最新セキュリティマネジメント（第13回）「情報セキュリティ10大脅威2022」を確認

　組織編の1位は2021年に引き続き「ランサムウェアによる被害」だ。2020年には5位だったことを考えると、いかに危険度が上がっているかが分かる。ランサムウエアはウイルスの一種で、パソコンやサーバーが感染するとデータが暗号化されて利用できなくなる。それを解除することと引き換えに金銭を要求される。

　ランサムウエアはデータを人質に取って身代金を要求するところから、身代金を意味する「Ransome」と「Software」を組み合わせた「Ransomeware」という造語が作られた。暗号化する前に情報を盗み出しておいて、要求した金銭を支払わなければ情報を公開すると脅す「二重脅迫」という手口もある。ちなみに身代金を支払ってもデータが復旧できる保証はないのが悪質なところだ。

　昨年の4位から3位にランクアップしたのが「サプライチェーンの弱点を悪用した攻撃」である。新型コロナウイルスの流行により特定地域の工場が操業を停止し自動車の生産が滞るなど、リアルなサプライチェーンの脆弱性が話題になった。サイバーの世界でもサプライチェーンの脆弱性が狙われる。

　注意すべきは弱点が狙われる点だ。攻撃者は効率よく成果を得るためにサプライチェーンの“弱い輪”を狙ってくる。つまり、強固なセキュリティ対策を講じている大企業より、大企業と取引している中小企業や海外企業などセキュリティ面の対策が不十分な“輪”を狙い、そこからサプライチェーンをたどって大企業のシステムに侵入しようとする。

　同様にセキュリティ対策の脆弱な部分を狙うのが「テレワーク等のニューノーマルな働き方を狙った攻撃」だ。昨年の3位から4位に順位を下げたが、注意が必要だろう。

　目新しい攻撃が、今年初めてランクインした7位の「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」だ。公開前のため一般にはそのソフトウエアのどこに脆弱性があるのか分からない。ここを狙われると多くのユーザーに被害が発生する可能性がある。2021年には実際にこうした攻撃が見られるようになった。攻撃側は進化しているのである。

脅威や対策を確認し自社がやるべきことを選ぶ

　解説書と同時に発表された「情報セキュリティ10大脅威の活用法」では、「順位にとらわれずに、立場や環境を考慮する」「ランクインした脅威がすべてではない」「情報セキュリティ対策の基本が重要」という前提で、具体的な検討方法が紹介されている。

　検討するプロセスとしては、自組織にとって守るべきものを明らかにし、自組織にとっての脅威を抽出し、その対策候補を洗い出し、実施する対策を選択すべきと解説している。すべての脅威から情報を守るのは不可能に近く、すべての対策を実施するのも現実的ではない。そのため組織の現状を踏まえて優先度を付けて対策を講じなければならない。

　「活用法」では組織と個人に分けて検討例が掲載され、ポイントが解説されている。脅威と対策候補の洗い出し例もあるので、チェックリストとして利用できるだろう。

　サイバー攻撃は多様化、高度化している。ただ、解説書にあるように「攻撃の糸口」は似通っている。脆弱性を突く、ウイルスを使う、ソーシャルエンジニアリングを使うなどだ。こうした攻撃を正しく理解し、セキュリティ対策を講じていくのが基本となる。そのうえで「10大脅威」の「解説書」と「活用法」は大いに参考になるはずだ。