サイバーセキュリティは自社だけで取り組む時代ではない
HBR Staff
サマリー：現代のビジネスは相互に接続されたエコシステムに依存しており、一社の対策だけでは大規模なシステム障害に対応できない。そこで重要となるのが、組織を超えて連携しサービスを維持する「集合的レジリエンス」である。これは単なる自社復旧を超え、事前構築された関係や共通の訓練を通じて顧客への影響を最小限に抑える能力を指す。本稿では、決済網の障害事例を交え、リーダーが取り組むべき3つの意識変革と実践的な指針を紹介する。

「集合的レジリエンス」で危機にいち早く対応する

　2024年に米サイバーセキュリティー大手クラウドストライクの製品が、意図せず世界中のウィンドウズ搭載コンピュータに障害を起こした時、万全の備えをしていた企業でさえ影響を受けた。しかし、多くの企業が復旧に苦労する中、驚くほど素早く立ち直った企業もあった。その違いは、つまるところ、リーダーがいかに速やかに被害の範囲とリスクを把握し、緩和措置を検証し、意思疎通を調整したかで決まった。

　たとえば、ビジネス・レジリエンス・カウンシル（BRC）の加盟組織は、障害が発生した1時間後には、業界横断的なチャットからわかることを共有していた。さらにその日のうちに、電話でコラボレーションを始めた。やがてクラウドストライクのCEOがBRCの信頼できるフォーラムで、1000社以上に対して状況説明をした。

　このレベルのスピードと率直さは、事前に構築された関係性と、安全なチャネル、そして事前に訓練された行動マニュアルを通じることで初めて可能になる。

　これが「集合的レジリエンス」と筆者らが呼ぶものだ。その基礎を成すのはオペレーションのレジリエンス（再起力）、すなわち組織が実用最小限のサービスレベル（MVSL）を維持しつつ、並行して完全な復旧作業を続ける能力である。これに対して、集合的レジリエンスとは、複数の組織が障害時も共有のプロバイダーやパートナー、プラットフォームを通じて顧客サービスを継続する連携能力をいう。

　企業は、最も重要なサードパーティと共通のコミュニケーションチャネルや作戦を構築し、重要サービスの最小限のサービスレベルを定義し、障害がある中でのサービス継続をリハーサルすることにより、次の障害が起こる前にこのアイデアを実行に移す必要がある。

レジリエンスの再考

　過去20年間、リーダーらはサイバーセキュリティをほぼ完全に自社の文脈でのみ考えてきた。攻撃を受けても会社を動かし続けるシステムに投資し、サイバーセキュリティとは悪意ある攻撃者から情報やプロセスを守ることだと信じ込んできた。残念ながら、この考え方は限界に達している。企業は孤立して活動しているのではなく、相互につながったエコシステムの中で動いており、そのエコシステム全体でレジリエンスがなければならない。

「20年にわたる外注化で、かつて均質だった環境は、共有するサードパーティやプラットフォームによって結びついた、相互依存する『システムのシステム』へと変貌した」と、BRC議長のデイビッド・ラファルシーは言う。現代の相互接続されたエコシステムでは、インシデントや継続性を社内イベントとして扱ってもうまくいかない。最も重大な障害モードの多くは、どの企業も単独では管理が及ばないところにある。

　現状では、組織はシステム的な影響を防ぐために共同で防衛し、迅速に連携する必要がある。セキュリティは信頼できるコミュニティで適切な情報を迅速に共有して、チームが信号を検証して、有効な緩和策を調整できるかどうかで決まる。レジリエンスとは、自社のサービスを動かし続けるだけでなく、顧客やパートナーも（たとえレベルは落ちても）機能し続けて、障害の影響が及ぶ範囲を限定し、システム障害を防ぐことを意味する。

　企業レベルの準備態勢からエコシステムレベルのレジリエンスを確保する現実的な道のりは存在する。以下に紹介するケーススタディは、障害がいかに迅速に複数の当事者を伴うイベントに発展するかを示している。それを踏まえたうえで、リーダーが牽引できる3つのシフト（保護から連携へ、社内の継続性からサービスの継続性へ、そしてサードパーティのリスク管理から共同レジリエンスへ）を中心に論じたい。

ケーススタディ：ACH電子決済システム

　集合的レジリエンスがなぜ重要かを理解するために、共有サービスに障害が起きるとどのようなことになるかを考えてみよう。

　2024年春、BRCは、米国の小口決済網ACHに大規模障害が起きた時、金融機関のレジリエンスをテストするワークショップを開いた。ACHは給与の直接振り込みや、社会保障給付、税金還付など、米国の電子決済を処理するネットワークだ。2024年当時、ACHは330億件以上、金額にして86兆ドル以上の決済を処理していた。ワークショップには、数百の銀行と信用組合、そしてさまざまな規模の主要決済業者が含まれた。

　このシナリオの目的は、サービスの継続性とサプライチェーンの依存性の両方を強調することだった。シナリオの初日はACHシステムが利用できなくなり、全国ニュースで広範な障害が報じられたところから始まった。やがて事態は、破壊的なワイパーウェア（コンピュータシステムのデータを破壊するタイプのマルウェア）によってACHのシステムやバックアップが消去される事態に発展した。2日目になると、数百の金融機関と給与処理業者大手がACH取引を処理できず、決済の20％が実行できなくなった。5日目には、データ窃盗、偽情報キャンペーン、DDoS攻撃（複数の機器から大量のデータを送りサーバーをダウンさせるサイバー攻撃）などの複合的なイベントにより、顧客がネットバンキングを利用できなくなった。

　ACH障害の継続は、たちまち家計や業界横断的なトラブルを引き起こした。給与や社会保障給付、還付金、サプライヤーの支払いなどがACHに依存していたからだ。このワークショップは、システムへの影響やサードパーティへの依存、顧客の信頼感、二次攻撃を探ることを明示的な目的にして構築された。