ランサムウェアと米国サイバーセキュリティ強化法

サイバー脅威が深刻化・頻発化する中、米国議会は、重要インフラを悪意のある行為から保護するためのさまざまな立法措置を検討してきました。ウクライナ戦争によってサイバー脅威への懸念がさらに高まったことで、上院は米国サイバーセキュリティ強化法（SACA）を可決しました。この法案には、2022年3月15日に大統領による署名のもと発効された法律「米国重要インフラ向けサイバーインシデント報告法（CIRCIA）2022」が含まれています。この法律はサイバー攻撃に関するものですが、特にランサムウェアがもたらすリスクに対処するために制定されたという見方もできます。本ブログでは、ランサムウェアの軽減が企業のSACA遵守に与える影響についてご説明します。

サイバーセキュリティインシデントに関するSACAの報告要件

この法律では、エネルギーの電力網・ダム・廃水処理施設などを含む16種類の重要なインフラを運営するいわゆる「対象事業体」に対し、サイバーインシデントの発生後72時間以内に米国サイバーセキュリティ・社会基盤安全保障庁（CISA）に報告することが義務付けられています。この規則が定められた根拠は明白で、インシデントの存在を認知しなければCISAが対応できないためです。また、直面している脅威について業界内の組織同士で理解する必要もあります。情報開示が迅速に行われることで効果的な対応につながります。

SACAは内容に関する議論期間が設けられていますが、最終的な方針が固まるのはおそらく2年ほど先になるでしょう。現時点では、72時間前までに報告することが義務付けられており、今後もこのルールが維持される可能性が高いと思われます。しかし、72時間では長すぎます。脆弱性は公開から数時間でハッカーやボットネットによって悪用されるため、最終的な方針が設定される前に報告義務の時間が短縮されることを願います。

SACAに基づく報告基準

SACAでは主に2つの報告トリガーが指定されています。対象となる事業体は、規則制定プロセスの詳細に従って、以下の内容を報告する必要があります。

「（i）当該情報システムまたはネットワークの機密性・完全性・可用性の損失につながる、または運用システムおよびプロセスの安全性と回復力に重大な影響を及ぼすサイバーインシデント」

または、「(ii)サービス拒否攻撃、ランサムウェア攻撃、または情報システムや運用技術システムに対するゼロデイ脆弱性の悪用などによる、事業運営の中断」

法律事務所BakerHostetlerのレポートによると、この法律では対象となる事業体に対し、「クラウドサービスプロバイダー、マネージドサービスプロバイダー、その他のサードパーティデータホスティングプロバイダーの侵害、またはサプライチェーンの侵害によって促進された、またはそれによって引き起こされたサービス損失による不正アクセスまたは事業運営の中断」を報告することも義務付けられています。

特にランサムウェアを意識して作られた法律

SACAは、システムの機密性・完全性・可用性の損失につながるあらゆる脅威を対象としています。実際のところ、深刻化・蔓延化ているサイバー脅威であるランサムウェアのほとんどすべてがこの法律の対象となっています。ランサムウェア攻撃は事業運営を混乱させる可能性もあります。これらの事実を認識したうえで、この法律の起草者はランサムウェアについて言及し、対象となる事業は身代金を支払ったか、もしくは支払う予定があるかを、インシデント対応の詳細とともに開示しなければならないと規定しています。

さらに、ランサムウェアの問題は攻撃の潜在的な深さにも関係しています。マルウェアはデータを暗号化して身代金を要求しますが、ランサムウェア攻撃はそれよりもさらに破壊的かつ陰湿です。まず、多くの場合においてデータの流出が伴います。さらに、ほとんどの場合、ステルスマルウェアがインフラの奥深くに埋め込まれ、しばらく経ってから有効化されます。これにより、対象事業が重大なリスクにさらされる恐れがあるため、この新法で攻撃の報告を義務付けることは非常に理にかなっていると言えます。

この現状を踏まえたうえで私が問題視しているのは、ランサムウェア攻撃の標的となる企業がこの法律をどのように解釈するかということです。SACAでは、インシデントによって企業の情報システム、ネットワーク、運用システム、プロセスに「重大な影響」が与えられた場合に報告義務を課しています。しかし、一体誰が、何をもって「重大な影響」であるかどうかを判断するのでしょう。たとえば、ある企業がイミュータブルバックアップを使用してハッカーからのアクセスを防ぎ、ランサムウェア攻撃による潜在的な損害を軽減した場合でも、CISAに攻撃を通知する必要があるのでしょうか。この法律は、損害やサービスの中断がない場合において不明瞭な点があります。しかし、SACAが重視しているのは透明性であることは明らかです。ランサムウェアやサイバー攻撃を受けた結果がどうなるかに関わらず、インシデントの報告はすべての人に役立ちます。

ランサムウェア攻撃の影響を軽減する方法

ここまで、ランサムウェア攻撃から正常に復旧するための手順について詳しくご説明してきました。堅牢な3-2-1バックアップ戦略によってバックアップコピーの少なくとも1部をイミュータブルストレージに保存することで、システムの消去やソフトウェアの再インストール、身代金の支払いなどを避け、操作の中断を最小限に抑えながら安全なデータをアップロードすることができます。

もちろん、実際はそんなに単純ではないため、組織ごとに適したバックアップ戦略を考える必要があります。その戦略には、完全バックアップや増分バックアップを実行する頻度、定期的にバックアップをテストおよび検証するための計画なども含まれます。これまでの一般的な頻度は少なくとも年に1度といったところでしたが、サイバーセキュリティ攻撃を受けるリスクを考慮し、現在では多くの組織が四半期に1度または月に1度バックアップをテストしています。

最後に、すべてのクラウドストレージサービスが同じように作成されているわけではないことにご注意ください。多くのクラウドストレージ層の場合、テラバイトあたりのコストが比較的低くても、バックアップデータが急速に増加する可能性があります。データの増加だけでなく、APIリクエスト料金（バックアップをテストする場合など）や下り転送料（サイバー攻撃が発生した場合にデータを復元する場合など）といった隠れたコストが発生し、ストレージ予算が思いがけず急激に跳ね上がる恐れがあります。そのため、データの保存先を選ぶ際は、下り転送料やAPIリクエスト料が請求されないかどうかを確認しましょう。

ランサムウェア対策を真剣に考える

新法の最終的かつ恒久的な規則が決まるまでには、まだしばらく時間がかかると思われます。しかし、この法律の方向性は非常に明確であり、重要なインフラに影響を及ぼすインシデントを迅速に報告することが政府から期待されています。この期待は、すべての企業に拡大する可能性があります。そのため、ランサムウェア対策に真剣に取り組むべき時期が来たことを示すシグナルとしてこの法律を捉えるべきです。