警備員にとっては安全が最優先である。中西氏は、そのうえで組織全体としてはリスクマネジメントの基本方針を持つことが必要であると説く。

 東京2020大会の場合、安全な運営と人命の保護を第一優先とし、スケジュール通りの進行、社会的信頼性の維持、予算内での運営、さらにアスリートファーストおよび関係者の満足がリスクマネジメントの基本方針となっていた。その方針のもと、2015年からリスクレジスターを導入したという。

 戦略的リスクレジスターでは、トップ経営層のメンバーとリスクマネジメントを主管するFA(ファンクショナルエリア)部門が協力してリスクを管理する。FAは52あり、リスクFAは大会を阻害する可能性のあるリスクを洗い出した。地震、津波、感染症、テロ、火災、サイバー攻撃など約30項目が挙げられ、これらのリスクを各FAの業務に応じて共有した。たとえば、チケッティングFAはチケットシステムの停止、広報FAは公式サイトの停止などのリスクを管理する。2015年から大会本番まで複数回、運営単位や会場単位のリスクレジスターをそれぞれ作成し、環境変化を考慮してリスクを更新し、対策を講じた。

画像を説明するテキストなくても可
内閣府 情報化参与 中西克彦氏

 システムを止めないことが重要であるが、大会の安全運営やスケジュールの遵守が優先される場合、ときにシステムを止めざるをえない判断も必要である。中西氏は、「大会が安全に運営できない、予定通り進行できないのは失敗なので、大会が安全に運営でき、スケジュールが予定通り進むならば、システムを止めてもいいという判断になる」と説明した。

 このような判断力を養うために、サイバー攻撃対策の演習をはじめ、様々な脅威に対してリハーサルや演習を重ねていく。どのような状況でシステムを止めるべきかは、経営層が考えるだけでなく、現場の人たちが見極められることが重要となる。

 東京2020大会のテクノロジーオペレーションセンターでは、インシデント発生時どうするかの定義があり、重要度やセキュリティレベルが段階的に分類されている。一番高いセキュリティレベルは、すべてのユーザーに影響を与えたり、人命を脅かしたりするものだ。

 中西氏は、「このような高いセキュリティリスクが発生した場合、重大度に応じて何分以内に初動対応を行い、何時間以内に修復する必要があるかが定義されています。この定義に基づき、必要な人員の配置、工数、費用の見積もりが可能となり、目標を達成するために粛々とやるべきことをやっていきます」と述べ、この方法が止められないシステムに対処する一つのアプローチであることを示した。

次のページ
3日間で復旧した名古屋港のインシデント対応は「奇跡的」

この記事は参考になりましたか?

  • Facebook
  • X
  • Pocket
  • note
Security Online Press連載記事一覧

もっと読む

この記事の著者

森 英信(モリ ヒデノブ)

就職情報誌やMac雑誌の編集業務、モバイルコンテンツ制作会社勤務を経て、2005年に編集プロダクション業務とWebシステム開発事業を展開する会社・アンジーを創業した。編集プロダクション業務では、日本語と英語でのテック関連事例や海外スタートアップのインタビュー、イベントレポートなどの企画・取材・執筆・...

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/19770 2024/07/02 08:00

Job Board

AD

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング