毎日のように発生するランサムウェア攻撃
ランサムウェア攻撃は今や毎日のようにニュースで報じられるようになっており、新たなマルウェアのファミリーもほぼ同じ頻度で出現している上、企業が標的となるケースもますます増えています。 実際、ランサムウェアはこれほどまでに蔓延しているため、今月、米国とカナダは、最近の攻撃の急増について警告する共同サイバー警報を発出しました。
ランサムウェアは通常、一見無害に見えるメールの添付ファイルとしてネットワークに侵入します。 一度実行されると、ランサムウェアはネットワーク内を拡散し、可能な限りのファイルをすべて暗号化します。そして、データの復号化のために身代金の支払いを要求する際になって初めて、ユーザーにその存在を知らせます。 「ジグソー」や「ロッキー」、「ケレンジャー」といった風変わりな名前がついているとはいえ、ランサムウェアは深刻な被害をもたらす可能性があります。2月、ハリウッド・プレスビテリアン・メディカル・センターがランサムウェア攻撃を受け、患者の転院を余儀なくされ、記録の取り方を紙と鉛筆による方法に戻さざるを得なくなったことが、その実例です。
このような出来事は今後も続くでしょう。 先日発表された「 Verizon データ侵害調査レポート（DBIR）」 によると、犯罪者が標的とする資産カテゴリーとして、「個人」の項目が引き続き増加傾向にあることが示されています。 そして、いったんハッカーが侵入してしまうと、その見通しは同様に懸念されるものです。 当社がナスダックと共同で実施した、世界中の組織においてサイバーセキュリティの「説明責任のギャップ」が拡大していることに関する最近の調査（ ）によると、全回答者の3分の1以上（38％）が、自社のマルウェア対策、ウイルス対策ソフト、およびパッチが常に 100％最新の状態にあるとは考えていないことが判明しました。 調査対象の中で最も脆弱な企業に注目すると、その割合は驚異的な 87％にまで跳ね上がります。 ポネモン・インスティテュートが発表した「第 2016 回エンドポイントの現状に関する報告書」によると、調査対象企業の56％が、ランサムウェア攻撃を防御する準備が整っていないことが明らかになりました。
まずは行動の変化から始めましょう
テクノロジーだけでは、あらゆるサイバーセキュリティの問題を解決することはできません。 優れたサイバーセキュリティ対策とは、テクノロジー、情報、そして人との接点を強化するものです。 セキュリティ上の問題のほとんどは、1）適切なネットワーク可視化とツールがあれば容易に特定・是正できたはずの基本的な管理上の問題、および 2）単純な人的ミスによって引き起こされています。 したがって、ランサムウェアをはじめとするあらゆるマルウェアの影響からネットワークを保護するには、2つの極めて基本的な原則が重要となります。それは、マルウェア対策ソフトウェアとパッチを常に最新の状態に保つことと、従業員の行動変容を促し、より安全な技術的慣行を実践してもらうことです。
従来、従業員はサイバーセキュリティを「技術担当者の仕事」と捉えてきました。 とはいえ、組織のエンドポイントのほとんどの裏側には従業員がいます。サイバーセキュリティは、組織内のどの部署に所属していようとも、全員の責任であることをスタッフに周知徹底することが、行動変容に向けた第一歩となります。 DBIRによると、 2015年に のフィッシング攻撃 について、標的となった個人のうち、管理部門に通報したのはわずか3％でした。 企業の全従業員は、外部および内部の脅威の侵入経路としての自らの役割、およびそれらをどのように見分けるかを理解しておく必要があります。 Taniumとナスダックが共同で実施した調査によると、最も脆弱な回答者のうち、従業員によって企業システムに生じうるリスクを理解していると答えたのは、わずか 17％にとどまりました。 調査対象の中でリスクへの脆弱性が最も低かった企業（リスクを理解していた割合が 100％だった）と比較すると、知識を備えた従業員こそが、より強靭なネットワークの構築につながることは明らかです。
「責任感の文化」
この「責任の文化」を実現するためには、トップからの説得力のある姿勢が重要であると同時に、その文化を管理職の各階層に浸透させ、従業員への研修によってそれを補強することも重要です。 経営陣は、全従業員を対象としたサイバーセキュリティ啓発研修に、適切な予算とリソースが割り当てられるよう確保すべきです。 また、従業員の活動内容と、それによって生じるリスクについて、ベースライン監査の実施を検討すべきです。 監査とは、IT資産に対するリスクを把握するだけではありません。従業員や、彼らが使用する製品、そして日々の業務の流れを理解し、リスクを伴う行動がどこに潜んでいるかを特定することも目的の一つです。
セキュリティを個人に合わせてカスタマイズしたり、さらにはゲーム要素を取り入れたりすることは、組織内の全員がサイバーセキュリティに関与するよう促すための優れた方法です。 企業によっては、全従業員を対象にリスクプロファイルやリスクスコアを作成しています。 個人がウェアラブル技術を利用して、睡眠、運動、食事に関する実践的な知見を得ているのと同様に、ITセキュリティチームも、従業員がどこで成果を上げているか、どこに課題があるかを理解できるよう、リスクスコアを提供することができます。 また、トレンドを共有したり、皆さんがより高いスコアを目指せるよう励ましたりすることもできます。
本調査において、脆弱性が最も低い回答者は、脆弱性が最も高い回答者と比べて、自社の最大の脆弱性の原因を特定し、サイバーセキュリティに関する従業員の能力向上を図っていた可能性が8倍高かったことが分かりました。 新たな脅威を踏まえて、自社のセキュリティ体制や投資について検討する際は、責任感ある文化の醸成と、サイバー攻撃に対する脆弱性の低減との間に直接的な相関関係があることをご考慮ください。 ネットワークの安定は、これに左右されます。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
