最近になって、ようやっとBCPやBCMという言葉が普通にビジネス用語として散見されるようになってきました。
英国規格協会は、BCMを「組織を脅かす潜在的なインパクトを認識し、利害関係者の利益、名声、ブランド及び価値創造活動を守るため、復旧力及び対応力を構築するための有効な対応を行うフレームワーク、包括的なマネジメントプロセス。」と定義しています。これは簡単にいうと、リスクを管理して、地震等の問題が発生したとき（リスクが顕在化したとき）に最小限の被害で食い止めるとともに、目標時間内にある程度復旧して事業（業務）を継続させる仕組みです。
わが国では主に地震対策をBCMと考えていることが多いようですが、リスクには地震だけではなく、落雷、雪害等の自然災害やパンデミック、テロ等様々なものがあります。
ですから、BCMは地震だけではなく、総合的にリスク対策を行う必要性があるわけです。
例えば、最近話題にあがっているランサムウェアもその一つです。
実は今年に入って急に増えたというわけではなく、昨年くらいから急激に増加しているリスクです。
ちなみに、今年の春の情報セキュリティマネジメント試験の午後問題に出題されており、独立行政法人情報処理推進機構（IPA）も注目していたことがうかがわれます。
ランサムウェアはマルウェアの一種で、以下の特徴を有しています。
・メールに添付されたファイルや記載されたURLへのクリックで感染する
・感染した端末のファイルを勝手に暗号化することによって使用できなくする
・元に戻すことと引き換えに「身代金」を要求する
また、「身代金」についても以下のような特徴があります
・「身代金」は通常ビットコインのような匿名性の高い電子マネーでの決済となる
・「身代金」は法外な金額というよりはこのくらいなら・・・と思わせる額を提示する
・支払いには期限を設け、正常な判断を失わせようとする
・支払後は復号キーが送られ、暗号化されたファイルが再び使用できるようになることが多い
以上のような、なかなかやっかいなリスクです。
払えないわけではない額の「身代金」を支払うと元に戻る（かもしれない）というのが曲者です。
ランサムウェアは広く浅く金銭を得るために、支払いがあるとファイルが開放される可能性が高いです。
しかし、そのために個人や会社の情報を相手に渡すことになるので、標的型攻撃のようなより手の込んだ攻撃をしてくる可能性があります。
また、このような攻撃をしてくる相手は、反社会的な組織であることが多く、テロ等の資金源となっていることが推測されます。
緊急性があるとしても、簡単に支払うのは考えものです。
上場企業の中でも支払ったという報道がなされていたようですが、反社会的組織への支払いだとなった場合、そのような組織への資金供与という問題も出てくる可能性がありますし、パナマ文書のように、あとで公表されることも考慮しなければなりません。
もっと慎重な対応が望まれます。
リスク管理は日頃からの対策が重要です。
これは地震でもマルウェアでも変わりません。
例えば今回のようなコンピュータウィルスの場合、
・OSやアプリケーション（特にマルウェア対策アプリ）のアップデートを怠らない
・不用意に実行ファイルをクリックしない
・メールのあて先や文章がおかしくないか確認する
・こまめにバックアップする
・可能であれば対策システムを導入、運用する
という予防策を講じ、もし不幸にしてかかってしまった場合は、
・「身代金」を要求されても支払わない
・まずは落ち着き、しかるべきところに相談する
ということを徹底すべきでしょう。
なお、ランサムウェアに関しては、ID Ransomwareというサイトがあり、こちらにサンプルを送るとウィルスの種類等を特定してくれます。
解除ツールがあればそれも表示してくれるようなので、それがあれば「身代金」を支払わなくてもファイルを復号できるかもしれません。
サイト名：ID Ransomware
https://id-ransomware.malwarehunterteam.com/?lang=ja_JP
