EnterpriseZine(エンタープライズジン)

EnterpriseZine(エンタープライズジン)

テーマ別に探す

『サイバーセキュリティ経営ガイドライン』をどう活用するか 巧妙化する攻撃に立ち向かうための一手 【第1回】近年の脅威動向とサイバーセキュリティ経営ガイドラインの概要

edited by Security Online   2021/09/24 08:00

 サイバー攻撃の脅威は増大しており、セキュリティ対策に重大な不備や欠陥があれば、自社のみならず顧客や取引先にまで大きな被害を及ぼすことにもなりかねません。そうした事態に陥らないため、経営者には適切な経営資源を確保し、対策を施すことが求められます。今回は、脅威の動向と国の主な施策、そして経営者が自社の対策状況を知り、強化する上で活用すべき『サイバーセキュリティ経営ガイドライン』の概要について解説します。

増大し続けるサイバー攻撃の脅威

 悪質・巧妙化するサイバー攻撃による被害が後を絶ちません。2019年から2020年にかけて猛威を奮ったEmotetは、実際にやり取りされたメールの返信を装って不正なマクロが組み込まれた「Microsoft Wordファイルを送り付け、感染したパソコンからメールの本文やアドレス情報などを盗んでさらに拡散させるという手口で多くの企業や組織が被害を受けました。

 また、ランサムウェアによる被害も増加し続けています。従来はファイルを勝手に暗号化し、その解除を条件に身代金を要求するというのが一般的な攻撃の手口でした。しかし、2020年頃からファイルを暗号化する前に盗み出しておき、暗号化解除の身代金要求に従わないと、盗んだ情報を公開すると脅迫。それを取りやめて削除することを条件に、より高額な身代金を要求するという悪質な手口にエスカレートしています。こうした手口から「二重脅迫型のランサムウェア」「暴露型ランサムウェア」などと呼ばれています。

 Emotetはその後各国の警察と司法機関が協力し、2021年1月に攻撃用サーバ群が突き止められ、活動を停止したようです。一方ランサムウェアは、攻撃ツールを開発して「RaaS(Ransomware as a Service)」として提供されたり、それを使って実際に攻撃を仕掛ける人がいたり、身代金を管理する人もいるなど分業化が進み、収益が分配される仕組みが確立しています。いくつかのツール開発者や攻撃グループは自主的に活動を休止したり、捜査当局によって活動停止に至ったりしたケースもありますが、高機能なRaaSを提供したり利用したりすることで手っ取り早く収入を得られることから、新たに参入する人も後を絶たず、被害は増加の一途をたどっています。

※この続きは、会員の方のみお読みいただけます(登録無料)。


※この続きは、会員の方のみお読みいただけます(登録無料)。


著者プロフィール

  • 上原 孝之(ウエハラ タカユキ)

    S&J株式会社 取締役コンサルティング事業部長 リクルートにて、メインフレーム系システムの設計・開発、マシンセンター運用・管理等に携わった後、1994年にラックへ。オープン系システムの設計・開発業務を経て、1996年より同社の情報セキュリティ関連サービス事業の立ち上げ、推進に携わる。2000年より、マネジメントコンサルティング部門の責任者として、情報セキュリティポリシー策定、リスクアセスメント、情報セキュリティ監査等のサービスを主導する傍ら、執筆、講演活動を通じて国内の情報セキュリティ人材の育成に注力する。2015年より、S&Jにて、企業や公共機関等におけるサイバーセキュリティ強化、インシデント対応等に関するコンサルティング業務に従事。2017年5月より、神奈川県警察CSIRTアドバイザーを兼務。

All contents copyright © 2007-2021 Shoeisha Co., Ltd. All rights reserved. ver.1.5