2022 では、CISOの方々の背筋が凍りつき、身の毛がよだつようなニュースが後を絶ちません。その中には、世界的な「」サイバー戦争の台頭 や、 ランサムウェア グループの凶悪さなどが含まれています。
以下は、企業のリーダーたちが最も懸念すべきであり、今後何年にもわたって恐怖と不安を広げる可能性のあるトレンドです：
ファームウェアの脆弱性が急増しています
ファームウェアは、ハードウェアと、ソフトウェアを実行するその他のデバイスとの間のインターフェースを提供します。 そのため、攻撃者にとって極めて魅力的なエンドポイントへのアクセス権を攻撃者に与え、長期間にわたり検知されずに活動し続けることを可能にしてしまいます。
「あらゆるソフトウェアには脆弱な部分があり、ファームウェアもあくまでソフトウェアに過ぎません。」ReversingLabsのテクニカルプロダクトマネージャー、ロジャー・トンプソン氏
攻撃者は、デバイスのファームウェアを標的とするケースが増えており、実際に侵入に成功する事例も増えています。 最近の例としては、 CosmicStrand が挙げられます。これは、統一拡張可能ファームウェアインターフェース（UEFI）を悪用するもので、ロシアのマルウェア対策ベンダーであるカスペルスキー・ラボによって初めて公表されました。 このハッキングは H81 チップセットを標的としており、成功すると、デバイス上で動作しているセキュリティソフトウェアを無効にしてしまいます。
2022年には、ファームウェアの深刻な脆弱性の件数が引き続き増加しました。 2月、セキュリティベンダーのBinarly社が、UEFIファームウェアソフトウェアの一種である「 InsydeH2O」に重大な脆弱性を発見しました。 これらの脆弱性は、コンピュータのオペレーティングシステムの動作を支援するために、自社ソフトウェアに独立系BIOS開発者（IBV）のコードを採用しているすべてのベンダーに影響を及ぼしました。 Binarlyは、「 」のブログ記事（ ）において、富士通、シーメンス、デル、HP、HPE、レノボ、マイクロソフト、インテルなどのベンダーの製品に脆弱性が発見されたと報告しました。
[関連記事：ファームウェアの脆弱性がノートパソコンを危険にさらす]
「私たちは絶え間ない競争の真っ只中にあり、その境界線は［技術］スタックの下層へと移動し続けています」と、ソフトウェア・サプライチェーン・セキュリティ・プラットフォームを提供するReversingLabsのテクニカル・プロダクト・マネージャーであり、マルウェア対策およびファームウェアセキュリティの専門家であるロジャー・トンプソン氏は述べています。 「すべてのソフトウェアには脆弱な部分があり、ファームウェアもやはりソフトウェアに過ぎません。」 同氏は、企業がエンドポイントをさらに導入するにつれて、ファームウェアに対する攻撃はますます増加するだろうと述べています。これにより、攻撃対象領域全体が拡大することになるからです。
高度な持続的脅威がネットワーク内に潜んでいます
「ゼロトラスト」というセキュリティアプローチにおける標準的な前提は、IT環境はすでに侵害されており、攻撃者がすでに多数のサーバーやエンドポイント内に侵入しているということです。 セキュリティチームは、まだどれが該当するのか把握できていません。 初期の侵入後、盗まれた認証情報が や といったサイトへの横方向の移動に悪用されるため、攻撃者が組織内に侵入した時点で直ちに阻止することが依然として不可欠です。
「物理的な戦争については明確な規則がありますが、サイバー戦争に関してはジュネーブ条約に基づく明確な規則が存在しません。」 外はまるでワイルド・ウェストのようです。”トム・カーカム氏（Kirkham IT 最高経営責任者兼最高情報セキュリティ責任者）
ゼロトラストとは、人、システム、デバイスは常に認証されなければならないという前提に基づく技術的アーキテクチャです。 Analysts expect the value of the global zero-trust market to reach $126 billion by 2031, up from $24 billion in 2021.
「このモデルは、『信頼はするが検証も行う』という従来のアプローチとは根本的に異なります。従来のアプローチでは、内部関係者による悪意のある活動にネットワークがさらされてきました」と、ネットワークセグメンテーションの検証および可視化ソリューションを提供するNetwork Perception社のCEO、ロビン・ベルティエ氏は述べています。 同氏によると、このセキュリティアーキテクチャに対する強い関心は、一部には、バイデン大統領が 2021年5月 に発令した「」大統領令（ ）によるものであり、同令では連邦政府に対しゼロトラストの採用を義務付けています。 さまざまな解釈が存在する一方で、NIST 800-207、フォレスターのZTX、ガートナーのCARTAといったゼロトラストの基準が台頭してきています。
ランサムウェアは依然として深刻な脅威となっています
ランサムウェア「 」は、依然として多大な被害をもたらし続けています。 According to Cybersecurity Ventures, the cost of ransomware attacks is expected to reach $265 billion by 2031, up from $20 billion in 2021. 費用には、生産性や売上の損失、データ漏洩の復旧費用、および規制当局からの罰金が含まれます。
マルウェア対策ソフトウェアプロバイダーのWebrootは、LockBitを「最も活発で成功を収めているランサムウェアグループ」の 2022’s 位にランク付けしました。。 このグループは長年にわたり「ランサムウェア・アズ・ア・サービス」を提供してきましたが、その手口は進化し続けています。 このハッカー集団は、身代金を要求してデータを人質に取るだけでなく（支払わなければデータを公開すると脅迫しながら）、分散型サービス拒否（DDoS）攻撃も行っています。
「 の自動化がますます身近になってきているため、攻撃の総数は増加しています」と、コンサルティング会社Kirkham ITのCEO兼CISOであるトム・カーカム氏は述べています。 「[各団体は]その手法をますます洗練させてきています。」 さらには、丸ごと雇えるランサムウェア専門の組織まで存在することが確認されています。 「彼らは特定の個人を標的とし、その人物の注目を直接引きつけ、その内輪に食い込むために、その人に合わせた戦略を展開するのです。」
サプライチェーンは依然として脆弱な状態にあります
ソフトウェアのサプライチェーンを可視化することは、常に懸念される課題です。 オープンソース、商用、クラウド、サードパーティ製ソリューションなど、あらゆる種類のソフトウェアやサービスにおいて、コードに悪用可能な欠陥がないことを保証することは困難です。
「サプライチェーンに起因するサードパーティ・リスクや、サードパーティ製ソフトウェア・コンポーネント内の脆弱性は、依然として外部要因による情報漏洩の大きな要因となっています」と、調査会社フォレスターのプリンシパル・アナリスト、サンディ・カリエリ氏は、同社が主催した「 Security & Risk Forum」（）で述べました。 「組織のエコシステムには、おそらくかつてないほど多くの第三者が関わっているでしょう。」
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ソフトウェアサプライチェーンのセキュリティ向上を図る手段として、ソフトウェア部品表（SBOM）――製品に含まれるソフトウェアコンポーネントの一覧――の利用を積極的に推進しています。 SBOMは、組織内で使用されている商用ソフトウェアおよびオープンソースソフトウェアに含まれるソフトウェアコンポーネントの可視性を高めます。
地政学的リスクが雪だるま式に拡大しています
今年、一つ明らかになったことがあるとすれば、それは地政学的リスクとサイバーリスクが密接に関連しているということです。 新たな紛争が起きるたびに、サイバー攻撃のリスクが高まります。 2022年2月、ロシアによるウクライナへの全面侵攻以前から、同国の公共、エネルギー、メディア、金融、ビジネス、非営利セクターに対するサイバー攻撃は激化していました。 それ以来、ロシアによるサイバー攻撃が、医薬品、食料、救援物資の供給を妨げていることが、 の欧州議会向けブリーフィング（ ）で明らかになりました。
「今日のCISOにとって最も危険な潜在的な傾向は、Uberのような法的脅威への恐れから、いかなる行動も躊躇してしまうことです。」Cybraryの脅威インテリジェンス担当シニアディレクター、デビッド・メイナー氏
「（サイバー攻撃の）影響は、基本的なサービスへのアクセスを妨げるものから、データの盗難や、ディープフェイク技術を含む偽情報に至るまで多岐にわたっています」と、ブリーフィングでは指摘されています。 「その他の悪意のあるサイバー活動としては、 へのフィッシングメールの送信、、分散型サービス拒否（DDoS）攻撃、およびデータ消去型マルウェア、バックドア、監視ソフトウェア、情報窃取型マルウェアの使用などが挙げられます。」 欧米においても、重要インフラが標的とされるケースがますます増えています 。
中国による台湾への威嚇行為が激化する中、台湾政府は、通常戦力の強化を進める一方で、サイバーレジリエンスの向上にも取り組んでいます。 米国下院のナンシー・ペロシ議長の訪台に伴い、台湾に対するサイバー攻撃が増加しました。 電子看板が乗っ取られ、ペロシ氏の訪問に反対するメッセージが表示されました。
「世界には、権威主義国家でも民主主義国家でも、非常に多くの動乱があります」とカークハム氏は述べています。 「実戦による戦争については明確なルールがありますが、サイバー戦争に関してはジュネーブ条約に基づく明確なルールがありません。」 「保護とセキュリティの両面において、外の世界はまるで『ワイルド・ウェスト』のような状態です。」 カークハム氏は、西側諸国に対してロシアやイランによる大規模な攻撃がこれほど少ないことに驚いています。
法的な不確実性は、長い影を落としています
2022年10月年の初め、サンフランシスコの連邦陪審は、データ漏洩に関する事実を連邦取引委員会（FTC）に隠蔽したとして、Uberの元最高セキュリティ責任者であるジョー・サリバン氏に有罪判決を下しました。 政府は、サリバン氏がハッカーに口止め料を支払い、情報漏洩を報告しなかったことで、FTCによる進行中の調査を妨害したと主張し、その主張が認められました。 サリバン氏に対する判決はまだ下されていませんが、この評決はCISOたちの注目を集めています。
「今日のCISOにとって最も危険な潜在的な傾向は、Uberのような法的脅威への恐れから、いかなる行動も躊躇してしまうことです」と、サイバーセキュリティおよびIT人材育成プラットフォーム「Cybrary」の脅威インテリジェンス担当シニアディレクター、デビッド・メイナー氏は述べています。 判決が言い渡された後、彼は、サイバーセキュリティ関連の非公開ソーシャルグループやネットワーキンググループが、この判決が自分たちにとって何を意味するのかについて議論し、「大騒ぎ」になったと述べています。 判決はまだ下されていませんが、実刑の可能性も視野に入っています。
[関連記事：もし誰かが懲役刑を受けることになるなら、私たちは「ボイスフィッシング」を考案した人たちに一票を投じます]
「これは、CISOが罰金を懸念していた状況から、大きな転換です」とメイナー氏は述べています。 「今、彼らは、数年後に、緊急事態の最中に取った行動が違法とみなされる可能性があるかどうかを、陪審員が判断することになるのではないかと懸念しています。」 「その恐怖は、行動不能に陥らせるだけでなく、情報漏洩への対応にあたって組織が乗り越えなければならない煩雑な手続きをさらに増やすことにもつながります。」
2023 が2022よりも過酷さが和らぐことはまずないでしょう。企業やそのCISOも、そのことを承知しています。 の調査（ ）によると、Spiceworks Ziff DavisのIT専門家1,400 名以上を対象とした調査の結果、セキュリティ予算は、生産性向上アプリケーションなど、企業のテクノロジー投資における他のカテゴリーを上回る見込みです。具体的には、セキュリティ支出は、ソフトウェア予算の11％、ハードウェア予算の 7％、 のクラウドサービス予算（ ）の6％を占めることになります。
CISOたちは、その多額の資金が有効に活用されることを願うしかありません。
