Jomarc Angelo M. Corpuz、特集・コンテンツライター

現代における危機は、過去数十年にわたり主流だった自然災害、経済的ショック、社会的動揺、軍事紛争とは大きく異なる領域で展開されるようになっている。インターネットが世紀の変わり目に世界の商取引を変革して以来、サイバー空間は政府、機関、民間企業が活動を行う舞台となった。そして同時に、攻撃が数分以内に業務を侵害し、公衆の信頼を損なう可能性のある領域でもある。フィリピンでは、銀行、小売、政府サービスの全域でデジタル導入が急速に進んでおり、この変化の影響を免れることはできず、サイバーインシデントのガバナンスはますます取締役会レベルの懸念事項となっている。

こうした背景の中、サイバーセキュリティは強力なリーダーシップ、明確に定義されたガバナンス、調整された意思決定を必要としており、それが情報技術部門の専権事項であるという長年の前提から脱却しつつある。この観点は、米国国立標準技術研究所（NIST）サイバーセキュリティフレームワークやゼロトラストモデルなど、世界的に認知されたフレームワークと一致しており、いずれも予防と並んで回復力と対応を重視している。

これらのテーマは、BusinessWorld Cybersecurity Summit 2026の第2回パネルディスカッションにおいて中心的な話題となった。「サイバー攻撃発生時における危機管理指揮官」と題されたこのセッションで、JG Summit Holdings, Inc.（食品、不動産、銀行、航空を展開するフィリピン最大級のコングロマリット）、GCash（同国で支配的なモバイルウォレットプラットフォームで、日々数百万件の取引を処理）、GT Capital Holdings, Inc.（主要な多様化コングロマリット）、Information Security Officers Group（ISOG、フィリピンのサイバーセキュリティ専門家による業界団体）、Accenture（グローバルプロフェッショナルサービス企業）のサイバーセキュリティおよびリスク責任者が、組織の準備体制強化とサイバー危機の克服に向けた戦略を共有した。

侵害の不可避性を前提とする

JG Summit HoldingsのチーフインフォメーションセキュリティオフィサーであるDennis Matthew F. Opiso氏は、組織に対し不快な現実に向き合うよう促した。セキュリティシステムがどれほど高度になっても、サイバーインシデントは不可避であるということだ。真の準備の尺度は、組織がすべての攻撃を阻止できるかどうかではなく、攻撃が成功した際にいかに効果的に対応できるかにあると同氏は主張した。

「このパネル全体で最も有用な一文は、侵害を可能性ではなく不可避性として前提するということです」と彼は述べた。「大多数の組織はその一文にうなずくものの、その後も予防がすべてであるかのように予算編成、計画、組織化を続けています。私たちが信じていると言うことと、実際に準備していることの乖離こそが、インシデントが災害に変わる隙間なのです」

JG Summitの多様な事業セクターを保護する経験に基づき、Opiso氏は、業界によって業務妨害の定義が異なることを指摘した。ある事業での一時的な停止は許容範囲内かもしれないが、別の事業では重要業務を完全に停止させる可能性がある。すべての企業は遅かれ早かれ独自の「最悪の日」に直面すると述べ、インシデント対応の中心にリーダーシップを置く、より広い危機管理の概念を提唱した。

「危機指揮はリーダーシップの規範であり、技術的なものではありません。インシデント中の指揮官の仕事はログを読むことではありません」とOpiso氏は述べた。「不完全な情報の中で意思決定を行い、対応を事業継続と整合させ、人々が仕事をこなせるよう冷静さを保つことなのです」

また同氏は、インシデント対応プレイブックを定期的にリハーサルし、危機時に指揮を執る者をあらかじめ指名し、通信、法務、運用、技術の各チームが侵害発生時にそれぞれの責任を理解していることを確認するよう組織に助言した。

明確に定義された計画と権限

その基盤の上に、Accenture Advanced Technology Centers in the PhilippinesのマネージングディレクターであるMafi Caringal氏は、インシデント発生時に衝動的に反応するのではなく、すでに策定した計画を信頼すべきだと強調した。

「第一に、計画を発動してください。コマンドを開始する必要があるからです。何をすべきかを正しく理解している人々が確実にそこにいるようにしてください。第二に、スコーピングです。初期分析を行ってください。脅威ハンティングをしてすべてを解決しようとしないでください。まずインシデントの範囲を特定してください。その後、通知をトリガーしてください。計画やランブックにすべて定義されていますから。法的特権を含む、必要な通知をトリガーしてください」と彼女は説明した。

法的通知への強調は、フィリピンデータプライバシー法2012年（Republic Act No. 10173）に基づく義務を反映している。同法は、個人データ侵害の発見から72時間以内に国家プライバシー委員会（National Privacy Commission）に通知することを組織に義務付けている。金融機関については、フィリピン中央銀行（Bangko Sentral ng Pilipinas、BSP）が情報技術リスク管理およびサイバーセキュリティガイドラインの下で追加的な報告義務を課しており、対応プロセスの早期段階から法務の関与が必要であることを裏付けている。

同様に重要だとCaringal氏が述べたのは、リーダーシップの曖昧さを排除することである。サイバーインシデントは強烈なプレッシャーの下で予測不可能な時刻に展開するため、効果的な対応には明確に定義された権限が不可欠である。

「誰がその指揮官であるかを明確にしておかなければなりません。攻撃が発生した際、誰もが誰か別の人が責任者だと思い込むか、あるいは単に指揮官が多すぎるかのどちらかだからです。これは非常に高いストレス状況です」と彼女は強調した。

Opiso氏もこの見解に同意し、指名される指揮官は組織の構造によって異なり得ると指摘した。企業によってはチーフインフォメーションセキュリティオフィサーである場合もあれば、チーフインフォメーションオフィサー、チーフファイナンシャルオフィサー、または他の上級幹部である場合もある。最終的に重要なのは、その決定がインシデント発生前に確定されていることだと同氏は強調した。

デジタル証拠の保全

パネリストはまた、危機対応の技術的側面にも言及した。Caringal氏は、業務をできるだけ早く復旧させるためだけに、侵害されたファイルを性急に削除したり、影響を受けたシステムをシャットダウンしたりすることに警鐘を鳴らした。

「技術的な観点から言うと、証拠を保全しないことは重大な過ちです。特に、後でインシデントを解決し、再発を防止し、計画とゼロトラストアーキテクチャを強化したい場合には。その証拠が必要です。人々はすぐに『削除しろ』とか『シャットダウンしろ』と言うことがありますが、技術的観点からその情報は必要なのです」と彼女は述べた。

Information Security Officers Group（ISOG）の会長兼創設メンバーであるEngr. Luis A. Jacinto氏はこの点を補強し、インシデントの初期数時間に行われた善意の行動が、その後の調査を著しく複雑化させる可能性があると警告した。

「デバイスをワイプすれば、すべてのフォレンジックデータを失うことになります。それはあなたがやり得る最悪のことの一つです」と彼は述べた。

Jacinto氏は、侵害されたシステムを直ちに電源オフにするのではなく、ネットワークから隔離しつつ、調査員が後に攻撃者の侵入経路を特定し、同様の侵入の再発を防ぐために使用できる証拠を保全することを推奨した。保全された証拠は、侵害後の保険請求、規制当局の照会、および潜在的な法的手続きにおいても重要となり得る。

Jacinto氏はまた、危機対応における組織全体のアプローチの必要性を提唱し、経営幹部、技術チーム、ガバナンス責任者、法務顧問、企業広報、および運営責任者の間の調整が必要だと述べた。それでもなお、説明責任は組織の最高階層に集中させておくべきだと主張した。

「CEOが最終的に責任を負い、CEOが最終的に説明責任を負います」とJacinto氏は述べた。「ただし、CEOは責任を委任することはできても、説明責任を委任することはできません」

理解してから伝達する

パネルはさらに、技術的準備には規律あるコミュニケーションが伴わなければならないと強調した。特に、検証された情報が依然として限られているインシデント発生後の最初の数時間においては。

GT Capital HoldingsのチーフインフォメーションセキュリティオフィサーであるMar Apuhin氏は、社内外問わずコミュニケーションを取る前に、まず状況の全体像を把握することが最優先されるべきだと強調した。

「これは非常に高いストレス状況です。GT Capitalの場合、デフォルトはCISOです。それに疑いの余地はありません。ですから、主な目標はおそらく、チーム、リーダーシップチーム、[経営委員会]を招集して正確な情報を得ること、そしてインシデント対応を起動することです。第三者にアウトソーシングしている場合は、彼らを忘れないでください。彼らが検証済み情報の源泉になります。そして、推測はしません」と彼は述べた。

Apuhin氏はこのアプローチをさらに展開し、組織は危機コミュニケーション委員会やインシデント対応チームを招集する前に、まずインシデントの範囲と潜在的な影響を評価すべきだと述べた。リーダーシップが集結したら、次のステップは、技術チームが調査を続ける間に、ビジネス上の意思決定を監督する上級幹部に問題をエスカレートすることである。

サイバーインシデントは急速に、限られた情報で展開することが多いため、彼は組織に対し、知っていることを透明にしつつ、情報の空白を推測で埋める誘惑に抵抗するよう奨励した。

「影響範囲を評価してください。何が起きているかを。ただし理解してください。最初の1時間は、まだ情報がほとんどありません。私たちが何をしているかを評価してください。率直に。現時点で私が知っているのはこれだけです、そして私たちがしていることはこれです。そして次にすることはこれだ、と」と彼は述べた。

「最大の過ちは、事実が検証される前にコミュニケーションを取ることです。私たちは推測しているのです。第二に、それが誤報や信頼性の問題を生み出すことになります」とApuhin氏は付け加えた。

Jacinto氏も同様の見解を共有し、サイバー危機中のコミュニケーションは、情報が確認されるまで慎重に管理されるべきだと主張した。ステークホルダーは適時の更新情報を受けるに値するが、組織は混乱や不必要な不安を引き起こす可能性のある不完全または不正確な情報の公開を避けなければならない。

「すぐに公開すべきでない特定の情報があります。公開しないと言っているのではなく、まだ確認されていないため公開すべきでないということです」と彼は述べた。

情報が脅威自体と同じくらい迅速に伝わるサイバー空間において、リーダーシップ、準備、そして調整された意思決定こそが、不可避な侵害に対する組織の最強の防御となり得る。