新型コロナウイルス（COVID-19）は、国内における初動の失敗から、感染状況や経路の把握は不可能となり、感染クラスターの抑制と発症者対応に注力するしかできない状態だ。検疫や検査についての議論も収束していないが、このような状況をサイバーセキュリティに当てはめるとどうなるだろうか？ リアルなウイルスとコンピューターウイルスでは、相当な違いがあるが、リスクマネジメントという面で共通する部分は多い。
<figure class="">
</figure>コロナウイルス諸問題をサイバーセキュリティ視点で考えると何が見える？
新型コロナウイルス問題をリスクマネジメントで振り返る
最初に断っておきたいのは、筆者は感染症や防疫、（リアルな）ウイルスの専門家ではない。本稿は、現実の新型コロナウイルスの対策や対応に100％有効な情報や分析を行っているわけではない。
あくまで、リスクマネジメントやインシデント対応という視点で、今回起きているさまざまな問題事象、対応の共通点と、その解釈や各自の判断の参考情報、考え方の提示にすぎない。簡単に言えば、現状の国内新型コロナウイルスの状況は、サイバー攻撃やセキュリティインシデントにたとえるなら、どんな状況で、対策や対応方法はどういった技術やプロセスになるのかの考察だ。
主旨としては、リスクマネジメントやサイバーセキュリティの視点から、公衆衛生や現状の新型コロナウイルス対策を分析するというより、新型コロナウイルス問題から、リスクマネジメントやサイバーセキュリティを振り返るものと思ってほしい。
現状をITシステムのインシデントにたとえると
現在の新型コロナウイルスをとりまく状況を、ITシステムとそのサイバーインシデントにたとえるとどんな状況になるのだろうか。
このマルウェアはネットワークを通じて感染を広げる能力がある（ひまつ感染）。マルウェアは、古いPCやOSへの攻撃効果は高いが、新しいシステムは被害を受けにくいこともわかっている。特にセキュリティアップデート（アルコール消毒・手洗い・うがい・マスク等）をしっかり行っていれば、一定程度の感染を防ぐ効果が確認されている。
ただし、感染はスイッチでつながる同一LANセグメント（濃厚接触）内に限られる。インターネット（海外）の接続口は多数（空港や港湾）存在する。接続口はまとまったLANごとに持っており、ファイアウォールや非武装地帯（DMZ）の設定（検疫レベル）は最低限をクリアしているものの、均一ではない。結果として、全体へのダメージは少ないが、感染力が強く局所的なダメージは大きくなる。
未知のマルウェアのため検査手法の精度（PCR精度・特異度）による誤検知と見逃しの問題、リソース（時間・予算・人員・法律）の問題があり、全デバイスの強制検査ができない。しかも、システムを止めるわけにもいかず、稼働環境でマルウェアを検知し復旧させていくしかない。なお、有効なワクチンソフトウェアは開発されていない。
当面の対応は、システムを縮退運転（イベント中止・リモートワークなど）することで感染速度を遅くし、感染爆発を起こさせないことに注力するしかない。発症しなければシステムに影響はないので、マルウェアの発見・駆除は兆候見られたものについて詳細検査を行い、システムから隔離していく戦略となる。
インシデント対応の初動で考えること
ITシステムにおいて、マルウェア感染の特定が困難で有効なワクチンソフトがなくてもシステムを再インストール、リプレースすれば復旧できるので、人間が感染するウイルスと同列には語れない。しかし、リスクマネジメントとインシデント対応を広くとらえた場合、適用できる、または参考にできる知見はあるはずだ。
<figure class="">
</figure>同列には語れないが、共通する知見はあるはずだ
（Photo/Getty Images）
まず、前例がない事態への対応をどう考えるか。リスクマネジメントにおいて、BCPやDR、クライシス管理の考え方の導入と、復旧能力や回復力（レジリエンス）も問われる現在、前例がないインシデントへの対応マニュアルや最低限の決め事は常識といってもよい。
インシデント対応手順で最も重要なのは「初動」だ。インシデント発生の第一報が正しく上がる仕組み、エスカレーションの手順。そして現場情報での優先作業の判断と意思決定、つまりトリアージ作業に、そのあとのすべての作業や対策の成果が決まる。
新型コロナウイルスの場合、国内の第一報をどの時点と捉えるか意見が分かれそうだが、仮に国内で最初の感染者が確認されたタイミングだとしよう。最初の感染者は日本国籍ではないが、中国からの帰国者だった。
エピデミック（流行）が顕在化しつつある国からの感染者は、たとえば、ファイアウォールやEDRのログからマルウェアの侵入が確認された状態だ。ちなみに、税関の健康診断や体温測定で感染者を検知できていれば、ファイアウォールのフィルタリング機能で止めていた、つまり水際対策が功を奏した状態といえる。
The new coronavirus (COVID-19) is unable to grasp the infection status and route due to the failure of the initial movement in Japan, so it is only possible to focus on suppressing the infection cluster and responding to the onset person. The debate about quarantine and inspection hasn't converged, but what happens when we apply this situation to cybersecurity? There are considerable differences between real viruses and computer viruses, but there are many commonalities in terms of risk management.
Freelance writer Shinji Nakao
What do you see when you think about coronavirus problems from a cybersecurity perspective?
Looking back on the new coronavirus problem with risk management
First of all, I'm not an expert on infectious diseases, epidemics, and (realistic) viruses. This paper does not provide 100% effective information and analysis for actual countermeasures and countermeasures against new coronaviruses.
From the perspective of risk management and incident response, this is merely a presentation of various problem events occurring this time, the common points of responses, their interpretation, reference information for their own judgment, and their ideas. Simply put, if the current situation of the new domestic coronavirus is likened to a cyber attack or security incident, what kind of situation and what kind of technology or process the countermeasures and countermeasures will take will be considered.
The main idea is to analyze risk management and cyber security from the new corona virus problem rather than analyzing public health and the current new corona virus countermeasures from the perspective of risk management and cyber security.
If we compare the current situation to an IT system incident,
What is the current situation surrounding the new coronavirus like an IT system and its cyber incident?
This malware has the ability to spread the infection through the network (Himamatsu infection). It is also known that malware is highly effective against old PCs and operating systems, but new systems are less susceptible to damage. Especially, if security updates (alcohol disinfection, hand washing, gargling, masks, etc.) are performed properly, it has been confirmed that the infection is prevented to a certain degree.
However, infection is limited to the same LAN segment (dense contact) connected by a switch. There are many Internet (overseas) connections (airports and ports). Each LAN has a connection port, and although the firewall and demilitarized zone (DMZ) settings (quarantine level) have cleared the minimum, they are not uniform. As a result, the damage to the whole is small, but the infectivity is strong and the local damage is large.
Due to unknown malware, there are problems of false detection and oversight due to the accuracy of the inspection method (PCR accuracy / specificity), and problems of resources (time / budget / personnel / law), so forced inspection of all devices is impossible. Moreover, the system cannot be stopped, and there is no choice but to detect and recover malware in the operating environment. No effective vaccine software has been developed.
▽ Immediate response is to reduce the infection speed by degrading the system (event cancellation, remote work etc.) and focus on preventing infection explosion. If the disease does not occur, it will not affect the system, so the detection and removal of malware will be a strategy of conducting detailed inspections of the signs and isolating them from the system.
Thinking in the initial response to an incident
In IT systems, it is difficult to identify malware infections, and even if there is no effective vaccine software, it can be restored by reinstalling or replacing the system, so it cannot be said as a virus that infects humans. However, if there is a broad understanding of risk management and incident response, there should be knowledge that can be applied or referenced.
I can't talk in the same line, but there must be common knowledge
(Photo / Getty Images)
First, how do you think about dealing with unprecedented situations? In risk management, the introduction of BCP, DR, and crisis management concepts, as well as the ability to recover and resilience are currently being questioned. Today's unprecedented incident response manuals and minimum decisions are common sense. .
The most important thing in the incident response procedure is the “first action”. The escalation procedure, the mechanism by which the first report of an incident is correctly raised. Then, the decision and decision making of the priority work in the field information, that is, the triage work, determines the results of all the work and the measures thereafter.
In the case of the new coronavirus, there seems to be controversy over when to consider the first report in Japan, but let's assume that it is the time when the first infected person is confirmed in Japan. The first infected were not Japanese, but returned from China.
Infected people from countries where epidemics (epidemics) are becoming apparent, for example, are in a state where malware intrusion has been confirmed from firewall and EDR logs. By the way, if the infected person can be detected by the customs medical checkup and body temperature measurement, it can be said that the filtering function of the firewall stopped it, that is, the measures at the waterfront were successful.
dav[/caption]
