サイバーレジリエンスの世界へようこそ！
FRM Part IIの学習において、これまでは市場変動やクレジット・デフォルトの分析に多くの時間を割いてきたことでしょう。しかし、銀行の全システムがハッカーによってロックされたり、データ漏洩で数百万件もの顧客情報が流出したりしたらどうなるでしょうか？ここでオペレーショナル・リスクが非常に現実的な脅威として浮かび上がってきます。本章「サイバーレジリエンスを備えた組織」では、攻撃を「防ぐ」ことだけでなく、攻撃を受けても「生き残る」ことへと意識をシフトします。これはカリキュラムのオペレーショナル・リスクとレジリエンスの分野において非常に重要な部分です。
「自分はITに詳しくない」という方も心配しないでください。この章で扱うのはコードを書くことではなく、戦略、ガバナンス、管理についてです。さあ、一緒に学んでいきましょう！
1. サイバーセキュリティとサイバーレジリエンス：その違いとは？
多くの受験生がこれらの用語を混同していますが、FRMの試験ではその違いを理解しておく必要があります。城に例えて考えてみましょう：
サイバーセキュリティは、城壁の高さや門の堅牢さを指します。その目的は「悪者」を侵入させないことです（防御）。
サイバーレジリエンスは、仮に城壁が突破されたとしても、城が機能し続ける能力のことです。食料の備蓄や秘密の抜け道、戦闘中であっても再建するための計画を持つこと（生存と復旧）を指します。
重要な定義：サイバーレジリエンスとは、電子リソースを使用するシステムに対する悪条件や攻撃を予測（Anticipate）し、耐え（Withstand）、そこから回復（Recover）し、適応（Adapt）する組織の能力のことです。
クイックレビュー：4つの柱
1. 予測 (Anticipate)：潜在的な攻撃を予測すること。
2. 耐性 (Withstand)：攻撃を受けている最中でも業務を継続すること。
3. 回復 (Recover)：素早く「通常業務」へ復帰すること。
4. 適応 (Adapt)：事象から学び、次回に向けて強化すること。
要点：サイバーセキュリティはサイバーレジリエンスの一部ですが、レジリエンスの方がはるかに広い概念です。
2. NISTサイバーセキュリティ・フレームワーク
NIST（米国国立標準技術研究所）のフレームワークは、サイバーリスク管理における「ゴールドスタンダード」です。これは活動を5つの中心的な機能に分類しています。試験のためにこれらを必ず暗記してください！
暗記法（ニーモニック）：「I Play Drums Really Rough」
1. 特定 (Identify)：資産を把握する（どんなノートPCがあるか？データはどこにあるか？）。存在を知らなければ守ることはできません。
2. 防御 (Protect)：「壁」を築く。アクセス制御、暗号化、従業員教育などが含まれます。
3. 検知 (Detect)：「悪者」を素早く見つける。不審なアクティビティを監視するシステムなどが該当します。
4. 対応 (Respond)：攻撃が発見されたら行動を起こす。ウイルスの拡散を防ぐ「封じ込め」などが含まれます。
5. 復旧 (Recover)：サービスを修復し、関係者へ報告を行う。
避けるべきよくある落とし穴：
復旧（Recovery）は攻撃を受けた「後」に始まるものだと思いがちですが、そうではありません。危機が訪れるずっと前から、バックアップや復旧計画を準備しておく必要があります。
3. ガバナンス：すべてはトップから始まる
サイバーリスクはもはや単なる「ITの問題」ではありません。サイバーレジリエンスを備えた組織では、取締役会と経営陣が船の船長としての役割を担います。
取締役会の役割：
- リスク選好（Risk Appetite）の設定（どの程度の見返りのために、どの程度のリスクを取るか）。
- サイバー脅威を管理するための予算と人材を確保する。
- サイバー戦略の有効性を定期的に見直す。
3つの防衛ライン（3LoD）：
- 第1ライン：ビジネスユニットおよびIT部門（リスクの所有者）。
- 第2ライン：リスク管理部門（監視を行い、ルールを設定する）。
- 第3ライン：内部監査（最初の2つのラインが機能していることを独立した立場で保証する）。
豆知識：多くの重大なサイバー侵害は「ヒューマンエラー」（フィッシングリンクのクリックなど）によって引き起こされます。だからこそ、高価なソフトウェアよりもサイバー・アウェアネスの高い企業文化の方が重要なのです。
4. インシデント管理と対応
攻撃が発生した際、組織にはコンピュータ・セキュリティ・インシデント対応計画（CSIRP）が必要です。これは、サイバー攻撃における「消防訓練マニュアル」のようなものです。
対応プロセスのステップ：
1. 準備：チームの訓練とツールの設定。
2. 検知と分析：その事象が本当に脅威かどうかを見極める。
3. 封じ込め、根絶、復旧：感染したサーバーを停止し、マルウェアを削除し、クリーンなデータを復元する。
4. 事後活動：「教訓」を活かすフェーズ。これは適応（Adaptation）にとって最も重要なステップです。
例え：キッチンの火災を想像してください。
- 封じ込めとは、鍋に蓋をして炎を止めること。
- 根絶とは、ガスを止めること。
- 復旧とは、煙の被害を掃除して料理を再開することです。
5. サードパーティおよびサプライチェーン・リスクの管理
どれほど組織のセキュリティが完璧でも、クラウドプロバイダーやソフトウェアベンダーがハッキングされれば、あなたもハッキングされます。これがサードパーティ・リスクです。
管理方法：
- デューデリジェンス：契約締結前にベンダーのセキュリティを確認する。
- SLA（サービスレベル合意書）：ベンダーが侵害をどれだけ迅速に報告すべきかを定めた契約。
- 継続的モニタリング：盲目的に信頼せず、定期的にセキュリティ状況を検証する。
実例：2013年のターゲット（Target）社での情報漏洩は、空調（HVAC）ベンダーの認証情報が盗まれたことが原因でした。「裏口」には常に注意を払う必要があります！
6. メトリクス：レジリエンスをどう測定するか？
FRMでは数字が重要です！サイバーリスクは定性的なものですが、健全性を追跡するために重要リスク指標（KRIs）や重要業績評価指標（KPIs）を使用します。
サイバーKRIの例：
- 検知平均時間（MTTD）：ハッキングされたと気づくまでにどれくらいの時間がかかったか？
- 対応平均時間（MTTR）：気づいた後、修正までにどれくらいの時間がかかったか？
- パッチ適用周期：バグが見つかった際、ソフトウェア更新までに何日かかるか？
数式のクイックリマインダー：
レジリエンスに関する複雑な数式はありませんが、リスクは以下のように考えられることを覚えておきましょう。
\( Risk = Threat \times Vulnerability \times Asset Value \)
7. まとめとアドバイス
核心メッセージ：サイバーレジリエンスは一度きりのプロジェクトではなく、継続的なサイクルです。適切なツール（NISTフレームワーク）、適切な人材（ガバナンス/企業文化）、そして適切な計画（対応/復旧）が必要です。
試験の重要ポイント：
- レジリエンス ＞ セキュリティ：生存と適応に焦点を当てること。
- ガバナンス：取締役会に最終責任がある。
- 検知が鍵：ハッカーの滞在時間が長いほど、被害は拡大する。
- サードパーティ：あなたの強さは、最も脆弱なベンダーによって決まる。
覚えることが多くて大変だと感じるかもしれませんが、大丈夫です。 NISTの「I-P-D-R-R」サイクルを常に心に留め、自問自答してみてください。「明日システムがダウンしたら、どうやって事業を継続するか？」これこそがサイバーレジリエンスの本質です。