★☆★JNSAメールマガジン　第229号　2022.1.28☆★☆

こんにちは
JNSAメールマガジン　第229号　をお届けします。

メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン　https://www.jnsa.org/aboutus/ml.html#passed

コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。


今回のメールマガジンは
ミュンヘン再保険会社 趙様、小谷様にご寄稿いただきました。

【連載リレーコラム】
サイバー保険の視点から見たランサムウェア事故

趙方明, シニアサイバーアンダーライター, ミュンヘン再保険会社
小谷貴昭, アジアパシフィック地域クレームスペシャリスト, ミュンヘン再保険会社

全世界のランサムウェア攻撃に掛かる年間の損失の総額は2017年当時、約50億
ドルといわれていましたが、2021年には200億ドルに達すると見込まれており、
問題の重大性が増していることは明らかです＊1。2019年頃から、ランサムウ
ェア攻撃に起因した事故はサイバー保険の補償対象の事故として増え始め、そ
ういった事故や保険での補償が様々なメディアで報じられるようになりました。

リスク移転（保険）の観点から見ると、これらのランサムウェア攻撃に起因す
る被害・損害はサイバー保険の補償内容と重なり合う関係にあります。よく知
られているサイバー保険の補償項目としては事業中断補償、事故対応費用補償
そして第三者に対する賠償責任補償があります。サイバー事故は初動に時間が
かかるほど直接的にも間接的にも被害が拡大する可能性がありますが、事故に
よる様々な費用がサイバー保険で補償されることが決まっていれば、事故の調
査や復旧対応作業を躊躇なく迅速に開始することができ、被害の深刻化を防止
しながら、攻撃者に対する法的な措置や、当局の対応への協力なども適切に行
うことができます。
・事業中断損害に関する補償: サイバー攻撃に起因する被保険者の喪失利益
　(事故がなかったならば計上することができた利益)および収益減少防止費用
　(e.g. 収益の減少を防止・軽減するために生じた費用のうち通常要する費用
　を超える額)
・事故対応費用に関する補償: インシデント発生時の対応費用, フォレンジッ
　ク調査費用、被害者対応費用(コールセンター)、データ復旧費用, 当局調査、
　規制手続対応費用、法律専門家相談費用、広告対応費用など
・第三者の情報を漏えいしたことに起因する損害賠償責任
ところで、日本におけるサイバー保険は身代金を対象外にしていること＊2は
ご存じのことと思いますが、一部の国では保険による身代金の支払いも法的に
認められており、身代金の支払いも補償するサイバー保険もあります。ただし、
保険はいかなる形でも、犯罪行為を助長するものではないことをご理解ください。
OFAC(U.S. Department of the Treasury’s Office of Foreign Assets Control)
が制裁リスクの観点から議論しているように、”制裁に関連する身代金の
支払いは、米国の国家安全保障上の利益を脅かす可能性があり、また、保険
会社などが被害者に代わって身代金の支払いをする場合においても、OFACの
規制に違反する可能性がある”と警告しています＊3。

それでは、ここで欧米における実際のランサムウェア攻撃による「損害額」の
例として、３つの事例を紹介します。

まずは、従業員数約12,000人規模の製造業者に対するランサムウェア攻撃の
事例です。2021年5月、従業員がシステムの不具合を発見し、調べたところ、
複数のサーバーがランサムウェアに感染し、不具合が生じていることがわかり
ました。バックアップも攻撃され、機能不全となっていました。その後、犯人
グループからの、身代金3ビットコインを要求するメッセージが届き、被害を
受けた企業は犯人側との交渉のために外部業者を起用しました。外部業者が
犯人側との交渉を重ねた結果、当初の要求から約40％減額した金額を企業が
支払うことで、犯人側が暗号化されたデータの回復キーを提供するという内容
で合意しました。このように身代金を支払う可能性がある場合や犯人側との
交渉を行う場合は、こういった業務を専門の業者を起用することも一考に
値するといえます。このような事例では、交渉のために起用した業者のコスト、
身代金に加え、攻撃の経緯や影響を受けた範囲を特定するための調査費用、
データの回復費用等が発生しました。

次に紹介する事例は金融機関に対するランサムウェア攻撃の事例です。2021年
6月、被害を受けた企業は、犯人側が企業のネットワークに侵入し、サーバー
のあらゆる場所に、全てのデータを盗み出したことを告げるファイルが存在し
ていることを発見しました。また、犯人側は34ビットコインを要求するととも
に、もし、被害企業が要求に応じなかった場合、窃取したデータを公表または、
第三者に販売するとの脅迫を行いました。本件は、単に被害者のデータを暗号
化するだけではなく、データを窃取し、これを悪用して、被害者にさらなる身
代金支払いの圧力をかけるいわゆる「二重の脅迫」の事例です。データの窃取
という被害が加わったことで、上記の事例で述べたような費用の他、当局対応
や窃取された情報に関する第三者からの損害賠償請求に備えるための法的アド
バイスを仰ぐためのコストが発生します。また、場合によっては、メディア対
応等に要する費用や第三者への賠償金の支払いに発展する場合も想定されます。

最後に、2021年2月に発生した従業員3000名規模の物流企業に対するランサム
ウェア攻撃を紹介します。本件では、ハードウェア、ソフトウェアの両方に損
害が生じ、これらを復旧し、攻撃前の操業に戻すのに約6ヶ月もの期間を要し
た結果、5億円を超える利益喪失の損害が生じたほか、約6000万円の身代金の
支払い、約1億3000万円の復旧費用が発生しました。

本件に限らず、ランサムウェア攻撃の被害に合うと、身代金の支払い以外にも
利益の喪失や、復旧作業を含む各種対応に要するコストなど、多額のコストが
発生します。現在では、こういったコストの全部または一部を補償の対象とす
るサイバー保険が発売されており、サイバーセキュリティーの強化とともに、
サイバー保険を活用し、こういった出費に備えることも重要といえます。また、
サイバー保険を提供する保険会社は、保険金の支払いに加え、加入者が即座に
事故に対応し、被害を最小限に食い止めることができるよう、信頼できるイン
シデントレスポンス業者を紹介する等のサービスを提供している場合もありま
す。サイバー保険に加入することで、万が一の場合に、保険会社が持つこうい
ったサービスを利用できるようにしておくこともサイバー保険に加入するメリ
ットといえます。

ミュンヘン再保険は世界各地で、世界トップレベルのサービスプロバイダーと
緊密に連携しながら、様々な課題に取り組む130名以上の経験豊富なサイバー
専任の担当者を有しています。保険関連の情報を提供するAdvisen社による
「Cyber Reinsurer of the Year」賞を本年2021年を含め、5年連続で受賞し
ました。この受賞は大変光栄なことであり、私たちが今後もサイバー関連の課
題に取り組み続けることに皆様からご期待頂いているからこそと考えています。
弊社は信頼できるアドバイザーとして、クライアントの皆様、そしてあらゆる
ステークホルダーの皆様と協力し、サイバーレジリエントな世界を継続的に
構築してまいります。

＊1　The rising threat of ransomware. Asia Insurance Review, June 2021.
URL: https://www.asiainsurancereview.com/Magazine/ReadMagazineArticle?aid=44585
＊2　サイバー保険に関するQ&A　URL:
https://www.sonpo.or.jp/cyber-hoken/about/
＊3　Updated Advisory on Potential Sanctions Risks for Facilitating Ra
nsomware Payments, Department of the Treasury (September 21, 2021),
URL: https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf

＃連載リレーコラム、ここまで

＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。

＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
https://docs.google.com/forms/d/e/1FAIpQLSeG4doCP_Pu0kHVaJAwMjsMQNqCEceGLQULdBE7ABPEjmo7-A/viewform?entry.2051377352=%E7%AC%AC229%E5%8F%B7
※googleアンケートフォームを利用しています。

【事務局からのお知らせ】
★「Network Security Forum」NSF2022
2022年3月8日、9日、10日に開催決定！！プログラム発表お待ちください。
★JNSAソリューションガイドサービスの新カテゴリに対応しました。
・「緊急事態宣言解除後のセキュリティ・チェックリスト」対応ソシューション紹介
・「IPA 10大脅威」対応ソリューション紹介
★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。
お心当たりのある方は最寄りの警察署に御相談下さい！！
★リモートワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
　https://www.jnsa.org/telework_support/telework_security/index.html

☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
　sec@jnsa.org

☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡　<https://www.jnsa.org/aboutus/ml.html>

↓　以下、 JNSA会員企業からのご案内です
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
ステラサイバー、AIで未知の「脅威検知?脅威対処」を自動化
https://jp.stellarcyber.ai/
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
世界初のOpen XDRプラットフォームのイノベーター
360度攻撃対象領域全体を可視化、サイバー攻撃リスクを軽減
SOC生産性を劇的に改善
平均検出時間(MTTD)8倍、平均復旧時間(MTTR)20倍の改善を実現
世界中の企業SOCおよびMSP･MSSP会社から高い信頼を得ています
【ステラサイバー】
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
下記、製品評価キャンペーン実施中。ぜひご覧くださいませ。
https://jp.stellarcyber.ai/cybersecurity-risk-assessment-service-new/

==============================================================

++2022年3月開催 SANS Secure Japan 2022-Live Onlineのご案内++
　　　　+++ＮＲＩセキュアテクノロジーズ株式会社+++

本開催は2021年度最大のイベントとなり、クラウドセキュリティや
スマートフォンフォレンジックなど様々なコースをご用意しており
ます。また、SEC401、SEC504コースは日本語コース応援キャンペー
ン価格を設定しており、各コース開始日の24暦日前までにお申込み
をいただいた場合、割引価格でご参加いただけます。
※JNSA事務局様へのお申込み手続きは、別途期限がございます
更に、JNSA会員様は特別価格(定価の3%OFF)でのご提供となります。
◇お申込みはこちら
https://www.jnsa.org/member/cissp_sans_egg.html
◇詳細はこちら
https://www.sans-japan.jp/events/sans_secure_japan_2022

==============================================================

（一財）日本情報経済社会推進協会（ＪＩＰＤＥＣ）とフィッシン
グ対策協議会は、2月18日（金）（15時～17時15分）、無料ウェビナー
「S/MIME最前線「なりすましメール対策の現状と課題－S/MIMEを活用
したなりすまし対策事例紹介」を開催します。
送信者になりすました第三者からメールで送られたファイルを開いて
ウイルス感染した、実在企業からのお知らせメールと称して本物と見
分けがつきにくい偽サイトを開かせて個人情報を詐取される、フィッ
シング被害にあうといった、悪意のある第三者によるなりすましメー
ル被害は毎年増加しており、だれでも被害を受ける可能性があります。
本セミナーでは、巧妙化する標的型攻撃や詐欺被害事例、迷惑メール
と対策方法、なりすまし対策を可視化する手法の一つであるS/MIMEを
テーマにその活用状況や導入事例等をご紹介します。
▼詳細・お申込みはこちら（1月18日14時受付開始予定）
https://www.jipdec.or.jp/topics/event/20220218seminar.html?j01

==============================================================

JDSF2022新春オンラインセミナー2月10日（木）開催
「DXに最適！？スパコンのイロハとサイバーセキュリティ最前線
そして25周年を迎えるJDSF活動発表」
■プログラム
13:30～13:35　開会挨拶
13:35～14:15　特別講演1：量子暗号通信関連で調整中
14:15～14:55　特別講演2：量子コンピュータの真実
　　　　　　　～デモンストレーションで確認しよう！
14:55～15:55　JDSF会員企業セッション
16:10～17:10　基調講演：神戸大学大学院教授 森井昌克様
　　　　　　　「サプライチェーンサイバーセキュリティ」
17:10～18:10　JDSF各部会活動報告
18:10～18:15　閉会挨拶
■参加費：無料　■参加申込：https://forms.gle/YASQn9jzYfvsouQY7
■問合せ：JDSF事務局（info4@jdsf.gr.jpまたは03-3578-7230）

==============================================================

【無料Webセミナー】デジタルトランスフォーメーションの本質
　　　　　　　　　 ～クラウドシフトにおけるセキュリティ～

本セミナーでは、急速に進むDXの本質を再定義し「クラウドシフ
ト」を例にDXにおけるセキュリティ観点での落とし穴や特に注意
すべき課題に対する4つの対策ポイント”ID管理、情報管理、
設定管理、運用管理”についてご紹介します。
また、世界規模でのDXチャレンジとして「東京2020オリンピック・
パラリンピック競技大会」の振り返りもご紹介します。

会期：2022年2月1日（火）14:30～16:40
主催：日本電気株式会社（NEC)
対象：IT部門　システム企画、構築、運用管理に関わる立場の方
申込・詳細：https://jpn.nec.com/event/220201sec/?cid=tdcs_21221127_cs_jnsa
締切：2022年1月31日(月)　12:00まで

==============================================================

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
　　攻撃者視点で攻撃可能な領域を調査・報告する
　　　脅威インテリジェンスAttack Surface調査サービス
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
インターネット上にある公開情報をもとに、
攻撃者視点で攻撃可能な領域を調査・報告する
OSINTサービスリリースの裏側についてブログ記事を掲載！

サービスのオススメポイントに加えて、開発に至った背景や
どのような企業に利用を推奨するかなど、新サービスに込めた
アツい想いを開発チームリーダーに語ってもらいました。

⇒【記事】https://www.ubsecure.jp/blog/20211110
　　　
《株式会社ユービーセキュア》

==============================================================

■□■□■□■□■□■□■□■□■□■□■□■□■□■□■□
(ISC)2が発行するホワイトペーパー「クラウドセキュリティ
のスキルは、あなたのキャリアを高みへと導きます」のご案内

キャリアアップを望んでいませんか？

CCSP資格は、高度な資格、知識、経験を保持していることと、
あなたが経験豊富なクラウドセキュリティの専門家であること
を証明します。このホワイトペーパーでは、クラウドセキュリ
ティ専門家として最大のメリットを得るためには、どのような
スキルが必要かなどについて説明しています。

ダウンロード(無料)：https://ter.li/blv9j3
■□■□■□■□■□■□■□■□■□■□■□■□■□■□■□

==============================================================
*************************************
JNSAメールマガジン　第229号
発信日：2022年1月28日
発　行：JNSA事務局　sec@jnsa.org
*************************************