ランサムウェア攻撃後、セキュリティリーダーの25％が交代

最近のSophosのレポートによると、CISOがランサムウェア攻撃を受けた場合、その職を維持できる確率は4分の1です。このレポートの結果は、CISOが責任を問われるかどうか、またはそのような攻撃を防ぐ実質的な権限を持っているかどうかに関係なく、CISOにとって警鐘となるものだと業界専門家は述べています。

「この統計は驚くべきものではありませんが、セキュリティ機能が結果を出せなかった場合、取締役会レベルでの不満が高まっていることを反映しています。その判断がどれほど公正であるかに関わらずです」とErik Avakian氏（Info-Tech Research Groupのテクニカルカウンセラー）は主張します。「たとえ攻撃がCISOの直接的な管理外の要因から発生したとしても、ステークホルダーからは[CISOが]最悪のシナリオを防ぐことができるべきだという期待があります。」

Avakian氏は、ランサムウェア攻撃後にCISOを解任することが時には必要かつ適切である場合もあるが、企業はしばしば解雇の決断を急ぎすぎることが多いと付け加えます。

「CISOを解雇することは、CIOや取締役会にとって必要なリセットのように思えるかもしれませんが、それが常に戦略的な動きとは限りません。インシデント対応計画が遵守され、検知ツールが機能し、復旧がSLA内で行われたのであれば、CISOを交代させることは社内に誤ったメッセージを送ることが多いのです」とAvakian氏は主張します。「それはセキュリティの役割が実質よりも見た目重視であることを示しています。しかし、基本的な衛生管理が怠られていた場合—例えばセグメンテーションがない、バックアップがない、机上演習がない—ならば、変革は正当化されるかもしれません。」

Frank Dickson氏（IDCのセキュリティ担当グループVP）もAvakian氏の評価に同意しますが、ランサムウェア攻撃後に自らの意思で辞職するCISOもいるため、交代数が増えていると付け加えます。

「ランサムウェアイベントへの対応は非常に負担が大きいものです。セキュリティ担当者は、燃え尽き症候群で辞職を選ぶこともあれば、攻撃そのものではなく復旧プロセスで発生した対立が原因で辞めさせられることもあります」とDickson氏は述べています。

権限の問題

Dickson氏はまた、CISOの権限が考慮されるべきだと主張します。意思決定が事業部門（LOB）レベルで行われ—しかもCISOの助言に反して—いた場合、CISOを責めるのは企業として理にかなっているのでしょうか？

「ランサムウェア攻撃はCISOの責任だと考える人もいます」と彼は言います。「CISOはリーダーですが、唯一のリーダーではありません。侵害は多くの人の意思決定の積み重ねの結果です。」

Info-TechのAvakian氏は、このような企業の反応を、住宅所有者が自分の過失で家が火事になった時に消防署を責めるのと同じだと例えます。

「最後に消防署の隊長が解雇されたり、チームが火事の発生で責められたりしたのはいつですか？彼らは対応し、被害を軽減し、教育し、将来の火災リスクを最小限に抑える手助けをした人たちです」とAvakian氏は言います。「あちらの[セキュリティ]チームを見てください、CISOも含めて。彼らはあなたの消防士です。彼らはあなたを守り、インシデントが発生したときはいつでも助けるためにここにいます。」

Dickson氏はまた、多くの企業の事業部門—時にはCEOやCOOでさえ—が、CISOがビジネスプロセスを遅らせることを恐れて、意図的に重要な会議にCISOを招待しないことがあると強調します。

「彼らは積極的にセキュリティ部門を除外する決定をします」とDickson氏は言います。「私は[そうした経営陣に]『CISOがいらないなら、他の誰かが欲しがるだろう』と言っています。」

Sophosのレポートによると、ランサムウェア攻撃後のフォレンジック調査では、CISOが見逃していた、または知っておくべきだった問題がしばしば発見されるといいます。

「3年連続で、被害者は悪用された脆弱性を組織への侵入に使われたランサムウェアインシデントの最も一般的な根本原因として特定しています。全体の32％の攻撃でこの要因が使われました。侵害された認証情報は2番目に多い攻撃経路ですが、この手法を使った攻撃の割合は2024年の29％から2025年には23％に減少しました」とレポートは述べています。「メールは依然として主要な攻撃経路であり、被害者の19％が悪意あるメールを根本原因とし、さらに18％がフィッシングを挙げています—これは昨年の11％から大きく増加しています。」

Chet Wisniewski氏（Sophosディレクター兼グローバルフィールドCISO）は、同社の調査で回答者の40％が「未対応の既知のギャップ」がランサムウェア攻撃の発端だったと答えたと述べています。

「何百万ドルもの損害が発生した場合、それを乗り越えるのは非常に厳しいことです」と彼は言います。