NRIら、AI駆動型サイバー攻撃への経営判断・対応を支援するサービス提供　重要インフラ事業者向け

　野村総合研究所（NRI）とNRIセキュアテクノロジーズ（NRIセキュア）は、「サイバーレジリエンス経営支援」の提供を開始した。

　同サービスは、AI駆動型サイバー攻撃への対応力を強化したい企業・組織のうち、とくにEC・デジタル事業者、グローバル製造業や金融機関を含む重要インフラ事業者などを主な対象とするもの。外部に提供しているサービスや社内のシステムが停止した場合の事業に与える影響を定量・定性の両面から分析したうえで、対策として行う能動的な停止・再開の判断基準を平時のうちに定め、有事の際の経営判断を支援するとしている。経営コンサルタントとセキュリティの専門家による合同チームが、経営層の意思決定に必要な根拠の可視化とプロセスの整備にあたるとのことだ。

　とくに短期では、約2～3ヵ月の期間で、現状把握から経営合意までを4つのステップで進めるとしている。ゴールは、AI駆動型サイバー攻撃への対応の必要性と方針について、経営陣の合意を形成し、能動的なシステム停止を含めた経営判断の基準と意思決定プロセスを整備すること。停止判断を経営レベルで事前に定めることで、被害の拡大・長期化や社会への波及と、不要な停止による機能低下を抑えるという。同サービスは、この両立を目指すとしている。

　短期での対応後は、パッチ適用プロセスの再構築、AIを活用したセキュリティ診断、セキュリティ運用の自動化、AI利用状況の可視化などを、中長期の取り組みとして継続的に支援するという。同サービスの特徴は以下のとおり。

1. 経営層の合意形成までを支援：CEO、CISO、CIO、CFO、IR担当、法務担当、事業担当役員で構成する推進委員会を設置し、個別ヒアリングで認識の違いを可視化したうえで、対応方針の合意形成を支援。「脆弱性対応の優先順位」「対応を保留する場合の暫定策、承認者、見直し期限」「外部提供サービスや社内システムを停止・再開する判断者と基準」の3点を平時のうちに確定することを目指す
2. 事業への影響を定量・定性の両面で分析：システム停止によって生じる影響を、インシデント対応費用、停止にともなう臨時支出、契約不履行による違約金・損害賠償、顧客への補償、収益機会の損失、行政処分・制裁金、ユーザー離反、株価への影響などの類型に分けて試算。あわせて、金額に換算しにくい社会的影響、顧客・取引先との信頼関係、ブランドへの影響といった定性的な事業影響リスクも整理する
3. 専門性で実現するサイバー対応力強化：経営の意思決定体制、機器・パッチ適用状況などのセキュリティ、システム構成・アーキテクチャの課題を一度に洗い出し、相互の関係を踏まえた対応方針の策定から実装までを一貫して支援する

【関連記事】
・NRIセキュア、欧州「NIS2指令」への準拠支援サービスを開始　EU現地法人と連携した一気通貫支援
・NRIセキュア、DevSecOps成熟度の評価・ロードマップ策定サービスを提供開始
・NRIセキュア、Mythosと同レベルで未公表の脆弱性を検出・対応策を提示するサービス提供開始