サイバーセキュリティクラウドは、2022年1月1日から2023年11月30日までに公表された不正アクセスに関する個人情報流出事案（個人情報漏洩数1,000件以上）に基づき、サイバー攻撃の発生から発覚・公表までの期間に関する調査レポートを発表した。
攻撃発覚から公表までの期間については多少短期化するも、攻撃発生から攻撃発覚までは1年近く気づかれないままに
同調査では、法人や団体がサイバー攻撃を受けた「攻撃発生」から、攻撃に気づいた「攻撃発覚」までに平均397日を要していることがわかった。これは同社が過去（2020年9月から2021年8月までを対象期間）に実施した調査（以下、過去調査）の「攻撃発生」から「攻撃発覚」までの平均日数と比較すると、48日長期化しているという。
また、「攻撃発覚」から被害が公表された「公表」までには、同調査で平均77日を要しており、過去調査と比較すると5日短くなっている。「攻撃発生」から「攻撃発覚」までは長期化する結果となり、1年以上もの間サイバー攻撃の被害に気づいていない状況にあることがわかった。「攻撃発覚」から「公表」するまでにかかった時間はやや短期化したものの、「公表」までには2ヵ月以上の時間がかかることがわかったとしている。
「攻撃発生」から「攻撃発覚」まで1年以上の事案が約4割、過去調査よりも11.4％増加
「攻撃発生」から「攻撃発覚」までに要した期間を「1年未満」と「1年以上」に分類した場合、「1年未満」は56.8％となった。一方、「1年以上」は43.2％と、過去調査より11.4％増加した。「攻撃発覚」までに1年以上かかった要因の一つとして、未知の脆弱性（Zero-Day）を利用した攻撃により、その脆弱性が公に知られるまで検出されないことが挙げられるとのこと。また、Webアプリケーションは絶えず変化しており、新機能やアップデートが頻繁に行われるため、Webアプリケーションの更新および監視に割くリソースやコストなどの問題から、脆弱性が長期間にわたって放置されるケースもあるという。
「攻撃発覚」から「公表」まで1ヵ月以上かかっている事案は57％
「攻撃発覚」から「公表」までの期間を分類した結果、1ヵ月以上かかっている事案は57％となった。この長期化の背景には、複数の要因が考えられるという。公表までに被害の原因や影響範囲の特定、影響を受ける利害関係者への適切な通知・説明が求められる中、企業側の人材が不十分だったり、攻撃発覚から公表までのプロセスに関する明確なレギュレーションが設けられていなかったりするなど、様々な要因により公表までの時間が長期化していると考えられるとしている。
「攻撃発生」から「攻撃発覚」までに要する期間について上場企業と非上場企業で比較したところ、上場企業が平均103日だったのに対し、非上場企業は平均647日となった。また「攻撃発覚」から「公表」までに要する期間は上場企業が37日だったのに対し、非上場企業は111日だった。上場企業のほうが非上場企業に比べて、サイバー攻撃に対してより早く対応していることがわかる。コンプライアンスの遵守やステークホルダーへの影響を重視し、迅速な対応を上場企業が求められていることは、この差の一つの要因だと考えられるという。
【関連記事】
・サイバーセキュリティクラウド、「CloudFastener」の開発力を強化 富士ソフトと業務提携
・サイバーセキュリティクラウド、AWS環境におけるフルマネージドセキュリティサービスを提供開始
・サイバーセキュリティクラウド、サイバートラストと販売代理店契約を締結
