Cyber Recovery Playbookの必要性 ―サイバーインシデント発生時の迅速な対応の実現に向けて―

Cyber Recovery Playbookとは

Playbookとは、もともとアメリカンフットボールで利用される作戦や戦術をまとめたノートのことであり、あらかじめデザインされた数々の戦術（プレー）について、相手のさまざまなフォーメーションに応じて各選手がどのように動くべきかといったことが詳細に記述されています。これをサイバーインシデントへの対応に応用したものが「Cyber Recovery Playbook」で、ランサムウェア攻撃やデータ漏洩などのサイバーインシデントへの対応・復旧の手順をまとめたものを指します。
では、従来のインシデント対応計画とどのように違うのでしょうか。

従来のインシデント対応計画は、あらゆるインシデント対応に適用できるよう、汎用的な対応手順・プロセスが記述されています。そのため、インシデント対応にあたる者にはあらゆる場面で臨機応変な対応が求められるため、必要な対応がなされない、迅速性を欠くなどの状況に陥りやすいです。また、近年のビジネスエコシステムの拡大・多様化に伴い、インシデント対応の難易度は増しており、従来の汎用的なインシデント対応計画では、適切な対応ができない、あるいは適切に対応できたとしても迅速性を欠き、事業継続目標が達成できないケースが見られます。

一方、Cyber Recovery Playbookには、重要なビジネス・サービスの事業継続目標も踏まえ、具体的なケースを想定したインシデント対応手順や業務継続手順を具体的に記述します。そのため、適切かつ迅速なインシデント対応・業務継続対応が期待できます。
こうした背景から、オペレーショナルレジリエンスの取り組みが特に進んでいる英国や米国においては、インシデント対応という視点のみならず、事業継続という視点から、Cyber Recovery Playbookの有用性が再評価されています。特に当局が金融機関に対して2025年3月末までにオペレーショナルレジリエンスの構築を完了することを求めている英国^{*1, 2}においては、既に複数の大手金融機関がCyber Recovery Playbookの整備を完了しています。

Cyber Recovery Playbookを整備することによる2つのメリット

1. 対応の迅速化
Cyber Recovery Playbookでは、 経営層、サイバーセキュリティ担当者、システム担当者、法務担当者など全ての担当者が同じ方針の下で、適切な順番で動けるように意思決定プロセスや対応方法を具体的に記述します。各チームでの対応状況が可視化されるとともに、バラバラに管理されがちな情報を集約・相互連携しながら適切な対応が行えるようになるため、各対応や判断が迅速化され、業務継続に向けた対応や、復旧に至るまでの時間短縮が期待できます。
結果として事業継続目標や素早い事業復旧の達成に寄与するなど、サイバーレジリエンスを高めます。

2. 正確かつ均一な対応
Cyber Recovery Playbookを整備することで、インシデント対応の精度の向上も期待できます。例えば、セキュリティ調査や証拠保全という抽象的なプロセスだけではなく、調査・証拠保全のタイミング、対象や項目、手順を具体的に記述しておくことが推奨されます。また、インシデント対応においては、規制当局への報告など、コンプライアンス面でも満たすべき要件があります。このような手続きについても、タイミングや報告基準、内容などをCyber Recovery Playbookに具体的に記述しておくことで、コンプライアンス遵守に寄与します。
上記を行うことにより、インシデント対応が担当者に依存せず均一化される効果も期待できます。

Cyber Recovery Playbookに記載すべき主要項目

Cyber Recovery Playbookに記載すべき主要項目は、一般的に下記の4項目になります。ただし、内容は全ての企業で統一されたものではなく、各企業の環境に応じて作成することが重要となります。

項目1：スコープとガバナンス
Cyber Recovery Playbookのスコープを定義し、対象とするサイバーインシデントの種類や業務継続や復旧対応を管理するためのガバナンス構造などを記載します。またガバナンスの観点では、業務継続・復旧対応における関係者の役割と責任を明確にします。

項目2：発動と業務継続および復旧プロセスの概要
サイバーインシデントが発生した際のCyber Recovery Playbookを発動する条件や、エスカレーションの詳細、業務継続を行うためのプロセス、復旧プロセスの概要を記載します。

項目3：アクションカード
復旧プロセスごとに必要なタスクを実行するためのアクションカードを準備し、グループ化しておくことが望ましいと考えます。各アクションカードの中身には、作業者が見て対応できるよう、具体的な対応方法を記載します。アクションカードを作成する際の1つの重要なポイントとして、法規制に関連する対応方法を記載するアクションカードについては、最新の法的要件や業界標準などを調査したうえで、反映させることが望まれます。

項目4：付属資料（ツールやテンプレート集）
付属資料としては、業務継続・復旧プロセスをサポートするツール（チェックリスト、連絡先リストなど）、テンプレート（当局などへの報告フォーマットなど）、対応プロセスの概要などを用意しておきます。

まとめ

Cyber Recovery Playbookは、組織がサイバーインシデントに備え、迅速に業務継続・復旧対応を実現するための重要なツールです。現状では、現場の担当者の経験に依存してしまったり、担当者の入れ替わりなどによってサイバーインシデントの対応できる能力が変わってしまったりするケースが散見されます。

そこで、Cyber Recovery Playbookを用意しておくことで、担当者の経験や能力などに依存せず、常に一定のレベル以上でのインシデント対応および迅速な業務継続・復旧対応までを確実に行えるようになると考えられます。

Cyber Recovery Playbookの作成には、業務およびシステム（サイバー含む）を理解でき、経営視点を持った人材が中心となって各部と調整・協力しながら取り組む必要があります。その理由として、以下の2点が挙げられます。

①自社のシステム環境などによって、どのように正しく対応・復旧をさせていくべきか各社によって異なる部分や独自のアプローチを持つ場合があることから、各社に応じて対応内容を検討する必要がある

②サイバーインシデントが発生した際にビジネス・サービスを提供している業務部門、リスク管理部門、サイバーセキュリティ部門、IT部門、法務部門、広報部門などが何をすべきか、どのようにコミュニケーション・連携すべきかを整理する必要がある。また、サイバーインシデント発生後に講じるべき対応や対策をどのような順序で行うかなどを整理する必要がある

本稿では、金融機関向けのオペレーショナルレジリエンスにおけるサイバーリスク対応の要の1つとしてCyber Recovery Playbookは紹介しました。しかし、さまざまなサイバーリスクが増加している昨今では、他の重要インフラ事業者においても、サイバーインシデント時の迅速な業務継続のための対応や復旧を可能にするため、Cyber Recovery Playbookを事前に準備しておくことが必要であると考えます。