【Web特別版】注目すべき主要なサイバーセキュリティの脅威

エリック・シェフラー[*]

サイバー犯罪はますます収益性を高め、かつてないほど頻繁に発生している。技術への依存度が高まるにつれて、ランサムウェア攻撃は11秒ごとに組織を攻撃するようになった。皮肉なことに、デジタル技術を採択して利用すればするほど、新たな脆弱性から犯罪者が付けこむ隙が増えてしまうのである。強固なセキュリティ構築を目指そうとする意識の高まりとそのためのコストが増えるにもかかわらず、特定のサイバー脅威は、拡大し続けるであろう。サイバーリスクは、脅威を直接的に管理することで軽減されなければならない。しかし、複雑化し続ける規制環境や運用環境に対処するには、十分な資源も必要である。

ランソムウェアの増加

サイバー犯罪者は、あらゆる規模の企業に対して、ランサムウェアを使って企業が自らのシステムやデータにアクセスできないようにすることで、身代金を得ている。ソニックウォール社によると、2022年には、世界中で5億件近いランサムウェア攻撃があった。パンデミックの際に増加したデジタル通信の使用量とデジタル・ツールの普及は、ハッカーたちにより多くの手法を与えることになる。フィッシング詐欺や標的型ディープ・フェイクはますます巧妙化しており、結果として、従業員は社内からの情報要求を受け取った場合、特に細心の注意を払わなければならない。

悪意ある内部関係者による内部脅威

金融会社は自らが蓄積するデータの収益性ゆえに、サイバー犯罪者によって執拗に狙われている。犯罪者はサーバーへのアクセス、設定ミスによるセキュリティの綻び、詐欺などの手法を使ってシステムへの侵入を試み、しばしばランサムウェアを介して自分の活動を収益化する。

こうした戦術を踏まえれば、サイバーセキュリティ意識向上のための訓練が、インシデントを回避するための鍵となる。金融サービス部門においてセキュリティが侵害された原因の約3分の1は内部関係者に起因するものであり、場合によっては、従業員は自社を危険にさらしていることにさえ気づいていない。

一方、サイバー犯罪者を積極的に支援する内部関係者は、判別することが難しい。サイバーセキュリティシステムは悪意のある内部協力者からの脅威を低減するために、幅広い情報を検討し、異常な、あるいは不安定な利用者の行動を検知できるようにする必要がある。この点に関し、UBEA（ユーザーとエンティティ行動分析）は、新入社員を適切に精査し、職場での異常な慣行に注意を払うために重要である。機密データへのアクセスを許可するための過程と制御を確立し、常にこれを厳密に従わせるようにしなければならない。

重大な巻き添え被害を引き起こす国家が支援する者

国家主導型のサイバー犯罪は、今や最も悪名高い犯罪活動の一つであり、地政学的緊張が高まるなかで、今後も活発化するものと思われる。国民・国家は技術的依存の高まりを利用してスパイ行為、妨害行為、あるいはフェイクニュースを広めるためにサイバー犯罪を利用している。一部の国は、他国の民間セクターを標的にしている限り、自国内で活動するサイバー犯罪集団に目をつぶることさえある。

したがって、民間企業は、国家の支援する、動機が不明な脅威主体によって引き起こされる潜在的な巻き添え被害を注意深く監視する必要がある。

サイバーセキュリティ業界に縁遠い人たちは、国家ぐるみのサイバー犯罪の主な標的は政府関連の部門にと無意識のうちに決めつけているかもしれない。しかしながら、ヨーロッパで報告された2021年のサイバー攻撃のうち、公的機関を対象としたものはわずか4分の1でしかない。標的の半数以上は、幅広いセクターの民間企業であった。しかも標的には重要なインフラが含まれつつある。例えば、今年1月、ロイヤルメール（英国郵便）は、（さまざまな報道機関がロシアとの関係を噂する）ロックビット・ランサムウェア・グループによる「サイバーインシデント」に苦しんだ

グローバル・サプライチェーンの脆弱性

グローバル化により、世界の物流は劇的に増えつつある。このような需要の急増は、供給と製造にも大きな圧力を与えている。その結果、サプライチェーンが広範囲に張り巡らされ、些細な混乱ですら、物流全体が過敏に、大きな影響を受けるようになってしまった。パンデミックというボトルネックからすでに弱体化している製造業は、サイバー犯罪者にとって魅力的な標的となっている。

製造業者やサービスプロバイダーは、生産性を速やかに向上させるため、新しいデジタル技術を採用することが多い。しかし、その際に安全性の問題に十分な注意を払わない場合がある。ロボット工学とインターネットの導入は、ハッカーに探索と利用の新たな手段を提供してきた。その一例が、軽金属最大手の一つであるノルスク・ハイドロ社である。2019年、このノルウェーの大手エネルギー企業は、サイバー攻撃により、全従業員がITネットワークから締め出されたため、手動生産に切り替えなければならなかった。数週もの間、ノルスク・ハイドロはコンピューターを使わずに操業し、そのために7,000万ドルの費用を費やすことになってしまった

変化する規制環境

世界各国の政策立案者や規制当局は、重要な国家インフラ、企業、民間人がサイバー犯罪活動に脆弱であるという懸念に対応してきた。強靱性を高め、サイバーインシデントの増加を食い止めるため、新たな法律が次々に登場し始めている。

2021年にコロニアル・パイプライン社がハッキングされた事件は大きな注目を集めた。このような、企業やインフラを巻き込んだ一連のサイバー犯罪をきっかけに、米国は、2022年にサイバーセキュリティ強化法を可決した。この法律はサイバーセキュリティ違反を発見してから72時間以内、またはサイバー犯罪者に身代金を支払ってから24時間以内に、企業がサイバーセキュリティ・インフラセキュリティ庁に連絡することを義務付けたもので、同法は特に重要なインフラを提供する企業を対象にしている。

昨年11月、欧州議会は金融セクターのデジタル・オペレーション・レジリエンスのための包括的な枠組みとともに、新しいデジタル・オペレーション・レジリエンス法(DORA)を導入した。ほとんどすべての金融機関は、サイバー攻撃やその他のIT関連リスクから自社の防衛措置を実施するために、DORAの規制の下に置かれている。

これらの新しい法律の意味合いが明確になり、多くの国で自国のサイバーセキュリティ法が次々と制定されるようになる。あらゆる国や地域の、サイバーセキュリティに特化した規制要件の増加に対応することが、企業のサイバーセキュリティ管理者にとってますます大きな課題となるであろう

サイバーセキュリティ人材を引き付け、定着させる

残念ながら、技術の利用増加とサイバー犯罪増加に比べ、企業インフラを守るために利用できる資格を有するサイバーセキュリティ専門家の人数は、その需要に追いついていない。したがって、企業にとって適切な人材の確保・保持は困難であり、今後もそうした状況が続くと考えられる。

必要なスキルを持った専門家を採用することが重要だが、それを定着させることも同様に重要である。多くのサイバーセキュリティ専門家は、上級管理職が自分の意見を聞いてくれる組織で働きたいと望んでいる。上級管理職レベルでは、明確に定義されたサイバーセキュリティ手続きが整備され、自動化されており、組織全体のサイバーセキュリティ訓練と投資が重要な優先事項と考えられている。また、重要な課題に対して創造的な解決策を打ち出し、働いている企業とのつながりを感じてみたいと考える人も多い。このため、組織は企業固有のニーズに対処するだけでなく、サイバーセキュリティ専門家が充実したキャリアを享受できる環境の構築に注力しなければならない。絶えず進化するサイバー環境に対応するために、企業は幅広いビジョンを採用し、デジタル・インフラを守る人々に十分な資源を提供する必要がある。

トピックス
サイバー、事業中断、犯罪、国際、規制、セキュリティ、サプライチェーン、技術

注意事項：本翻訳は“Key Cybersecurity Threats To Watch For”, Risk Management Site (https://www.rmmagazine.com/articles/article/2023/04/13/insurance-considerations-for-biometric-liability) May 2023, をRIMS日本支部が翻訳したものです。原文と和訳に相違があるときには、原文を優先します。本文中は敬称略です。
エリック・シェフラーはライア・マネー・トランスファー社最高情報セキュリティ責任者。