地方公共団体に求められる セキュリティ対策と体制強化

サイバーセキュリティの脅威が地方自治体にまで及んでいる現状をふまえ、総務省では地方公共団体セキュリティポリシーガイドラインを改定している。サイバーリーズン・ジャパンでは、重要性が増す自治体の事故対応チーム「CSIRT」を支援する同社のサービスについて紹介した。

サイバーリーズンは、イスラエル国防軍のサイバーセキュリティ部隊の出身者が創業したスタートアップだ。本社は米国・ボストンに、研究拠点はイスラエルに置き、「国防軍で培った高度なセキュリティ技術をもとにした攻撃分析のノウハウを強みにしている」とサイバーリーズン・ジャパン　パートナー営業本部 シニアセールスエンジニアの樋口皓太朗氏はいう。日本では東京、大阪、名古屋に拠点を持ち、「180人の社員のうちの多くがセキュリティ運用を支援するメンバーで構成されていることも特色」と述べた。

樋口 皓太朗
　 サイバーリーズン・ジャパン
　 パートナー営業本部 シニアセールスエンジニア

市区町村にまで及ぶ
サイバーセキュリティ攻撃

サイバーセキュリティをめぐる近年の傾向として、ランサムウェアを使い攻撃を容易に行うことができるようにまとめたパッケージ（RaaS）を利用し、攻撃を行ったうえで復号に金銭を要求するケースが増えていることを挙げた。また、防御側については、DX推進の一方でセキュリティ投資にまで資金が回らず、攻撃対象となり得る領域が増加している現状を指摘した。

2021年秋、ある町立病院においてRaaSで提供されたLockBit2.0というランサムウェアが利用された攻撃で電子カルテが利用できなくなる被害があり、その後攻撃グループから脅迫行為を受けた事例を樋口氏は取り上げ、「グローバルIT企業を狙うようなランサムウェアが今や市区町村に対しても迫りつつある」と警告した。

また2021年初頭に米国水道局を狙った不正侵入と飲料水汚染未遂が発覚したケースでは「ネットワークでオンライン化されオープンシステムと連携する制御系システムが多く利用される状況下では端末と同じように狙われる可能性がある。また、システムが脅威を検知したわけではなく、人が目視で気が付いた点が問題である」と指摘する。

これらの事例から樋口氏は「各種セキュリティ対策を行っていても100％防ぐのは困難」とし、国内企業が発表した調査レポートでも攻撃から発覚までの平均349日を要していること、また、発覚後公表に平均82日を要していることをふまえ、「すり抜けた攻撃は容易には発覚できないし、被害状況、範囲、根本原因の特定が困難」という認識を踏まえた上での対策の必要性を強調した。

攻撃されることを前提にした
対策に重点

これらの課題をふまえ改定された地方公共団体セキュリティポリシーガイドラインには、「サイバー攻撃・インシデント発生を前提に『人・組織』と『サイバー攻撃対策』を重視している」点をポイントとして挙げた。アメリカ国立標準技術研究所（NIST）が提唱するサイバーセキュリティフレームワークはインシデント発生前の「特定」「防御」、インシデント発生後の「検知」「対応」「復旧」という5つの要求機能がある。

改定後のガイドラインでは、これまでの「特定」「防御」から、「検知」「対応」「復旧」に対策の重点がシフトしているとした。中でもインシデント発生時に、正確にインシデントを把握し被害拡大を防止するとともに復旧、CISO（最高情報セキュリティ責任者）への状況報告や報道機関への通知公表などを担うCSIRT（コンピューターセキュリティに関する事故対応チーム）こそが、地方公共団体のセキュリティの要になるとし、「今後5年間の安心安全のためにはCSIRTを中心とした仕組みと体制の強化が必要になる」と述べた。