英政府、公共サービス向けサイバー攻撃防御を強化！サプライチェーン攻撃対策と身代金支払い禁止の新法案

英政府が打ち出した革新的なサイバー攻撃対策法案

英政府が11月12日に発表した新法案は、公共サービスに対するサイバー攻撃の防御を劇的に強化する画期的な内容となっています。国民保健サービス（NHS）をはじめとする重要インフラへの攻撃が相次ぐ中、政府は遂に本格的な対策に乗り出しました。

この法案の最大の特徴は、公的・民間機関双方にサービスを提供するIT企業に対して厳格なセキュリティ基準の順守を義務付ける点です。現役フォレンジックアナリストとして数々のインシデント対応に携わってきた私の経験から言えば、この包括的なアプローチは非常に理にかなった対策と言えます。

英国で発生した一連の攻撃事例は、サプライチェーン攻撃の脅威を如実に物語っています。昨年の国防省給与システムへの侵入、そして最近の11,000件を超えるNHS診察・処置への支障など、その影響は計り知れません。

サプライチェーン攻撃とは、標的組織に直接攻撃するのではなく、その組織が依存する第三者のサービス提供者やソフトウェアサプライヤーを経由して攻撃を仕掛ける手法です。これは現代のサイバー犯罪者が好む戦術の一つで、以下のような特徴があります：

今回の法案では、ITサービス企業に対して以下の義務が課せられます：

重大なサイバーインシデントや潜在的脅威を政府と顧客に速やかに報告することが義務化されます。これは早期発見・早期対応の観点から極めて重要です。

サイバー攻撃に対する盤石な計画の策定が求められます。これには復旧手順、連絡体制、代替手段の確保などが含まれるでしょう。

必要不可欠なサービスの重要サプライヤーを規制当局が指定し、より厳格な管理下に置く仕組みが導入されます。

特に注目すべきは、NHS、地方議会、学校などの公的機関に対してランサムウェア犯罪者への身代金支払いを禁止する計画です。この決断は世界的にも先進的で、以下の効果が期待されます：

この法案は公共サービスを対象としていますが、個人や中小企業も同様の脅威に直面しています。実際に私が担当したフォレンジック調査では、以下のようなケースが頻発しています：

ITサポート会社経由でランサムウェアに感染し、生産ラインが1週間停止。復旧に300万円以上の費用が発生しました。

会計ソフトのクラウドサービス経由で個人情報が漏洩。顧客からの損害賠償請求に発展しました。

これらの事例から分かるように、個人や中小企業でも以下の対策が不可欠です：

サプライチェーン攻撃では、Webサイトの脆弱性が侵入口として悪用されるケースが多発しています。特にWordPressなどのCMSを利用している企業では、定期的な脆弱性診断が欠かせません。

Webサイト脆弱性診断サービスを活用することで、以下のような脅威を事前に発見・対処できます：

英政府の今回の法案は、サイバーセキュリティの新時代到来を告げる重要な一歩です。身代金支払い禁止という強硬措置は、世界各国の政策にも大きな影響を与えるでしょう。

しかし、法制度の整備だけでは十分ではありません。個人や中小企業も含めて、すべてのステークホルダーが積極的にセキュリティ対策に取り組む必要があります。

特に重要なのは、攻撃を受けてから対処するのではなく、事前に適切な防御策を講じることです。アンチウイルスソフトやVPN 、Webサイト脆弱性診断サービスなどのツールを効果的に活用し、多層防御体制を構築することが求められています。