Overview
サイバーレジリエンス（Cyber Resilience）とは、サイバー攻撃やシステム障害が発生した場合でも、組織が重要な業務機能を維持し、迅速に回復し、そこから学習して適応する能力を指します。従来のサイバーセキュリティが「攻撃を防ぐ」ことに焦点を当てるのに対し、サイバーレジリエンスは「攻撃は必ず起こる」という前提に立ち、被害を最小限に抑えて事業を継続する能力を重視します。
NIST SP 800-160 Vol.2では、サイバーレジリエンスを4つの柱で定義しています：予測（Anticipate）、耐久（Withstand）、回復（Recover）、適応（Adapt）。これらの能力を組み合わせることで、未知の脅威や予期しないインシデントに対しても組織が機能し続けることを目指します。
近年のランサムウェア攻撃の激増やサプライチェーン攻撃の高度化を受け、サイバーレジリエンスは経営レベルの重要課題として認識されるようになっています。EU のサイバーレジリエンス法（CRA）や各国の規制により、製品・サービスのセキュリティにレジリエンスの概念が組み込まれつつあり、企業は防御だけでなく回復力の証明も求められる時代に入っています。
Details
予測（Anticipate）
予測は、将来の脅威を事前に識別し、備える能力です。脅威インテリジェンスの活用、レッドチーム演習、攻撃シミュレーションを通じて、組織が直面する可能性のある脅威シナリオを洗い出します。
具体的には、脅威モデリングによる攻撃経路の分析、サイバー脅威インテリジェンス（CTI）による攻撃トレンドの把握、業界特有の脅威への備え、そしてシナリオベースの訓練計画の策定が含まれます。
耐久（Withstand）
耐久は、攻撃を受けた際に重要機能を維持する能力です。冗長性の確保、フェイルセーフ設計、マイクロセグメンテーションによる被害範囲の限定、そしてグレースフルデグラデーション（段階的な機能縮退）の実装が重要な要素です。
耐久力を高めるためには、単一障害点（Single Point of Failure）の排除、重要システムのアクティブ-アクティブ構成、データの地理的分散保存、そしてオフラインバックアップの確保が不可欠です。
回復（Recover）
回復は、インシデント発生後に通常業務を迅速に復旧する能力です。RTO（Recovery Time Objective：目標復旧時間）とRPO（Recovery Point Objective：目標復旧時点）を定義し、それを達成するための技術的・組織的な準備を行います。
ランサムウェア対策としては、イミュータブル（不変）バックアップの採用、エアギャップバックアップ、定期的な復旧テストが重要です。「バックアップは取っていたが復旧できなかった」という事態を防ぐため、実際のリストアテストを定期的に実施することが不可欠です。
適応（Adapt）
適応は、過去のインシデントから学習し、セキュリティ態勢を継続的に改善する能力です。ポストインシデントレビュー（PIR）やLessons Learned セッションを通じて、何が起きたか、なぜ起きたか、どう改善するかを分析します。
適応力の高い組織は、インシデント対応プロセス、検知ルール、防御態勢を継続的に更新し、同じ攻撃に二度やられない体制を構築します。カオスエンジニアリングの手法を応用した定期的な障害注入テストも、適応力の向上に効果的です。
事業継続（BCP/DR）との統合
サイバーレジリエンスは、既存のBCP（事業継続計画）やDR（災害復旧）と密接に統合される必要があります。従来のBCPは自然災害やインフラ障害を想定していましたが、サイバー攻撃は同時に複数のシステムに影響を与え、バックアップ自体が攻撃対象になるという特殊性があります。サイバーインシデント固有のシナリオをBCPに組み込み、定期的な訓練で実効性を検証することが重要です。
Security Measures
- 01サイバーレジリエンスフレームワークの採用：NIST SP 800-160 Vol.2 やMITRE Cyber Resiliency Engineering Frameworkなどの標準フレームワークを採用し、組織のサイバーレジリエンス戦略を体系的に構築してください。
- 02イミュータブルバックアップの実装：ランサムウェアによる暗号化や削除を防ぐため、書き換え不可能なイミュータブルバックアップを導入してください。エアギャップバックアップとの組み合わせが推奨されます。定期的なリストアテストも必須です。
- 03サイバーインシデント対応訓練の定期実施：テーブルトップ演習やシミュレーション訓練を四半期ごとに実施し、経営層を含む関係者の対応力を維持・向上させてください。ランサムウェア、データ侵害、サプライチェーン攻撃など多様なシナリオで訓練しましょう。
- 04冗長性とフェイルオーバーの確保：重要なシステムやデータの冗長性を確保し、障害時の自動フェイルオーバー機能を実装してください。地理的に分散されたデータセンターやマルチクラウド構成が推奨されます。
- 05サプライチェーンレジリエンスの構築：主要サプライヤーのセキュリティ態勢を定期的に評価し、重要なサプライヤーの障害時の代替手段を事前に確保してください。SBOMの管理とサードパーティリスクの継続的なモニタリングが重要です。
- 06ポストインシデントレビューの制度化：すべてのセキュリティインシデント後にPIR（ポストインシデントレビュー）を実施し、根本原因の分析、改善策の特定、対策の実行を制度化してください。ノーブレイム文化のもとで率直な振り返りを行うことが重要です。
Incidents
📋 Maersk社のNotPetyaランサムウェア被害と復旧（2017年）
2017年、世界最大の海運企業Maerskが NotPetyaランサムウェアの被害を受け、約4万台のPC、数千台のサーバー、49,000台のラップトップが影響を受けました。全世界76の港湾ターミナルの運営が停止し、推定被害額は2億5,000万〜3億ドルに達しました。
Maersk は10日間で主要な IT インフラを再構築するという驚異的な回復力を示しました。ガーナ支社の停電により偶然オフラインだったサーバーからActive Directoryのバックアップを回復できたことが復旧の鍵となりました。この事件は、サイバーレジリエンスにおけるオフラインバックアップの重要性を世界に知らしめる事例となりました。
📋 Colonial Pipeline事件とレジリエンスの欠如（2021年）
2021年5月、米国最大の燃料パイプライン企業Colonial Pipelineがランサムウェア攻撃を受け、東海岸への燃料供給が約1週間停止する事態となりました。ITシステムの侵害がOT（制御システム）に波及するリスクを懸念して、予防的にパイプラインの運用を停止する判断がなされました。
同社は約440万ドルの身代金を支払いましたが、提供された復号ツールの処理速度が遅く、結局はバックアップからの復旧が中心となりました。この事件は、IT/OTの分離設計の重要性、バックアップからの迅速な復旧能力の確保、そしてインシデント対応計画の事前準備の必要性を浮き彫りにしました。
📋 大阪急性期・総合医療センターのランサムウェア被害（2022年）
2022年10月、大阪急性期・総合医療センターがランサムウェア攻撃を受け、電子カルテシステムが約2ヶ月間使用不能となりました。攻撃は給食業者のVPN機器の脆弱性を経由したサプライチェーン攻撃でした。
病院は紙カルテでの診療を余儀なくされ、救急患者の受け入れ制限や手術の延期が発生しました。復旧には約2ヶ月を要し、被害総額は数十億円規模と推定されています。この事件は、医療機関におけるサイバーレジリエンスの重要性と、サプライチェーンを通じた攻撃リスクを明確に示した国内の代表的事例です。