ランサムウェア攻撃の発生頻度と被害額が増加するにつれ、保険各社は、 K–12 校を対象とした保険契約を含め、サイバー保険の引受基準を引き上げ始めています。
のような適切なサイバー衛生管理を実践できていない組織 は、数多くの特約や免責事項を伴わないサイバー保険に加入することが、より困難になり、費用もかさむことになるでしょう。 場合によっては、組織がサイバー保険に加入すること自体が不可能になることもあります。
のエンドポイントセキュリティ対策 を導入し、サイバー衛生に関するベストプラクティスに従うことで、 K–12 校は、ランサムウェア攻撃に対して適切な予防措置を講じていることを保険会社に証明することができます。 そうすれば、保険会社は、攻撃を受けた際に発生しうる損害の費用を補償する保険契約を、彼らに発行する可能性が高くなるでしょう。
この記事では、サイバー犯罪の動向を振り返り、それらの動向が保険料にどのような影響を与えているかを考察するとともに、 K–12 校がITセキュリティを強化し、ますます厳しくなる補償要件をより容易に満たすために実践すべき提言をご紹介します。
サイバー犯罪は儲かるものであり、保険会社はこれまで保険金を支払ってきました
The cyber insurance business got its start after Target was the subject of a data breach in 2013. In that attack, criminals compromised the IT systems of a Target partner, and used that compromised partner’s access to retrieve the payment information of 110 million consumers.
この攻撃は提携先から発せられたものであったため、ターゲット社は、新たなセキュリティ侵害が発生した場合の費用を賄うため、提携先に対してサイバー保険への加入を義務付けるようになりました。 ターゲットの提携先から補償の要望が寄せられるようになると、保険各社は新たな市場が生まれたことに気づきました。 彼らは数多くの方針を策定し始めました。
最初の数年間、それらの保険契約は極めて高い収益をもたらしました。 その後、ランサムウェア攻撃を含むセキュリティ攻撃は、より大胆になり、頻度も増し、その復旧にかかる費用も高くなりました。
In the past five years, the average cost of a successful cyberattack in the U.S. has risen to $13 million, and security breaches have increased 67%.
リスクの専門家によると、ターゲット社の情報漏洩事件が発生した頃、サイバーインシデントによる事業中断は、企業が直面するリスクのリストにおいて約 15 位に位置づけられていました。 現在、 のリストのトップにランクインしています。
これらのセキュリティ侵害は、直接影響を受けた企業にとって明らかに深刻な打撃となりました。 保険会社にとっても、これは不利な状況でした。 数年前までは非常に収益性の高い市場だったものが、採算ラインギリギリ、あるいはそれ以下の状態になってしまいました。 一部の保険会社では、サイバー保険の保険金支払額が保険料収入を上回ってしまう事態さえ生じました。 比較的 迅速かつ簡単な審査が行われていた時代は終わりました。
脅威が増えれば、監視も厳しくなります
現在、保険会社は保険契約を締結する前に、より厳しい質問を投げかけています。 保険会社は、保険契約を結んでいる組織が、ランサムウェアのようなサイバー攻撃が成功するリスクを低減するために、適切な対策を講じていることを確認したいと考えています。 そこで、保険会社は申込者に対し、ランサムウェアの脅威を最小限に抑えるための具体的な対策を講じていることを確認するための質問票への記入を求めています。
例えば、多くのランサムウェアの亜種は、ネットワーク内を横方向に移動するために、リモートデスクトッププロトコル（RDP）のポートを利用しています。 ほとんどの組織において、このポートは、組織の機能に支障をきたすことなく、多数のエンドポイントで閉じておくことができます。 そこで、保険会社は各組織に対し、そのポートを閉じたことを確認するよう求めています。
保険証券が発行されると、保険会社はITセキュリティサービスを利用して、当該組織の対外ネットワークを定期的にスキャンし、防御体制の脆弱性を探します。
不要なポートを閉じることは、間違いなくセキュリティ上の良い対策です。 また、アンケートに回答し、ネットワークスキャンを受けることで、保険会社は組織のセキュリティ攻撃に対する備えについて、より正確に把握することができます。
しかし、組織は攻撃に対する防御体制を強化するために、さらにできることはあるのでしょうか？ また、保険会社に対して、自分たちが万全の準備ができていることをより簡単に証明し、有利な保険契約を結びやすくするには、どうすればよいでしょうか？
サイバー保険と K–12 校
これらの質問は、 K–12 校を含むすべての組織に当てはまります。 多くの人は、学校がハッカーにとって魅力的な標的になるとは考えていません。 何しろ、銀行のような金融機関なら、身代金を支払うための資金がもっとあるのではないでしょうか？ 医療の提供を脅かす可能性のあるネットワーク障害を迅速に解決しなければならないというプレッシャーを、病院はより強く感じるのではないでしょうか？
しかし、学校はその規模や財政状況、そして管理している個人を特定できる情報の多さから、サイバー犯罪者にとって魅力的な標的となっています。
The U.S. public school system employs more people — about 6.6 million — than any other industry in the country. Public school IT systems store information, including names, home addresses, and social security numbers, for over 50 million students.
そうした学生のほぼ全員が、いつか金融口座を開設し、クレジットカードなどの金融商品を利用するようになるでしょう。 犯罪者たちは、これらの学生の個人情報が、現在あるいは将来にわたって詐欺の標的として価値があることを認識しています。 だからこそ、犯罪者たちはダークウェブ上で、学生の個人データ（ ）に対し、250 ドルから350 ドルを支払うことを厭わないのです（ ）。
銀行や病院などのほとんどの商業企業では、高度で多層的なセキュリティ対策が講じられており、ITセキュリティのあらゆる側面を支えるための十分な人員体制と予算が確保されています。 K–12 校のほとんどは、同規模のこれらの組織に比べ、予算や職員数がごくわずかです。 小規模な学校の中には、専任のIT担当者がいないところもあるかもしれません。 こうした資源不足により、 K–12 校が脆弱な状態に置かれており、それが攻撃が増加している理由です。
K–12 学区の評判への影響は言うまでもありません。 ほとんどの教育長は、身代金の支払いで予算の予備費を食い尽くすだけでなく、IT管理体制について保護者から激しい抗議を招くような、恥ずかしいセキュリティ侵害事件でニュースに取り上げられることを避けたいと考えています。
There were 122 cyberattacks against K–12 schools in 2018. 2020 年の8月と9月だけで、インターネットセキュリティセンター（CIS）のMS-ISACチームに報告されたランサムウェア攻撃の57％ が、K–12 の学校を標的としていました。
K–12 校が直面していたセキュリティ上の脅威は、すでに極めて深刻なものであり、2018年にFBIが「 」という公共サービス広告（ ）を発表するに至りました。 この問題は現在、特に新型コロナウイルス感染症（COVID-19）のパンデミックによる遠隔学習の増加に伴い、さらに深刻化しています。 その影響は甚大であり、 2020年には、サイバーセキュリティ・インフラセキュリティ庁（CISA）（ ）が、遠隔学習の増加に伴い高まる脅威に対処するため、 K–12 校を対象としたセキュリティガイドライン（ ）を作成しました。
では、 K–12 校はどのようにすれば、サイバー脅威に対してより効果的に身を守り、保険会社に対して自校のITセキュリティ体制が万全であることを示すことができるでしょうか？
Automating K–12 cybersecurity and meeting policy requirements
K–12 校では、エンドポイント管理・セキュリティプラットフォームを導入することで、ランサムウェアやその他のセキュリティ脅威に対する防御体制を劇的に強化することができます。 このプラットフォームを活用することで、学校は、ノートパソコン、デスクトップパソコン、仮想マシン、サーバーなど、エンドポイントのセキュリティ状況や日常的な運用状況について、貴重な可視性を得ることができます。
時間を節約できる のサイバーセキュリティ自動化機能 を備えたプラットフォームは、リソースが限られている学区においても、多くの手作業や煩雑なタスクを自動化することで、現在よりも効果的にセキュリティ管理を行うのに役立ち、既存のスタッフの業務効率向上にも貢献します。
こうした可視性の向上により、スタッフは、攻撃に対する脆弱性を最小限に抑えるために是正すべき問題を特定することができます。 また、攻撃が発生した際には、ITチームはエンドポイントセキュリティ機能や可視化機能を活用して、攻撃の性質を迅速に把握し、その拡散を食い止めることができます。
さらに、エンドポイント管理・セキュリティプラットフォームを利用すれば、学校に関連するすべてのエンドポイントを正確に把握し、それらのエンドポイントの脆弱性状況に関するレポートを作成し、パッチや更新プログラムを自動的に配信することができます。
セキュリティ攻撃の多くは、アプリケーションやオペレーティングシステムにすでに存在する既知の脆弱性を悪用するため、エンドポイントを常に最新の状態に保ち、パッチを適用しておくことで、攻撃のリスクを大幅に低減することができます。
残念ながら、多くの学校では、更新プログラムや のパッチ管理 は、IT担当者がエンドポイントを分析し、必要な変更を特定し、パッチや更新スクリプトを実行して、それが計画通りに機能することを期待する時間がある場合にのみ行われる、時間のかかる作業となっています。 それでも、パッチが適用されたり更新されたりするのは、一部のエンドポイントに限られる可能性があります。
エンドポイント管理システムを活用して、 の更新およびパッチ管理ワークフローを自動化することで、この重要な作業を迅速かつ容易に、そして包括的に行うことができます。
の「Tanium Risk and Compliance Management 」ソリューションは、エンドポイントの状態をリアルタイムで可視化します。 Taniumは、どのポートが開いているか、あるいは閉じているかだけでなく、エンドポイントでどのような活動が行われているか、そしてそれらの活動のうちどれがセキュリティ上の脅威となるかについても報告します。
このプラットフォームに組み込まれた自動レポート機能により、スタッフは、 K–12 の学区の環境において、ネットワーク内・外を問わず、管理対象資産および非管理対象資産に関するレポートを簡単に作成することができます。 これらのレポートは、サイバー保険会社に「適切なサイバーセキュリティ対策」の証拠として提示するために、数週間にわたるデータ収集や整理を必要とすることなく、リアルタイムかつ正確なデータを提供することで、非常に大きな助けとなります。 つまり、学校は保険に加入しやすくなるだけでなく、自校の環境内で何が起きているかを把握できることで、攻撃に対する脆弱性も軽減されるということです。
K–12 校では、Taniumを活用してすべてのエンドポイントにパッチやアップデートを自動的に配信することも可能です。これにより、学校のエンドポイント全体のセキュリティが向上し、保険金の支払いが必要となるような攻撃のリスクを低減することができます。
多額の損害をもたらすサイバー攻撃の脅威が高まる中、 K–12 校のどの学校にとっても、サイバー保険に加入することは賢明な判断です。 Taniumは、学校がネットワークを保護し、この重要な種類の保険について有利な契約条件を得られるよう支援します。
のTaniumが提供するリスク・コンプライアンスソリューション「 」が、組織全体のリスク状況をリアルタイムで可視化する方法をご紹介いたします。 今すぐデモにお申し込みください。
