ナレッジ

新型コロナウイルスが拡大した台湾でのセキュリティの課題

APリスクアドバイザリー ニュースレター（2021年11月4日）

新型コロナウイルスの拡大

新型コロナウイルス感染症（COVID-19）の拡大により、台湾でも2021年5月19日より防疫レベルが引き上げられ、国民の生活に大きな変化をもたらした。台北市では、外出時のマスク着用が義務化され、勧告に従わない場合は約1万円～6万円の罰金が科せられる。屋外での10人以上、屋内で5人以上の集会は禁止されたほか、カラオケ、映画館、スポーツジムなどの娯楽施設も閉鎖された。教育機関においても、幼稚園から大学までがオンライン学習に切り替わった。全ての飲食店では店内の飲食が禁止となり、行動履歴や接触履歴を追跡するために入店時に名前や電話番号を都度登録させることを義務付けた。この入店時の登録システム、携帯電話のショートメッセージを送るだけで個人情報を台湾当局に提供できる仕組みを、IT大臣のオードリー・タン氏がわずか3日間で開発したことは記憶に新しい。

この事態に台湾の日系企業も対応を迫られており、多くの企業が自宅からのリモートワークに取り組んだが、ネットワーク負荷やセキュリティの観点での課題が顕在化した。新型コロナウイルスの感染が拡大する中、急激に進むリモートワークの隙を突いたサイバー攻撃も発生しており、偽のWEB会議招待メールや新型コロナウイルスに便乗した通知を装ったフィッシング詐欺、WEB会議システムのファイル共有機能からの情報流出、社外ネットワーク利用でのマルウェア感染等が発生している。特にビジネス上でもスマートフォンのメッセージアプリを利用することが多い台湾では、セキュリティ対策が十分とは言えない場面も多く見られる。

台湾は公共・民間部門の双方において、発生しているサイバー攻撃の状況を踏まえ、2019年11月に米・台湾　共同大規模サイバー防衛訓練を実施。その中で米国在台湾協会所長はある特定の国からの台湾のテクノロジー産業へのサイバー攻撃の件数が2017年までと比較して2018年に7倍、2019年に20倍に上ったと発表、また台湾行政院副院長は2019年6月に実施したCheckPointより台湾でのマルウェア攻撃数は世界規模と比較しても4〜12倍となっていたことを明らかにした。

出所：台湾工業技術研究院「Industrial Technology Research Institute」2020年6月

二重恐喝ランサムウェアの脅威

サイバー攻撃の中でも金銭（身代金）を要求するランサムウェアの被害は拡大しており、台湾の大手企業や日系企業も例外なく被害に遭っている。特に2019年後半から主流となっている二重恐喝ランサムウェアの攻撃が目立つ。

※二重恐喝ランサムウェアは、マルウェアによる内部ネットワークへの侵入およびシステムデータの暗号化、暗号解除に伴う金銭の要求といった点では従来のランサムウェアと共通しているが、同時にデータを搾取し外部に流出させる旨の恐喝を行うことから二重恐喝と呼ばれている。暗号化の場合、データのバックアップを適切に取得できていれば復旧できたが、外部への流出を盾にした恐喝には万全なセキュリティ対策を講じる必要がある。

こうした二重恐喝ランサムウェアの被害が台湾でも増え続けているのは、新型コロナウイルスの急激な感染拡大により十分なセキュリティ対策を取らないまま強制的にリモートワークに移行せざるを得ない企業が多くいたことが要因と考えられる。皮肉なことに、今まで世の中が新型コロナウイルスの対策に苦戦している中、台湾は抑え込みに成功してきたことで各企業のリモートワークの導入が遅れ、今になってセキュリティのリスクが顕在化する結果となった。

主な台湾に係る企業へのサイバー攻撃
※画像をクリックすると拡大表示します

台湾では2021年5月に入り、入国した国際線のパイロットから新型コロナウイルスのクラスターが発生し、一気に1日の新規感染者数が700人を超える事態になったが、前述した徹底的な防疫対策によりわずか2カ月で新規感染者をピーク時の3%以下に封じ込めることに成功した。サイバーセキュリティという観点でも、世界中の脅威となりつつあるランサムウェアを抑え込む成功事例となることが期待される。

 

サイバーセキュリティの成功をもたらす要素

デロイト トーマツ グループでは、サイバーセキュリティに関する支援を行っており、幅広いプロジェクト事例がある。本稿の結びとして、高いセキュリティを確保するための要素として以下の6つのポイントを挙げておく。当該領域の課題を洗い出す意味でも、以下を参考にされたい。

  1. 戦略、マネジメント、リスク
    強いサイバー戦略の策定と継続的な取り組みへの意欲
  2. 方針と手順
    サイバー戦略を支える組織の方針と手順の確立
  3. 技術的な防御策
    サイバー脅威のランドスケープに沿った効果的な投資
  4. モニタリングと状況認識
    被害を最小化するための効果的なモニタリングと状況の認識力
  5. ベンダーによるセキュリティ
    ベンダーのセキュリティ制御の強さの評価
  6. 従業員の認識
    適切な行動を促す適切なサイバーリスク文化と教育

 

本稿に関連するデロイト トーマツ グループのサービスのご紹介

著者：長坂 賢
※本ニュースレターは、2021年11月4日に投稿された内容です。

アジアパシフィック領域でのリスクアドバイザリーに関するお問い合わせは、以下のメールアドレスまでご連絡ください。

ap_risk@tohmatsu.co.jp

お役に立ちましたか？