データ侵害の財務的影響を軽減する方法
身代金があるかどうかに関わらず、データ侵害は常に財政的な影響を及ぼします。組織は規制の罰金、運営上の損失、評判の損害に直面する可能性があります。慎重な計画があれば、時間とお金を節約できます。
データ侵害の影響
データ侵害は、セキュリティに弱点がある場合に発生し、プライベートデータが曝露されることになります。時には内部の人間によるものです。スタッフがミスを犯したり、恨みを抱いて悪意を持ってデータを流出させたり、誰かが内部告発者であることもあります。しかし、データ侵害の最も一般的な原因はサイバー攻撃です。ランサムウェア攻撃、ハクティビストキャンペーン、ドキシング攻撃、産業スパイ行為がすべてデータ侵害につながる可能性があります。
データ侵害の財務的影響は非常に大きいです。たとえば、ランサムウェア攻撃は、組織が攻撃を受けた瞬間から収益を失わせます。ビジネスの一部が機能していても、収益を失う可能性があります。2021年5月のコロニアルパイプラインのランサムウェア攻撃では、燃料生産のデポは運営を続けることができましたが、それは助けにはなりませんでした。コロニアルパイプラインは請求システムを失っていました。彼らは燃料を生産できましたが、それを配送したり請求したりすることはできませんでした。
個人を特定できる情報（PII）が漏洩した場合、地方、国家、あるいは国際的なデータ保護法があなたに罰金を課す可能性があります。罰金は、影響を受けたデータ主体の数や漏洩の状況などの要因を考慮します。あなたのネットワークからデータが外に出ていなくても、ランサムウエア攻撃はデータの制御を失ったため、漏洩と見なされます。
失われた収益や身代金は簡単に列挙できます。修復や回復のコストも同様です。しかし、顧客や従業員の信頼の低下が組織にどのように影響するかを定量化するのはずっと難しいです。評価やブランドへのダメージは、株価の下落、優秀な従業員の退職、顧客の離脱を招く可能性があります。
データ侵害が増加しており、著名な攻撃がほぼ毎日起こっていると報告されています。話題になる事件の背後には、より小規模な組織での数多くの小さな侵害があります。経済的被害を最小限に抑えるためには、侵害が発生した場合に迅速に対応できる必要があります。それには、こうした事態に備えて積極的に準備する必要があります。
IT資産を理解する
クラシックなオンプレミスのIT基盤の時代は終わりました。2000年以前の完全なオンプレミスインフラを保有している組織はごくわずかです。オフサイトバックアップ、リモートGitリポジトリ、またはMicrosoft 365のようなものであっても、IT運用に何らかのクラウドコンポーネントを持たないことはほぼ不可能です。
そして、クラウドコンピューティングはコスト、スケーラビリティ、可用性においてメリットをもたらすことがありますが、独自の複雑さも伴います。コンテナ、マイクロサービス、モバイルデバイス、スマートデバイス、APIを追加すると、攻撃対象面が大幅に拡大します。そのため、ITやネットワークを防御するのが難しくなり、災害が発生した場合に復旧するのもより複雑になります。
だからこそ、自分のIT環境が何で構成されているのか正確に把握し、定量化することが重要です。すべてのオペレーティングシステム、アプリケーション、ハードウェアを文書化してください。ハードウェアとソフトウェアの資産登録簿を作成し、資産の役割と機能を含めてください。これにより、インシデント対応計画の作成に役立ちます。これがインシデントが発生した際に従うべきプレイブックになります。
最初に何を修復しますか？
すべてが停止している場合、最初に何を復元しますか？運用能力を迅速に復元すればするほど、収益の流れを早く再開できます。だからこそ、あなたのIT資産登録には、アプリケーション、サーバー、ソフトウェアの役割や機能が含まれている必要があります。その情報が、インシデントレスポンス計画（IRP）の作成を導きます。
インシデントレスポンス計画を、すべての適切な関係者が参加し関与している状態でリハーサルすることで、何かを機能させる前に復旧する必要のある重要なシステムが明らかになります。それが完了したら、重要な業務機能や部門の復旧の順序を共同で決定することができます。
インシデント対応計画は、全体のダウンタイムを最小限に抑えるのに役立ちます。ダウンタイムは、ITインフラの規模や複雑さ、攻撃の深刻度によって決まる一定の実用的な制限を超えることはできません。最善の策は、財務的に重要なチームや部門をオンラインに戻す順序を確立することです。
特定の場所からお金が出て行っているなら、そこに熱い鉄を押し当てるべきです。
IRPはビジネス文書です。
あなたのインシデント対応計画は、単なるITまたはセキュリティチームの文書ではありません。それは重要なビジネスポリシーおよび手続きです。レビューされ、承認され、リハーサルされる際には、すべてのビジネスの利害関係者が関与することが重要です。彼らは意見やガイダンスを提供するだけでなく、本物のインシデントの問題や課題について理解を深めることができます。
その理解には二つの大きな利点があります。一つ目は、実際の事件においてセキュリティチームが問題に対処し、事件を処理できるようにする必要があることを理解することです。彼らの上に立っているだけでは助けになりません。二つ目は、ビジネスが専門的な知識の必要性を理解することです。そして、その専門的な知識が社内にない場合、事件の最中ではなく、今こそ信頼できる提供者を見つけて関与する価値があると分かってほしいです。
危機の際に外部の専門家を探すのは手遅れです。もし誰かを見つけても、緊急料金を支払うことになります。技術的な観点から言えば、何も知らずに急に来るよりも、事前に契約して待機させ、あなたの業務に慣れる時間を与えていた方が効果的です。
もちろん、必要なものはセキュリティやその他の技術的専門知識だけではないかもしれません。広報、人事、コールセンター、そしてソーシャルメディアの機能も外部のサポートで強化する必要があるかもしれません。
規制文書を準備する
侵害が発生すると、カウントダウンが始まります。データ対象者の居住地に基づいて発動するデータ保護法に応じて、いくつかの必須手続きを実行するための短期間が与えられます。その手続きを行わない、または期限を守らないと、課せられる罰金が増加することになります。
たとえば、違反を適切なデータ保護機関―監督当局―に通知しなければならない期間は、最短で72時間である可能性があります。明らかに、自分に適用されるすべてのデータ保護法を理解し、それぞれが何を要求しているのかを理解する必要があります。
英国市民の個人データを処理する場合、英国のGDPRに相当するデータ保護法2018を遵守する必要があります。EU諸国の市民の個人データを処理する場合は、欧州版のGDPRを満たさなければなりません。CCPAの資格基準を満たし、その範囲に入る場合は、あなたの組織もCCPAを遵守しなければなりません。そのように、適用される法令ごとに続いていきます。データ保護責任者またはCIOは、各法令によって要求される行動やタイムスケジュールが明確になるように、インシデント対応計画に意見を提供すべきです。
データ侵害を通知するために監督当局およびデータ主体に発送される通知には、必須のセクションおよび監督当局を満足させるのに十分な詳細が含まれていなければなりません。そのため、事前に記入済みの声明を準備することは現実的ではありません。しかし、ITシステムおよび組織に関する必須情報を含む文書を準備することは可能です。各法律に対してインシデント対応ドキュメントのパックを用意することで、規制要件を期限内に満たすという課題はデータ収集とフォーム記入の一連の作業に簡素化されます。
おそらく、データ漏洩で罰金を科されるでしょう。インシデントのコンプライアンス面を整理しておくことで、不必要な罰金の増加を避けることができます。
上流および下流の責任
他の組織の名義でデータを処理する組織は、データプロセッサーとして知られています。それらと関わる組織はデータコントローラーです。データプロセッサーとデータコントローラーはデータに対して共同の責任を負っています。データプロセッサーに違反があった場合、現代のデータ保護法は両者に責任があると見なします。データコントローラーはデータプロセッサーを選択し、データプロセッサーが違反を犯しました。
両当事者は罰金を受ける可能性があり、データ主体は両方を訴えることができます。もしデータ処理者が、侵害の理由がデータ管理者の何らかの見落としや過失によるものであると言った場合、彼らはデータ管理者を訴えることができます。
すべてのデータ処理業者との間にデータ処理契約を締結することが重要です。また、もしあなたがデータ処理業者であるなら、あなたが従うべきデータ処理契約の条件が不当に金銭的に厳しくないことを確認してください。
予防は治療に勝る
しかし、最悪の事態が発生した場合、準備は混乱よりも優れています。内部の技術チーム、外部の専門家の支援、コンプライアンスおよび法務チームを統括する全体的なゲームプランを持つことで、データ侵害に対処する際、財務的影響を軽減する手助けとなるでしょう。