[新製品・サービス]

2023年1月5日(木)河原 潤（IT Leaders編集部）

リスト

　「データ被害時のベンダー選定チェックシートVer1.0」を作成したのは、一般社団法人日本データ復旧協会（DRAJ）、特定非営利活動法人デジタル・フォレンジック研究会（IDF）、特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）、一般社団法人日本コンピュータセキュリティインシデント対応チーム協議会（日本シーサート協議会、NCA）、一般社団法人ソフトウェア協会（SAJ）の5団体である。

　5団体は取り組みの背景として、昨今、ランサムウェアなどのサイバー攻撃による企業・組織のデータ侵害被害の深刻化と、その復旧作業における問題点を挙げている。「攻撃でデータを暗号化/消失された組織はそれを元の状況に戻すために、データ復旧事業者に依頼するケースがある。しかしながら、データ復旧を行う事業者が『復旧率』の解釈を都合よくしている場合など、対応費用、契約などを巡ってトラブルが発生しているケースが増えている」という（図1）。

図1：データ復旧トラブル被害件数（出典：一般社団法人日本データ復旧協会）
拡大画像表示

　そこで、ユーザー企業・組織の責任者や担当者が、データ復旧の依頼を行う際の知識を補いつつ、事業者と適切に交渉や対応が行えるように、5団体が連携して「データ被害時のベンダー選定チェックシート」を共同作成した。ユーザーは、チェックシートを、データの復旧を依頼する前の事業者の選定から契約の段階まで活用することで、事業者の選定が適切に行えるようになるとしている。

　チェックシートは、データがランサムウェアによって暗号化された場合に活用するシートと、それ以外のデータ毀損や消失時に使用するシートの2つに分かれている。前者では、「ランサムウェアへの対応方針や、攻撃者と交渉しないこと/身代金を支払ないことに関するデータ復旧事業者との合意チェック項目を設けている。以下はチェック項目例である。

ランサムウェア［対応方針］：ランサムウェアの身代金支払いや犯行グループとの交渉方針について、組織内で検討し、合意を取りましたか？

ランサムウェア［交渉］：復旧事業者との間でランサムウェアの犯行グループと交渉しないことを合意していますか？

ランサムウェア［身代金］：復旧事業者との間で、ランサムウェアの犯行グループに身代金を支払わないことを契約書やメールのやり取り等にて合意していますか？

画面1：「データ被害時のベンダー選定チェックシート」のExcel記入画面
拡大画像表示

　チェックシートはExcel形式ファイルで、ダウンロードして無料で利用できる（画面1、デジタル・フォレンジック研究会のダウンロードページ）。チェックシートの利用により、事業者からの事前の提案や調整内容などをスコア化し、データ事業者の評価を行う。スコアが低いほど、復旧作業の依頼後に『復旧率』の認識のズレなどから生じる損失のリスクが高いと判断することができる。

　5団体は、インシデントはどの組織でも発生する可能性があり、データ消失被害自体のみならず、データ復旧にまつわるトラブルや被害が撲滅されるように、引き続き活動を続けていくとしている。