针对日本型组织的勒索软件攻击，应对工作存在四个课题

在超过20年的网络安全领域从业经历中，笔者针对日本型组织（Traditional Japanese Organization）面临的特有课题积累了大量见识。在此，笔者将基于2024年发生的数起事件，就日本型组织遭受勒索软件攻击的实际情况及其应对工作的课题，提供作为专业人员的见解。

日本企业显露的脆弱性

【事例1】某大型出版集团缺乏透明性的应对措施

2024年6月某大型出版集团遭到勒索软件攻击的事例，突出反映了日本企业的脆弱性。当时该集团遭受了整个集团电脑系统崩溃、出版物配送工作瘫痪、相关视频播放服务中断等多重损失。

在这个事例上特别值得一提的是，公告遭受勒索软件攻击而导致顾客等个人信息泄露事态的时间是在遭受攻击后的大约三周左右。作为网络安全方面的战略判断，这是可以理解的，但与此同时，这也足以引发如何在信息公开的时间性和透明性之间取得平衡的重要讨论。

相较之下，欧美企业如果发生个人数据泄露问题，通常要求按照监管或行业标准迅速公开信息。比如，欧洲《通用数据保护条例》（GDPR）规定，一旦发生个人数据泄露问题，企业必须在72小时以内上报，非常重视透明性。由于这样的监管要求，欧美企业往往倾向于在较早阶段公开信息。

【事例2】某地方超市连锁店长时间遭受损失

2024年2月，某地方超市连锁店遭到勒索软件攻击，下单系统受到严重影响。按照该企业公布的说法，恢复工作极为困难，完全恢复正常功能花费了大约两个半月时间。

骨干系统的瘫痪对供货和促销活动产生了相当的影响，但销售时点信息管理（POS）系统并未受到影响，店面销售工作得以维持。与外界只能通过电话、传真和邮寄方式联络，付款和退款采用了概算方式。通过这些替代措施，业务运转虽然得以勉强维持，但效率大幅下降。

这个事例反映出，遭到勒索软件攻击后的恢复工作，是比单纯恢复数据更复杂、更费时间的一个过程。尤其是骨干系统遭到攻击的情况下，其影响更为广泛，恢复工作需要大量的时间和人力。

形成对比的是，美国某大型零售连锁店在遭受勒索软件攻击后的恢复工作就较为迅速。检测到攻击行为后，该企业立刻启用备份系统，在48小时以内部分恢复了主要业务系统。安全团队同步锁定了病毒感染路径，修正强化了脆弱环节。不到一周时间，所有系统90%以上恢复了正常运转。之所以能如此迅速恢复正常，得益于日常的准备、多个备份系统的维护，以及公司内外专家团队的及时出动。

【事例3】某印刷IT解决方案企业的妥善应对与课题

2024年5月某印刷IT解决方案企业遭勒索软件攻击事件暴露出日本企业网络安全工作的进步和遗留的课题。这家企业是日本印刷行业的知名企业，尤其在面向金融机构和公共机构的票据和印刷品制造、寄送业务方面具有优势，近年来还开始提供承接IT解决方案和客户企业部分业务的BPO（商务流程外包）服务。

在这个事例上特别值得一提的是，企业在遭到攻击后的第三天公布了相关情况，之后也定期发布最新进展。这表明其作为一家以对安全高度敏感的金融机构或公共机构为主要客户的企业，充分认识到了信息公开的重要性。而与此同时，针对个人信息泄露的可能性，其在初期阶段则表示“并未发现”，但在后来的调查中又不得不修改措辞称“不能否定存在这种可能”，反映出初期阶段收集和分析信息的难度之大。

欧美国家提供同样服务的企业，特别是面向金融机构或公共机构开展注重安全性的业务的企业，为了在事故发生后的初期阶段迅速而准确地收集和分析信息，都会积极引入专门的安全团队和高效的分析工具。由此可以快速掌握个人信息或机密数据的泄露风险，以便采取妥善的应对措施。在这样的体制下，企业始终一边维护和客户之间的信赖关系，一边努力按照行业标准及时公开信息。

日本型组织的特性所带来的课题

通过上述事例分析，我们就可以看出日本型组织特有的以下课题，即“四个屏障”。

【书面请示的屏障】决策迟缓导致的危机

以书面请示制度为代表的日本传统型决策流程虽然适合于平时的谨慎经营活动，但一旦遭遇网络攻击之类的紧急情况，就会成为致命的弱点。比如曾经有过这样一个事例，某制造业企业要紧急引入防范恶意程序的软件，却花费了长达两周时间走审批流程，结果在这期间就遭到攻击，造成了相当的损失。

【成本的屏障】对安全投资的消极态度

日本型组织依然存在将安全投资视作“成本中心”（消耗成本却不产生利润的部门）的强烈倾向。某大企业以全年10亿日元的规模“过大”为由，否决了安全投资方案，结果却遭受了三倍以上的损失。而美国企业则将安全视作“业务促成因素”（business enabler），倾向于积极开展投资。

【轮岗的屏障】对专业性的轻视

日本企业根深蒂固的轮岗（定期调动部门）制度对培养安全领域专家造成了阻碍。某机电设备制造企业每两年更换一次安全团队的领导，导致难以形成专业力量。与此相对，在美国的IT企业中，有些首席信息安全官（CISO）任职超过10年，拥有与经营决策层相匹敌的专业性。

【沉默的屏障】对信息公开的迟疑

日本企业普遍存在“在了解详细情况之前不想公布”这样一种态度。但这种过于谨慎的处理方式有可能反而导致情况恶化。比如有这样一个事例，某金融机构由于初期应对迟缓，导致客户信息泄露问题严重化，补偿成本达到了最初预想的10倍以上。

组织的领导层必须积极行动起来

日本企业的网络安全应对能力确实在提升。但从现状来看，网络攻击的进化速度远远超过了组织的变革速度。

日本型组织存在的课题或许并非一朝一夕能够解决。但笔者坚信，通过发挥独特优势，灵活选择国内外的“最优解”，就可以建立起在世界上引以为傲的网络自愈能力。

在这一点上，决策人员等组织领导层的积极参与具有重要意义。网络安全不再只是IT部门的问题，而是已经成为整个组织的经营课题。

要想处理好这个课题，需要在以下5个方面下功夫。

• 明确战略定位
• 优化资源分配
• 整合风险管理
• 促进企业文化改革
• 获得利益相关者的信赖

领导层的领导力会在很大程度上影响组织的未来。现在正是需要果断采取行动的时刻。

标题图片：一名男子面对遭受了勒索软件攻击的电脑（DPA/PictureAlliance、路透社）

版权声明：本网站的所有文字内容及图表图片，nippon.com日本网版权所有。未经事先授权，禁止任何形式的转载或部分复制使用。