英政府のデジタル・文化・メディア・スポーツ省（DCMS）が公開したセキュリティレポート「2021 Cyber Security Breaches Survey」によると、2020年にサイバー攻撃を受けた企業は5社に2社の割合となっており、特定の脅威が突出して多かったという。
また、リモートワークが増加し、組織内での異常なアクティビティーを検知するためのセキュリティ監視ツールの使用が微減した点を考慮すると、サイバー犯罪に遭った組織の数は実際にはもっと多いと考えられるという。つまり、侵害された事実に気付いていない組織があるということだ。
このレポートには、サイバーセキュリティに対する企業のアプローチや攻撃の影響などが記されている。
今回のレポートでは、ここ1年で組織がリモートワークへの迅速な対応を迫られた結果、潜在的なサイバーリスクの上昇が招かれたと記されている。というのも従業員が自宅で作業する以上、組織のファイアウォールは従業員を保護できないためだ。
2020年にサイバー攻撃を検知した組織の80％以上は、その攻撃がマルウェアを添付したり、従業員に悪意あるリンクをクリックさせたりするための悪質なメッセージを用いたフィッシング電子メールによるものだったとしている。
オンライン上で人や企業になりすました攻撃者からの電子メール攻撃を受けたとする組織は4分の1強に上っている。攻撃の目的は認証情報の窃取や業務上の重要な取引や契約であることを装って従業員をだまし、多額の資金移動を実行させようとするビジネスメール詐欺（BEC）攻撃のいずれかだったとされている。
電子メールは昔から、サイバー攻撃を実行するための一般的な手段となっている一方で、2020年のリモートワークに向かう流れによって、人々は職場との連絡を保つ上で電子メールへの依存を高めてきている。同レポートは、一部の企業がサイバー攻撃やデータ流出を検知できない理由がここにあると示唆している。
またランサムウェアの攻撃を仕掛けられたとする企業は20社に1社強の割合に上っている。
サイバー攻撃を検知した組織の大多数は、従業員に対する追加の訓練やウイルス対策ソフトウェアのアップデート、ファイアウォール設定の変更、その他の新規ソフトウェアのインストールを含む対策を講じている一方で、インシデントを検知した後に全く何もしていない企業の割合は3分の1強に上っている。
同レポートには、サイバー攻撃に起因する金銭的負担を補てんするために、ある種のサイバー保険に加入する組織が増えてきているとも記されている。
レポートでは、組織のネットワークの安全性、サイバー攻撃からの回復力を確保するための複数の推奨事項が挙げられている。多要素認証によるアカウントの保護やスタッフを訓練し、サイバーセキュリティの問題への意識を高めることなどだ。
また、サプライチェーンのリスク管理へのさらなる対策を講じ、ネットワークアクセスの手段としてサプライチェーンを悪用しようとする可能性のある攻撃からの保護を強化するよう推奨されている。
レポートでは、「組織や経営陣、ITチームが、優れたサイバーセキュリティは一層優れたビジネスレジリエンスを実現すると認識することが重要だ。このことは、短期的な事業とITサービスの継続性に注力することで、サイバーセキュリティの議論への意識が低下する場合もあるようなパンデミックの最中には、必ずしも高く評価されないかもしれない」と説明されている。
「パンデミックを切り抜けるとき、サイバーセキュリティチームがこれらの議論を見直し、サイバーセキュリティはビジネスレジリエンスに不可欠な要素であることを示す機会があるだろう」
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
