サイバーレジリエンスとは？サイバーセキュリティ・IT-BCPとの違い、対策を解説
| 執筆者： | ニュートン・コンサルティング 編集部 |
| 改訂者： | ニュートン・コンサルティング 編集部 |
「レジリエンス（Resilience）」とは、「回復力」「弾力性」を意味する英語です。「サイバーレジリエンス」は、企業や組織がサイバー攻撃や自然災害に対し、被害を最小限に抑えて早期に事業を復旧させる能力を指します。近年、サイバーセキュリティの強化は重要課題の一つとなっており、攻撃や被害を前提としたサイバーレジリエンスの重要性が注目されています。
サイバーレジリエンスが重要視される背景
サイバーレジリエンスが重視される背景には、サイバー攻撃の高度化に加え、企業活動におけるデジタル技術への依存度が高まっていることがあります。
現在、多くの企業がクラウドサービスやSaaS、業務委託先、外部のデータセンター、ソフトウェア製品などを利用しています。そのため、自社のシステムが直接攻撃を受けていなくても、委託先やクラウドサービスの停止、ソフトウェアの脆弱性などによって事業が中断する可能性があります。
IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向け脅威の第1位に「ランサム攻撃による被害」、第2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています。ランサム攻撃による被害は11年連続、サプライチェーンや委託先を狙った攻撃は8年連続で選出されており、継続的な脅威となっています。
ランサムウェアなどによって重要なシステムやデータが利用できなくなると、業務停止、顧客対応の遅延、取引先への影響、信用低下などにつながるおそれがあります。予防策を講じていても、すべての攻撃や障害を防ぐことはできません。
このため、企業には「被害を発生させないこと」だけでなく、「被害が発生した場合に重要業務をどのように維持し、どのような優先順位で復旧するか」をあらかじめ定めておくことが求められます。
サイバーレジリエンスとサイバーセキュリティの違い
サイバーセキュリティとは、情報やシステム、ネットワークなどを、サイバー攻撃や不正利用、情報漏えいなどから保護するための取り組みです。予防だけでなく、攻撃の検知、インシデントへの対応、復旧なども含む幅広い概念です。
一方、サイバーレジリエンスは、サイバー攻撃やシステム侵害が発生する可能性を前提として、重要業務やシステムの機能を維持し、被害から回復する能力に重点を置いています。
両者は対立するものではありません。サイバーセキュリティ対策によって攻撃の発生や被害の拡大を防ぎながら、突破された場合に備えて業務継続や復旧の体制を整えることで、組織全体のサイバーレジリエンスを高められます。
従来は、侵入防止やマルウェア対策などの予防的な対策が重視される傾向にありました。しかし、サイバーレジリエンスでは、予防、検知、対応、復旧、改善を一連の活動として捉えます。
サイバーレジリエンスとIT-BCPの関係
IT-BCPとは、自然災害、サイバー攻撃、システム障害などによってITサービスが停止した場合に備え、重要なシステムや業務を継続・復旧するための計画です。
サイバーレジリエンスは、IT-BCPを含む、より広い概念と捉えることができます。復旧計画だけでなく、システムの設計、アクセス制御、攻撃の検知、インシデント対応、事後の改善なども対象になります。
サイバー攻撃からの復旧では、単にシステムを再起動したり、バックアップからデータを戻したりすればよいとは限りません。攻撃者がシステム内に残っていないか、復旧に使用するデータや機器が安全か、侵害された認証情報が無効化されているかなどを確認した上で、安全に再接続する必要があります。
そのため、次の計画や体制を相互に連携させることが重要です。
- CSIRTなどが管理するインシデント対応計画
- 情報システム部門が管理するIT-BCPやシステム復旧計画
- 事業部門が管理するBCP
- 危機対策本部や経営層による意思決定体制
- 顧客、取引先、委託先、行政機関などへの連絡体制
サイバー攻撃を技術部門だけの問題とせず、事業継続や危機管理の問題として捉えることが、サイバーレジリエンスの強化につながります。
サイバーレジリエンスの4つの要素
NIST（米国立標準技術研究所）は2021年、サイバーレジリエンスのガイドラインである、NIST SP800-160 Vol.2 Rev.1「Developing Cyber-Resilient Systems: A Systems Security Engineering Approach」を公表しました。そこでは、サイバーレジリエンスを実現するために達成すべき目標（Goal）として、以下の4つの要素が挙げられています。
- 予測（Anticipate）：将来の脅威やリスクを予測し準備する
- 耐久（Withstand）：攻撃や被災が発生しても影響を最小限に抑える
- 回復（Recover）：攻撃や被災の最中および事後に機能を素早く回復する
- 適応（Adapt）：技術や脅威の変化に応じて対応を改善していく
同ガイドラインは、これらの要素を備えたシステムを構築、設計、開発、維持することを目的として掲げています。このように、サイバーレジリエンスでは攻撃を防ぐだけでなく、被害に遭うことを見越した事前の準備が求められます。
サイバーレジリエンスを高めるための対策
サイバーレジリエンスの4つの要素は、以下のような対策によって強化が可能です。
【表】サイバーレジリエンスに必要な4つの要素とその強化策
| 4つの要素 | 強化のための対策例 |
|---|---|
| 予測 （Anticipate） |
|
| 耐久 （Withstand） |
|
| 回復 （Recover） |
|
| 適応 （Adapt） |
|
NIST「NIST SP800-160 Vol.2 Rev.1 Developing Cyber-Resilient Systems: A Systems Security Engineering Approach」を基にニュートン・コンサルティングが作成
サイバーレジリエンスに関する国内外の動向
国内外では、サイバー攻撃からの事業継続や復旧能力を、企業の自主的な取り組みだけでなく、制度や規制の一部として求める動きが進んでいます。
NIST Cybersecurity Framework 2.0
NISTは2024年2月、Cybersecurity Framework（CSF）2.0を公表しました。CSF 2.0は、組織がサイバーセキュリティリスクを把握、評価、優先順位付けし、関係者間で共有するための枠組みです。
「Govern」「Identify」「Protect」「Detect」「Respond」「Recover」の6つの機能を通じて、経営管理から防御、検知、対応、復旧までを一体的に捉えます。
サイバーセキュリティ経営ガイドライン
経済産業省とIPAが策定した「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者のリーダーシップの下でサイバーセキュリティ対策を推進するための考え方を示しています。
サイバー攻撃に備えた体制整備や、サプライチェーン全体での対策、インシデント発生時の事業継続・復旧などを検討する際の参考になります。
EUのDORA
EUのDORA（デジタル・オペレーショナル・レジリエンス法）は、2025年1月17日から適用されています。EU域内の金融機関などに対し、ICTリスク管理、重大なICT関連インシデントの報告、デジタル・オペレーショナル・レジリエンス・テスト、ICTサードパーティリスク管理などを求める規則です。
対象は主にEUの金融分野ですが、サイバー攻撃やシステム障害への対応・復旧能力を、経営管理や委託先管理を含めて確保するという考え方を示す制度といえます。
EUサイバーレジリエンス法
EUサイバーレジリエンス法は、デジタル要素を含む製品に対し、設計・開発・製造段階のサイバーセキュリティ要件や、販売後の脆弱性対応などを求める規則です。
原則として2027年12月11日から適用されますが、悪用が確認された脆弱性や、製品のセキュリティに重大な影響を及ぼすインシデントに関する報告義務は、2026年9月11日から適用されます。
同法は、企業や組織の事業継続能力ではなく、主にデジタル製品のセキュリティと製造者などの責任を対象としています。「サイバーレジリエンス」という名称は共通していますが、対象範囲が異なる点に注意が必要です。
サイバーレジリエンスは継続的に高める
サイバー攻撃やシステム障害のリスクを完全になくすことはできません。また、事業環境や利用する技術、委託先、攻撃手法も継続的に変化します。企業には、攻撃を防ぐためのセキュリティ対策に加えて、被害が発生した場合にも重要業務を維持し、安全かつ速やかに復旧するためのサイバーレジリエンスが求められます。
重要業務とシステムの特定、リスク評価、多層的な防御、バックアップ、インシデント対応、IT-BCP、訓練、サプライチェーン管理などを個別に実施するだけではなく、相互に連携させることが重要です。さらに、インシデントや訓練から得られた教訓を反映し、計画や対策を継続的に改善することで、変化する脅威に対応できる組織を構築できます。
