#Infosec2024: 英国企業、サプライチェーン攻撃からの復旧に1か月を要するケースに直面

Infosecurity Europe 2024で発表されたBlackBerryの新たな調査によると、ソフトウェアのサプライチェーンを標的とした攻撃の被害に遭った後、約5社に2社（38%）が1か月に及ぶ復旧期間に苦しんでいる。

ITの意思決定者およびサイバーセキュリティのリーダー200人を対象とした調査では、英国のIT意思決定者の74%が、過去12か月の間に自社のソフトウェア・サプライチェーンにおける攻撃または脆弱性の通知を受け取ったことがあると回答した。

BlackBerryは、この調査が、英国政府が国家サイバー戦略の一環として、レジリエンスの向上とデジタル・サプライチェーンを強化するためのソフトウェアのセキュリティ強化に取り組んでいる時期に行われたものだと指摘した。

BlackBerryのUKIおよび新興市場担当VPであるKeiron Holyome氏は次のように述べた。「心強いことに、規制要件が行動変容を促しており、英国企業の間では、ソフトウェア・サプライチェーン環境を能動的に監視する企業が増えています。これは、英国政府の『ソフトウェアベンダー向け実践規範（Code of Practice for Software Vendors）』における重要な重点領域です。」

同氏はさらに、「しかし、潜在的な脅威に対処するための技術的知識と自信の不足が、サイバー犯罪者に悪用され得る脆弱性を引き続き露呈させており、その結果として生じる攻撃は、2年前と比べてより大きな金銭的影響をもたらしています」と指摘した。

同社は、ITリーダーの4分の3（75%）が、サプライチェーン内のソフトウェアライブラリの棚卸しを改善し、脆弱性の影響を受けるソフトウェアの可視性を高めるためのツールを歓迎すると回答したことを明らかにした。

技術的理解の不足と熟練人材の不足が、組織がより頻繁に監視を行うことを妨げる懸念事項だった。その他の課題としては、可視性や有効なツールの不足が挙げられた。

組織のうち、ソフトウェア環境の棚卸しをほぼリアルタイムで実施していると確認したのは22%にとどまり、28%は毎月、30%は四半期ごとに実施している。10社に1社は、このプロセスを3〜6か月ごとに完了していると回答した。

ソフトウェア・サプライチェーン・インシデントの影響

ソフトウェア・サプライチェーン攻撃後の影響について、英国のITリーダーは、金銭的損失（62%）、データ損失（59%）、評判の毀損（57%）、業務への影響（55%）の面で高い影響を感じていた。

BlackBerryは、ソフトウェア・サプライチェーンに起因するセキュリティ侵害リスクの管理という観点で、組織に最も大きな影響を与え続けているのは、オペレーティングシステム（32%）とウェブブラウザ（19%）であることを明らかにした。

調査対象となった英国の組織は、ソフトウェア・サプライチェーンにおける攻撃を防ぐため、データ暗号化（54%）、従業員向けトレーニング（47%）、多要素認証（43%）など、厳格なセキュリティ対策を講じていると回答した。

ITリーダーの過半数（68%）は、自社のソフトウェアサプライヤーのサイバーセキュリティ方針が、自社で実施しているものと同等、または（31%は）それ以上に強固であるとも考えている。

回答者のほぼ全員（98%）が、サプライヤーが自社環境内の脆弱性の悪用を特定し、防止する能力に自信があると回答した。