現実：あらゆる組織が潜在的な標的である
サイバーセキュリティは、もはや世界最大級の企業や政府機関だけの課題ではありません。今日の超接続社会では、規模・業種・地域を問わず、あらゆる組織が潜在的な標的となり得ます。
英国および欧州各地での最近の攻撃は、脅威アクターが見つけられる限りの弱点を突いてくることを示しています。小売業者、製造業者、文化機関、交通事業者のいずれも被害を受けています。攻撃者は相手を選びません。機会を探しているのです。
最近の攻撃から得られる教訓
イースター期間中、Marks & Spencerは、Scattered Spiderによるものとされる侵害を受け、オンライン注文、クリック＆コレクト、店頭決済が混乱しました。推定損失は3億ポンドを超えるとされています。
Jaguar Land Roverは、サイバー攻撃でITシステムが機能不全に陥ったため生産停止を余儀なくされ、サプライチェーンに連鎖的な影響が生じました。
British Libraryはランサムウェア被害を受け、デジタルサービスが数か月にわたり停止しました。公共・文化機関も例外ではないという厳然たる事実を突きつける出来事です。
一方、Royal Mailはランサムウェア攻撃により国際配送が停止し、British AirwaysとeasyJetは、数百万人の顧客に影響するデータ侵害を公表しました。
そして直近では、ヒースロー、ベルリン、ブリュッセルを含む複数の欧州の空港が、第三者サービスプロバイダーであるCollins Aerospaceを標的としたサイバー攻撃を受け、手動チェックインへの切り替えを余儀なくされました。この事案は複数空港にわたる広範な混乱を引き起こし、共有システムが単一障害点になり得ることを浮き彫りにしました。
これらの例が示すことは一つです。サイバーリスクは普遍的だということです。
なぜあらゆる組織がさらされているのか
どの企業も安全だと決め込めない理由は、主に次の3点にあります。
-
相互接続と依存関係
現代の業務は、外部ベンダーや共有プラットフォームに大きく依存しています。1つの連鎖が侵害されれば、被害はエコシステム全体へ波及し得ます。空港の事案は、単一サプライヤーの障害が複数組織を同時に麻痺させ得ることを示す典型例です。 -
人間の行動とソーシャルエンジニアリング
侵害の多くは、いまなお「人」から始まります。高度化したフィッシング、音声クローン、AIによるなりすましにより、ソーシャルエンジニアリングはこれまで以上に見抜きにくくなっています。攻撃者が悪用するのはシステムだけではなく、信頼です。 -
技術の進展と攻撃の参入障壁の低下
AIにより、悪意ある活動はより速く、より安く、そしてより説得力のあるものになりました。稚拙な文法や紋切り型のメッセージは、もはや見分けるための決定的な兆候ではありません。脅威は今や、さらなる 信憑性を伴って迫ってきます。
中小企業が直面する異なるリスク
大企業が見出しを飾りがちですが、小規模な組織も同じリスクに直面しています。しかも多くの場合、防御手段はより限られています。
-
サプライチェーン上の露出：小規模サプライヤーは大企業のネットワークに直接接続していることが多く、攻撃者にとってより大きな標的へ到達する経路となります。
-
リソース制約：専任のサイバーセキュリティチームや高度な監視ツールがないため、小規模企業では侵害の検知が遅れがちです。
-
ポリシーの欠落：従業員に明確な指針がないと、たった一度の誤クリックが全面的なインシデントへと拡大しかねません。
サイバー犯罪者はそれを理解しています。彼らは意図的に小規模ベンダーを狙い、上流のより価値の高い環境へと足掛かりを得ようとします。
全体としてのレジリエンスを構築する
どの組織もリスクを完全に排除することはできませんが、レジリエンスは構築できます。主な取り組みは次のとおりです。
-
認証の強化 – パスワードやSMSコードにとどまらないこと。多要素認証や物理的なセキュリティトークンは、認証情報の悪用を防ぐのに役立ちます。
-
サプライチェーンの保護 – ベンダー契約に最低限のサイバーセキュリティ基準を組み込み、定期監査を徹底し、遵守状況を検証します。
-
従業員の力を引き出す – 定期的な研修、フィッシング訓練、明確な報告プロセスにより、チームが攻撃を早期に認識し阻止できるようになります。
-
インシデントへの備え – 事前に定義した対応プレイブック、テスト済みのバックアップ、明確なコミュニケーション手順を、攻撃が起きる前に整備しておきます。
-
防御目的でAIを活用する – 機械学習は異常の検知、対応の自動化、複雑な環境全体にわたる人の可視性の拡張に役立ちます。
認識から行動へ
小売・自動車から図書館・空港に至るまで、最近のインシデントの波は、ただ一つの真実を改めて突きつけます。どの企業もサイバー攻撃の脅威から逃れられないのです。
違いを生むのは備えです。サイバーセキュリティをコストセンターではなく戦略上の最重要課題として扱う組織は、混乱が生じた際にもより迅速に回復し、信頼を維持できます。
EclecticIQでは、レジリエンスは先見性から始まると考えています。プロアクティブなインテリジェンスへの投資、より強固な防御の構築、そしてサプライチェーン全体での説明責任の徹底を通じて、規模の大小を問わず、あらゆる組織がサイバー脅威を予測し、受け止め、適応する能力を強化できます。
翻訳元: https://blog.eclecticiq.com/why-no-business-is-immune-to-cyberattacks
