なぜ警報が鳴る前にランサムウェア・デシジョンツリーが重要なのか

ランサムウェアが襲来したとき、最初の数時間は混沌とする。システムはロックされ、従業員はファイルにアクセスできず、経営幹部は実際に何が壊れているのかを把握しようと奔走する。セキュリティ専門家のShafer-Pageによれば、最も効果的に対応する組織は、最大のセキュリティ予算を持つ組織ではない。事前に、どのように対応するかを正確に決めていた組織である。

これがランサムウェア・デシジョンツリーを構築する核となる考え方だ。つまり、特定の条件が満たされたときに、対応者が取るべき行動を指示する、構造化された事前合意済みのフレームワークである。危機の最中に戦略を議論する代わりに、チームは事前に描いた分岐をただ辿るだけでよい。単純に聞こえるが、ほとんどの組織はまだそれを持っておらず、だからこそ対応努力が被害を封じ込めるどころか拡大させてしまうことがあまりにも多いのだ。

データと運用に関する明確な閾値の設定

効果的なデシジョンツリーの第一の柱は、インシデントが発生する前に閾値を定義することである。これは、データ完全性への深刻な打撃とは何か、製造プロセスなどの運用継続性への支障とは何か、公開ウェブサイトなどの重要なデジタルサービスへの損害とは何かを、具体的な形で評価することを意味する。

事前にその明確さが確立されていなければ、インシデント対応者は状況が実際にどれほど深刻なのかをリアルタイムで推測するしかない。製造ラインの停止は、経営幹部への即時ブリーフィングとバックアップシステムへの切り替えを正当化するかもしれない。ウェブサイトの機能低下はそうではないかもしれない。しかし、その線引きがどこにあるか誰も合意していなければ、チームは過剰反応して不必要にシステムをオフラインにしたり、逆に過小反応して組織が深刻度を議論している間に攻撃者の足場がさらに広がるのを許したりする。Shafer-Pageの指摘は単純明快だ。この段階での曖昧さは対応を遅らせるだけでなく、結果を積極的に悪化させる。

ここはまた、組織が日常的に依存しているデジタルサービスについて考えるべき場面でもある。ウェブサイトの停止は書面上は軽微に見えても、ビジネスによっては評判と収益に不釣り合いな影響をもたらすことがある。インシデントの最中ではなく事前にこれらの依存関係をマッピングすることが、制御された対応と即興的な対応を分けるのである。

交渉権限と財務上の限界

デシジョンツリーの第二の焦点領域は交渉パラメータであり、これは間違いなく二つの中でより敏感な方である。恐喝要求には明確な権限の連鎖が必要だ。誰が攻撃者と交渉できるのか。誰が支払いを承認でき、それはいくらまでなのか。これらは、身代金要求書が目の前に置かれている最中に初めて答えるような質問ではない。

事前定義された財務上の限界を設定することは二つのことを達成する。一つは、経営陣が追い詰められたと感じるだけで、あるべき額をはるかに超える支払いに会社が同意してしまうような、パニック主導の決定を防ぐこと。もう一つは、交渉者（内部スタッフであれ外部コンサルタントであれ）に、交渉の最中に絶えず承認を求める必要のない確固たる権限を与えることである。攻撃者はそれを組織の混乱の兆候として悪用しかねない。

すべての組織が交渉を選ぶわけではないことは注目に値する。一部の主体は、何を要求され脅されようと支払わないという決定を、公に、かつ事前に行っている。ベルリン州政府は、攻撃者がデータオークションを開始する前からRhysidaランサムウェアグループとの交渉を拒否した。これは、圧力の下ではなく事前に決定されたからこそ機能する立場である。スペクトルの反対端では、最近の調査が、多くの人が想定するよりも支払いが依然として頻繁に行われていることを示している。ある研究では、オーストラリアとニュージーランドの企業の34%が依然としてランサムウェアの要求に応じていることが判明した。支払いがデータの復旧を確実に保証したり、将来の標的化を防いだりするわけではないという証拠が増えているにもかかわらず、である。

これがあなたにとって意味すること

ランサムウェアへの備えは、専任のセキュリティチームを持つ大企業だけの関心事ではない。中小企業、非営利団体、学校、地方自治体はすべて、まさに計画を欠きがちであるという理由から、頻繁に標的にされている。あなたの組織が機密データを扱っているなら、ランサムウェア・デシジョンツリーの基本的なバージョンでさえ、つまり誰が何をどの閾値で決定するかを記した短い文書が、対応時間を劇的に短縮し、高くつく誤りの可能性を減らすことができる。

個人にとっての要点はより間接的だが、それでも関連している。ランサムウェアにうまく対応する組織は、あなたの個人データがどれだけ露出または漏洩するかを抑える傾向がある。この種の計画が存在することを理解し、あなたが依存している企業や機関がそれを持っているかどうかを尋ねることは、消費者または顧客として提起するのが妥当な問いである。

実行可能な要点

  • データ完全性、運用、公開サービスへの重大な影響とは何かを事前に定義すること。アクティブなインシデントが起きるまで決めるのを待ってはならない。
  • 誰が攻撃者と交渉できるかの明確な権限を確立し、身代金要求が届く前に確固たる財務上の限界を設定すること。
  • 支払いを拒否した組織と支払った組織の両方の実例を検討し、それぞれの道筋に伴うトレードオフを理解すること。
  • ランサムウェアへの備えを一度きりの文書ではなく継続的な取り組みとして扱い、組織のシステムと依存関係が変化するにつれて閾値を見直すこと。