野村総合研究所とNRIセキュア、サイバー攻撃への対応力強化を経営とセキュリティの両面から支援する「サイバーレジリエンス経営支援」

　株式会社野村総合研究所（以下、NRI）とNRIセキュアテクノロジーズ株式会社（以下、NRIセキュア）は22日、「サイバーレジリエンス経営支援」を提供開始した。

　同サービスは、AI駆動型サイバー攻撃への対応力を強化したい企業・組織のうち、特にEC・デジタル事業者、グローバル製造業や金融機関を含む重要インフラ事業者などを主な対象とする。外部に提供しているサービスや社内のシステムが停止した場合の事業に与える影響を定量・定性の両面から分析した上で、対策として行う能動的な停止・再開の判断基準を平時のうちに定め、有事の際の迅速かつ正確な経営判断を支援する。経営コンサルタントとセキュリティの専門家による合同チームが、経営層の意思決定に必要な根拠の可視化とプロセスの整備にあたる。

　サービスでは、NRIの経営コンサルタントとシステムエンジニア、NRIセキュアのセキュリティ専門家が合同チームを組み、経営・セキュリティ・システムの3領域について、短期・中期・長期のそれぞれの視点で必要な対応力の強化を目指した包括的な支援メニューを提供する。

　特に短期では、約2～3カ月の期間で、現状把握から経営合意までを4つのステップで進める。ゴールは、AI駆動型サイバー攻撃への対応の必要性と方針について、経営陣の合意を形成し、能動的なシステム停止を含めた経営判断の基準と意思決定プロセスを整備することとなる。停止判断を経営レベルで事前に定めることで、被害の拡大・長期化や社会への波及と、不要な停止による機能低下を抑える。サービスではこの両立を目指す。

　短期での対応後は、パッチ適用プロセスの再構築、AIを活用したセキュリティ診断、セキュリティ運用の自動化、AI利用状況の可視化などを、中長期の取り組みとして継続的に支援する。

　技術中心のセキュリティコンサルティングサービスと比べて、サービスは経営トップも対象にしている。CEO、CISO（情報セキュリティ担当役員）、CIO（情報システム担当役員）、CFO（最高財務責任者）、IR担当、法務担当、事業担当役員で構成する推進委員会を設置し、個別ヒアリングで認識の違いを可視化した上で、対応方針の合意形成を支援する。「脆弱性対応の優先順位」「対応を保留する場合の暫定策、承認者、見直し期限」「外部提供サービスや社内システムを停止・再開する判断者と基準」の3点を平時のうちに確定することを目指す。

　さらに、システム停止によって生じる影響を、インシデント対応費用、停止に伴う臨時支出、契約不履行による違約金・損害賠償、顧客への補償、収益機会の損失、行政処分・制裁金、ユーザー離反、株価への影響などの類型に分けて試算する。合わせて、金額に換算しにくい社会的影響、顧客・取引先との信頼関係、ブランドへの影響といった定性的な事業影響リスクも整理する。どのシステム・サービスの停止がどの事業にどれだけの影響を与えるかを整理し、定量・定性の両面の根拠に基づく経営判断を可能にする。

　また、AI駆動型サイバー攻撃の対応力を上げるには、経営・セキュリティ・システムの3つの専門性が必要だとして、NRIグループはこの3領域全てで高い専門性を有しているため、経営とセキュリティの現状を並行して診断し、中長期的なシステム対応力の強化を図れるとしている。経営の意思決定体制、機器・パッチ適用状況などのセキュリティ、システム構成・アーキテクチャの課題を一度に洗い出し、相互の関係を踏まえた対応方針の策定から実装までを一貫して支援する。