BAE Systemsの「Bankruptcy Noticing Center」システムに影響したサイバーセキュリティインシデントにより、米連邦破産裁判所向けの通知を配信するサービスが停止しました。
この影響を受けたのは、BAE Systemsが連邦司法部門のために運営し、全米の破産通知を作成・配信している「Bankruptcy Noticing Center(BNC)」です。
Reutersによると、関連するウェブサイトもオフラインになっています。裁判所が破産手続の進行状況を当事者に知らせるために頼っているサービスが、中断した形です。
影響はサイトにアクセスできないことだけにとどまりません。通知や命令が遅れれば、債権者、債務者、弁護士が裁判手続を追跡する作業に支障が出かねません。また、裁判所の電子提出システムで債権者リストを作成・印刷する機能も使えなくなっています。
インシデントについてこれまでに判明していること
SecurityWeekによると、障害が表面化したのは10月9日です。BAE Systemsが米国裁判所事務局(Administrative Office of the US Courts)に対し、破産通知の処理に使うシステムでサービス中断が起きていると通知しました。
司法部門は10月15日にこのサイバーセキュリティインシデントを公表し、Bankruptcy Noticing Center(BNC)に支障が出ていることを認めました。
10月15日の発表で司法部門は、BNCのシステムと関連ウェブサイトが利用できなくなり、同センターによる破産通知の作成と配信が止まっていると説明しています。
影響を受けているサービスには、bnc.uscourts.gov、bankruptcynotices.uscourts.gov、notices.uscourts.govのほか、債権者の郵送先リストへのアクセスを支える「National Creditor Registration Service」が含まれます。テキサス東部地区破産裁判所は、この障害により、電子通知と紙の通知の配信を支える裁判所のポーリングおよび認証処理が中断したと説明しました。
確認できた公式発表では、インシデントの原因や、データへのアクセスや窃取があったかどうかは明らかになっていません。
BAE SystemsはBleepingComputerに対し、このセキュリティインシデントはBNCシステム内に限定されており、直ちに対応に着手したと述べています。同社はインシデントを調査し、司法部門と連携していますが、報道では復旧時期の見通しは確認されていません。
すべての裁判所通知手段が止まっているわけではありません。アラバマ中部地区連邦破産裁判所は、CM/ECFを通じた電子提出通知(Notices of Electronic Filing)は通常どおり届いていると説明しています。同裁判所は、裁判所が発行する文書を届ける代替手段も検討しています。
サードパーティー依存が致命的な障害点になるとき
企業は、業務に必要なすべてのシステムを自社で構築・運用できるわけではありません。
サービスを外部委託すれば、コストを抑え、管理負担を減らせます。その代償として、自社では把握も制御もしきれないサプライチェーンリスクに、業務の一部が左右されることになります。
Black Hills Information Securityのオーナーであるジョン・ストランド(John Strand)氏は、eSecurityPlanetに次のように語っています。「多くの人は今でも、コンピューターセキュリティをDMZの発想で考えています。守るべき内部ネットワークがあり、それを守る対象として外の世界がある、という考え方です」
しかし現代の組織は、複数のSaaS(Software as a Service)プラットフォームやサードパーティー連携に依存し、データも外部システムを経由して流れています。ストランド氏は「その境界は、多くの人が思いたがるよりずっと曖昧です」と指摘します。
今回のインシデントの核心にあるのが、このサプライチェーンリスクです。自社ネットワークを守り抜いていても、依存するプロバイダーでセキュリティインシデントが起きれば、業務は止まりえます。
セキュリティチームにとって、こうした依存関係は、可用性もベンダーリスク管理の一部だということを意味します。顧客自身のネットワークが稼働していても、プロバイダーの障害で重要な業務が止まる可能性があるためです。
BAE Systemsのインシデントは、依存先が重要な公共機能を支えている場合に、その影響がどれほど深刻になるかを示しています。
Suzu Labsでセキュア AIソリューションおよびサイバーセキュリティ担当シニアディレクターを務めるジェイコブ・クレル(Jacob Krell)氏は、破産通知を「適正手続の仕組みそのもの」と表現します。そのうえで、破産手続を滞りなく進めるために裁判所が頼るサービスを、司法部門が単一の請負業者に委ねていると主張しています。
クレル氏はこう述べています。「今回の障害は法廷には一切及んでいませんが、全米のあらゆる破産案件のスケジュールを書き換えてしまいました」
同氏の懸念は、目先の障害にとどまりません。請負業者がサービスを提供できなくなった場合に代替手段がないことを問題視し、「なぜ通知の仕組みに代替経路がないのか」と問いかけています。
ここに、組織全般にとってのより広い教訓があります。サードパーティープロバイダーは多くの場合、必要不可欠な存在です。ただ、その提供するサービスがあまりに重要になれば、ベンダー自身の枠を超えて業務全体が混乱しかねません。
重要な業務を外部委託している場合、組織はどのくらいの停止なら許容できるかを定め、代替プロセスを試験しておくべきです。サービスによっては、第二のプロバイダー、手作業のワークフロー、社内の対応能力などが代替手段になりえます。
防御側にできること
サイバーセキュリティの防御担当者は、あらゆる攻撃を防げるわけではありません。ただし、攻撃が発生してから業務が止まったままになる時間は短縮できます。
組織は、 検証済みのインシデント対応計画と災害復旧計画を整備しておくべきです。影響を受けたシステムの隔離、インシデントの調査、クリーンで信頼できる状態への復旧、重要サービスの早期継続を、どのように進めるかを定めておく必要があります。
今回のインシデントは、 復旧計画でサードパーティー依存を考慮に入れる必要性も改めて示しています。セキュリティ部門と事業部門は、重要なプロバイダーごとにどのワークフローが依存しているかを洗い出し、許容できる停止時間を設定し、代替プロセスを発動する責任者を決めておくべきです。
復旧訓練では、影響を受けたベンダーのシステムにアクセスできなくても代替手段が機能するかを検証してください。あわせて、遅延をどう伝えるか、障害中に完了した作業をどう記録するか、サービス再開後に滞留した作業をどう整理するかも決めておく必要があります。
防御側の目標は、攻撃者を締め出すことだけではありません。侵入を許したときでも、重要な業務を迅速に復旧できるようにすることも含まれます。
関連記事: Frontline Educationの情報漏えいが示す、ベンダーのリスク審査では依存先のソフトウェアプロバイダーまで調べる必要がある理由。
