セキュリティ・アーキテクチャ設計における「回復力（Resilience）」の概念

背景と概要

従来のサイバーセキュリティの主な目標は、「サイバー攻撃や侵入をいかに100%防ぐか（100% Protection）」という予防（Prevention）中心の設計でした。

しかし、攻撃手法の高度化、システムの複雑化、生成AIの悪用が進む現代において、「絶対に侵入されない完全なシステム」を作ることは不可能であるという認識が世界的標準となっています。これに伴い、設計思想の軸足は「攻撃を受けることを前提とし、侵入されても被害を最小限に抑え、いかに迅速に事業を継続・回復させるか」という「サイバー・レジリエンス（Cyber Resilience：サイバー回復力）」へとシフトしています。

サイバー・レジリエンスを構成する4つの柱

米国NIST（標準技術研究所）の「SP 800-160 Vol. 2」などのガイドラインでは、レジリエンスを備えた構造を構築するための基本的要素が示されています。

1. 予測（Anticipate）： 脅威や脆弱性を平常時から把握し、攻撃が発生する可能性を事前に想定しておく。

2. 耐性（Withstand）： 攻撃や障害が発生した際も、システムの根幹機能（コア業務）を停止させずに維持・持ちこたえる。

3. 回復（Recover）： 攻撃を隔離・排除し、最小限の時間とコストで正常な状態へとシステムを再構築・復旧させる。

4. 適応（Evolve）： 発生したインシデントの分析結果を学訓とし、将来の攻撃に対してより強固になるようシステムや組織を変化させる。

レジリエンスを考慮したシステムアーキテクチャ設計の原則

単一の障害や侵入が全壊につながる設計（単一障害点：SPOF）を排除します。

1. 冗長化と地理的分散

システムやデータのバックアップ、認証基盤を単一のクラウドリージョンやデータセンターに依存させず、地理的に離れた複数環境へ分散・冗長化（マルチリージョン/マルチクラウド）しておきます。

2. 単一障害点（SPOF）の排除とデカップリング（疎結合）

マイクロサービス化や非同期通信を採用し、一部のコンポーネント（例: 認証サーバーや決済モジュール）がサイバー攻撃でダウンしても、他のシステム全体が一斉に崩壊しない「緩やかな結合」を設計します。

3. グレースフル・デグラデーション（段階的縮小運用）

システムの一部が侵害された際、全機能を停止させるのではなく、重要度の低い機能を切り離し、コアとなる重要業務（受発注や医療データ参照等）のみを安全な制限モードで継続させる設計です。

組織におけるサイバー・レジリエンス評価と演習

技術的設計だけでなく、組織の「対応力」を定期的にテストすることが求められます。

1. カオスエンジニアリングとレッドチーム演習

本番に近い環境で、事前に告知なしで疑似的な攻撃や障害を発生させる「レッドチーム演習」を実施し、検知・復旧プロセスが計画通りに機能するか実地検証します。

2. 経営層を巻き込んだ「事業継続判断」のトレーニング

システム復旧の優先順位（RTO/RPO）や、広報・法的報告の手順について、経営陣が参加するシミュレーション演習を定期開催し、有事の決断力を高めます。