地震、台風、豪雨といった大規模災害が発生した場合、「命を守ること」が最優先されるのは当然のことです。企業においては、平行して「事業を継続」するために自社の情報資産を守る（可能な限り継続させる、または復旧させる）ことも重要ですが、非常時は、平時とは異なる環境下での対応が強いられるため、セキュリティがぜい弱になりかねません。
免責事項：本記事は一般的な情報提供を目的としており、特定の事案に対する助言を行うものではありません。実務対応の際は専門家へのご相談、またはIPAなどが公表する最新の情報をご確認ください。
災害時はセキュリティリスクが高くなる？
災害時は、例えば以下のような状況が同時に起こり、技術的な防御が弱まると同時に、人間の判断力も低下しやすいという「二重の弱点」が生じる可能性があります。
在宅勤務・避難先から業務対応をする、普段は業務に使用しない端末やネットワークを使うなど、平時とは異なる環境で業務を行う必要に迫られ、自社のセキュリティポリシーや手順が機能しなくなることがあります。
担当者や管理者が被災し、通常の承認フローやセキュリティチェックが機能しなくなることがあります。また、通常とは異なる作業者が対応する場合、操作ミスなどが生じやすくなります。
サーバーやクラウド、ネットワークを使った外部サービス、それらのための認証などが機能しなくなる可能性があります。
SNSなどで拡散される偽情報に影響され、正常な判断ができなくなる可能性があります。また、災害による混乱に便乗した攻撃（支援を装った偽サイトへの誘導、なりすましメールなど）に騙される可能性もあります。
自宅や家族が被害にあった場合や、大型地震の連発などの不安から、正常な判断ができなくなったり、正確な操作ができなくなったりすることがあります。
このようにセキュリティリスクが高くなり、しかも、できることが限られる状況でも、自社の情報資産を守るためには「平時からの備え」がとても重要になります。
以下に「技術的」「人的」「組織的」「物理的」な対策の例をいくつかまとめてみました（あくまでも一例です。自社にあった対策を選定して実施してください）。
技術的対策
- データのバックアップと分散保管
重要データは社内だけでなく、クラウドや遠隔地にも保管し、通信障害に備えてネットワークを使わなくてもバックアップデータを利用できるようにしておくとよいです。復元できるかを定期的に確認することも重要です。
- アクセス経路の多重化
自宅や代替拠点から安全にデータを利用できるように、VPNやクラウド型グループウェアなどの仕組みを平時から整備しておきましょう。また、テザリング機能や自動で他社回線が利用できる制度に対応したスマートフォンを導入しておくことも有効です。
- 多要素認証（MFA）と「認証手段が使えなくなるリスク」への備え
会社支給のスマートフォンを認証端末にしている場合、その端末が破損・電池切れ・紛失すると「本人でも認証できない」事態になりかねません。認証アプリを複数端末に登録する、複数の認証手段を用意しておくなども備えておきましょう。
人的対策
どれだけ技術的な対策を講じても、最終的に判断するのは「人」です。災害時は特に、次のような心がけが重要になります。
- 在宅勤務・避難先からの業務ルール遵守
社外での情報資産の取り扱いについて、基本的なルールを平時から社員全員に周知し、社員はそれを遵守しましょう。
- 社員教育も「訓練」に組み込む
避難訓練と同様に、年に一度は「災害時の業務端末持出ルール」「自宅環境から安全に業務システムへアクセスする手順」などを確認または訓練する機会を設け、いざという時に迷わないように準備しておきましょう。
- 「本物らしさ」に騙されない習慣
災害時は、公的機関や取引先、自社の社長などを装ったなりすましメール・SMSが急増する可能性があります。「至急」「本日中」「口座変更」といった急かす文言には、平時以上に警戒しましょう。記載されたリンクや電話番号は使わずに別の手段で確認することが基本です。
組織的対策
個人の努力だけに頼らず、混乱時でも機能する体制づくりも欠かせません。
- BCP（事業継続計画）への情報セキュリティ組み込み
BCPを策定していても、情報セキュリティの観点が抜け落ちているケースもあります。非常時に「誰が」「どのように」「何を優先して」情報資産を取り扱うのかなども、BCPで明文化しておきましょう。
- 代替の意思決定ルートの確保
情報セキュリティ担当者や経営者と連絡が取れなくなる可能性もあります。承認権限の委譲ルールや、代理連絡先をあらかじめ決めておくことが重要です。
- 緊急連絡網とインシデント対応フローの整備
社員が、迷わず・すぐに報告できる連絡先とフローを用意しておきましょう。混乱時ほど、シンプルで分かりやすい仕組みが機能します。
- 取引先・委託先との情報共有手段の整備
自社だけでなく、取引先や外部サービス提供元の被災状況によっても、情報セキュリティリスクは変動します。緊急時の連絡体制について、日頃から確認しておくと安心です。
物理的対策
情報セキュリティは、技術面に目が向きがちですが、物理的な備えも同様に重要です。
- 重要書類やサーバー機器は、浸水・転倒対策を施した場所に保管する
- 避難時に持ち出す「重要データ・機器リスト」をあらかじめ決めておく
- 被災後の混乱に紛れて放置しないよう廃棄予定のものも含めて機器や書類を管理する
- 代替電源を備えておく（サーバーやネットワーク機器向けのUPS：無停電装置、ノートPCやスマートフォンを充電できるモバイルバッテリー、社用車内でも電気を供給できるインバーター、太陽光発電など）
情報の発信と利用時の対策
災害時、SNSは安否確認や最新情報の入手に有効な手段です。一方で、真偽不明の情報が瞬時に拡散してしまう場という側面も持ち合わせています。企業として公式に（自ら）状況などを発信する場合にも、次の点を意識しておきましょう。
- 企業の公式情報発信の準備
自社の被災状況や営業状況について、お客様や取引先に向けて正確な情報を発信できるよう、公式SNSアカウントや自社サイトでの発信ルールを平時から周知しておきましょう。
- 発信の影響を考慮する
自社や周囲の状況などをSNSで報告（発信）する場合、その投稿が及ぼす影響にも配慮が必要です。「企業の公式アカウント」からの発信は個人の発信よりも信用されやすいため、必要以上に不安を煽る内容になっていないか、事実とは異なる内容になっていないか、など、をよく確認しましょう。
- 「拡散する前に一呼吸」を習慣にする
善意からの拡散であっても、誤情報や古い情報の再拡散は、混乱をさらに広げてしまう可能性があります。他の情報源でも同様の内容が確認できるかを、拡散前にひと呼吸おいて確認する習慣が大切です。
- 社員個人のSNS利用に関するガイドライン
社員が個人アカウントで会社の被災状況や内部情報を発信してしまうと、誤情報の拡散や情報漏えいにつながる可能性があります。「会社に関する情報発信は公式窓口に一本化する」といった基本方針を、平時から共有しておくことをおすすめします。
まとめ
「大規模災害はいつ起こるか分かりません。だからこそ、「その時」に慌てないための備えは、平時の今このタイミングでしかできません。対策ができる状況のうちに、防災・情報セキュリティ対策を見直してみてはいかがでしょうか。
