海外ビジネスで備えるべきサイバーセキュリティとは？

サイバー攻撃は初動が非常に重要です。事態の察知から解決アクションに移行する速度を少しでも上げるために、各海外事業所においてもサイバーリスクの担当責任者を任命しておくことをお勧めいたします。担当責任者は、最低限の情報システムの知識を有し、経営陣との距離が近い人材が好ましいと考えます。

サイバーインシデント発生時、担当責任者が初動で取るべきアクションは大きく分けて2つ挙げられます。

ひとつは、社内外への情報連携です。サイバーインシデントの発生時は、経営者または担当役員に速やかに状況を報告して具体的な解決策に向けた戦略を策定・実行するとともに、社員に対しても当面の言動に関する規律を発布し、2次3次的な情報漏洩等を防止する必要があります。また、取引先やサプライチェーンへの進捗報告や、被害の規模に応じて他のステークホルダーへの情報開示も想定しておくことが望ましいです。

もうひとつは、外部専門機関との連携です。一刻も早い解決へ向けて、速やかに現地の外部専門機関を選任し、連携して対応を進める必要があります。海外では外部専門機関に関する情報収集に時間がかかる場合もあるため、役割に応じた複数の現地の専門機関を予め調べておくことをお勧めいたします。

サイバーリスクの担当責任者は、エスカレーションフローを事前に準備しておくとともに、平時から担当責任者として取引先と顔合わせをし、サイバー攻撃に対する自社の考え方や取り組み方針を共有しておくことが、もしもの時の円滑な初動対応につながります。

サイバーインシデントに関する専門的な知識や経験を有したコンサルティング会社に、ステークホルダー対応、消費者対応、行政対応など、解決までに必要な各アクションについてサポートを仰ぎます。

サイバーインシデントの原因究明や復旧等をフォレンジック調査機関に依頼します。

現地の法律に基づいた法的なアドバイスを受けるために現地の弁護士を起用します。

例えば、個人情報保護法にあたる各国の法律は様々で、サイバー攻撃によりステークホルダーが被るリスクに対応するために、弁護士へ依頼するケースが多く見られます。EUのGDPR（日本の個人情報保護法に相当）は日本と比較してアップデートが早く、法規制に従いながら事故解決へ向かうためには、法律家との連携が必須です。