多くの日本企業でセキュリティ被害が増えている昨今、企業や組織はどう対応していくべきなのか。EGセキュアソリューションズの取締役CTOである徳丸浩氏が、日本の「セキュリティのイマ」をわかりやすく徹底解説する新連載第1弾。今回のテーマは「なぜセキュリティ被害が増えている？ IPA『10大脅威』から見る、インシデントが止まらないその要因」です。昨今、数多く報道されているセキュリティ被害について、徳丸氏がIPAの『情報セキュリティ10大脅威 2023』でランクインしたワースト3のセキュリティワードに着目。セキュリティインシデントが止まらない要因について解説します。
攻撃手段は主に3種類
はい。実際に、世界中でランサムウェアによる被害が増えていると思います。それ以外の攻撃被害も昔からありますが、最近特に「ランサムウェア」被害が増えていると考えています。なぜ、ランサムウェアによる被害が多いかというとですね、これは攻撃者のモチベーション（動機）によります。
攻撃者の動機は様々ですが、ある一定割合は金銭目的、もっと言えば一種のビジネスとして攻撃を実施しています。
そのサイバー攻撃を金銭化（マネタイズ）する手法というのは昔から色々ありますが、ランサムウェアが非常に有効であるということを攻撃者側が学習をして、それが有効であるうちは特に手段を変える理由がないわけです。ゆえにランサムウェアによる被害が特に増えているということになりますね。
図：『情報セキュリティ10大脅威 2023』（2023年1月、情報処理推進機構）を
参考にEGセキュアソリューションズにて作図
2023年1月、IPAが情報セキュリティ10大脅威の2023年版を発表しましたが、カテゴリ「組織」における上位3つは以下の順位となりました。
- ランサムウェアによる被害
- サプライチェーンの弱点を悪用した攻撃
- 標的型攻撃による機密情報の窃取
この上位3つは、昨年も多少順番は入れ替わりますが同じですね。
過去5年間の10大脅威の推移
図：IPAでの発表を元にEGセキュアソリューションズにて加筆・作図
したがって近年は、この3つがセキュリティ専門家も特に注目しているということになりますが、実はこの3つは密接に関連があります。ですから、1つひとつを対策する必要はなく、むしろ一塊で見たほうがいいと思います。その理由を次に説明しましょう。
この記事は参考になりましたか？
- この記事の著者
-
徳丸浩（トクマル ヒロシ）
イー・ガーディアングループCISO 兼 EGセキュアソリューションズ取締役CTO。ウェブアプリケーションセキュリティの第一人者。 脆弱性診断やコンサルティング業務のかたわら、ブログや勉強会などを通じてセキュリティの啓蒙活動を行う。 徳丸氏がCTOを務めるEGセキュアソリューションズは、セキュリティの知識を問う 「ウェブ・セキュリティ試験」の監修を務める。著書「体系的に学ぶ 安全なWebアプリケーションの作り方 第2版」は、...
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
