Absolute による 2023年のセキュリティ傾向予測

Absoluteは毎年、翌年のセキュリティ傾向を予測しています。2022年も12月に予測を行い、日本では 2月のオンラインセミナーで紹介させていただきました。2022年の予測は以下の 5つでした。それぞれについて簡単に振り返ってみましょう。

2022年の予測を振り返る

重要な産業でランサムウェア攻撃が増加する
残念ながらこの予測はあたりました。警察庁が2022年9月15日に発表した「令和4年上半期におけるサイバー空間をめぐる脅威の情勢等について」においても、ランサムウェアによる感染被害の多発が、事業活動の停止・遅延等、社会経済活動に多大な英異教を及ぼしていると報告されています。
デバイスの可視性が大きな課題になる
パンデミックの発生によって人々がリモートワークに移行してからもう 2年が経ちました。IT 担当者にとってエンドユーザーがどんな環境で端末を使用しているか把握できていない状態でサポートを行うのは困難な状況です。ネットワークの可視化によってサポート負荷が軽減されます。
アプリケーションの持続性が標準になる
特に北米ではマーケット全体がレジリエンスに興味を示しています。日本でも「サイバーレジリエンス」という言葉をよく目にするようになりました。Forrester が 2022年6月6日に発表した「The Future Of Endpoint Management」の中でも自己修復機能の重要性について言及されています。
ユーザーエクスペリエンスが、従業員の満足度と離職率に関係する
ユーザーエクスペリエンスの重要性は増加しています。2022年 2月 1日に、Gartnerは、2025年までにユーザーエクスペリエンスのツールの活用が 60%の組織で採用されるだろうと予測しています。よりよいユーザーエクスペリエンスを従業員に提供できなければ組織にとって深刻な事態を招く可能性があります。
ファームウェアを狙った攻撃がニュースのヘッドラインに現れる
ファームウェアを制御しようとする攻撃についての議論は、多くのセキュリティコミュニティの中で行われています。北米のセキュリティサイトにも記事があがっており、これからの脅威として注目を集めています。

2023年の予測

Absolute のサイバーセキュリティ・エバンジェリスト、Dr. Torsten George は 2023年の脅威予測として、次の 5つを挙げます。

#1. 在宅勤務へのサイバーセキュリティが、ビジネス上の重要課題となる
パンデミックによって急激にリモートワークへとシフトした中で、リモートワーク環境におけるセキュリティ対策は、戦略的というよりも戦術的に行われてきました。多くの国が With コロナ政策をとる中、今後、「どこでも働ける」環境からオフィス集中型の働き方に戻るということは考えにくい状況です。Absolute の調査でも、2022年10月に組織のリソースに端末がアクセスした場所の平均は、政府機関やプロフェッショナルサービスで 4.8カ所、値の低い教育業種でも 3.4カ所となっています。

「どこでも働ける」環境が常態化する中で、組織リソースには、どこからでも、そしてどんな経緯をたどってでも、一定のユーザーエクスペリエンスを保ってアクセスできなくてはなりません。組織には、エンドポイントのレジリエンス、エクスペリエンス監視、レジリエントな ZTNA などの機能が求められます。

#2. ZTNA を活用したソフトウェア定義の境界線の採用が増加する
51%の組織が、漏えいしたエンドポイントが、リモートアクセス接続を通じて組織データにアクセスするために利用されたことを確認しています (HP Wolff Security: 2021 Blurred Lines and Blindspots Report)。そのことは、従来型のアクセスメソドロジーの見直しが必要だということを示しています。従来型の VPN を、ZTNA に移行する必要があります。Gartner は、2022年 2月に発表した Market Guide for Zero Trust Network Access において「ZTNA の効果は絶大である」と述べています。

現在の情報漏えいの多くが、パスワードが漏れてしまったことをきっかけに発生しています。ユーザー ID/パスワードの組み合わせだけでなく、コンテキストを捉えてネットワークへのアクセスを許可する ZTNA は大きな効果を発揮します。

#3. 経済情勢が内部脅威のリスクを高める
日々、経済に関わるさまざまのネガティブな情報が、テレビ、新聞、オンラインニュースなどで飛び交っています。セキュリティの側面から見ると、経済情勢が厳しくなることは、悪い影響をもたらす可能性があります。たとえば、経済的な問題を抱えた従業員をサイバー犯罪者が対価を示して、ユーザーID/パスワードを漏らさせるというような事態が発生することもあり得ます。

このような「内在する脅威」にあたっては、可視性が重要です。このグラフは、機密情報が含まれている端末の比率を業種別に示したものです。教育分野では端末上の機密情報は少ない傾向がみられますが、その他の業種ではいずれも高い比率が示されており、金融サービスでは 85%にも上っています。このことはセキュリティリスクの高さを示しています。IT 管理者にとっては端末の可視性が、リスク管理を助けることになるでしょう。

#4. ランサムウェア攻撃による被害が続く
ランサムウェアによる攻撃はこれからも続くと予測されます。ネット上には、簡単に使用できるマルウェアキットが散見され、ランサムウェア攻撃を簡単に行うためのRaaS (Ransomware as a Service) も展開されており、攻撃者を支援しています。攻撃は、片手間で行えるような気楽なものとなっています。一方で、公開されている中でランサムウェアによる最も大きい被害額は、2020年に攻撃された Cognizant 社の 5,000万～7,000万ドル (当時のレート換算で約 54億～75億円) とされています。身代金は年々吊り上がっています。攻撃者にとっての ROI があがっているため、ランサムウェア攻撃に手を染める人物の数も増えているのが現状です。

#5. サイバーレジリエンスが、組織にとっての新しい KPI となる
いまやどこの国に行っても、サイバーセキュリティに絶大の自信を持っているという IT マネージャーはいません。78%の IT/セキュリティリーダーが、自組織のセキュリティ態勢に自信を持てないでいるといいます (IDG、Cybersecurity at a Crossroads: The Insights 2021 Report)。多くの IT 責任者にとって、今までのセキュリティ態勢を見直す時期に差し掛かっているといえます。

Gartner も、ガチガチに固める防御態勢からレジリエンスを重視したセキュリティ態勢への転換を推奨しています (Gartner, Maverick Research: You Will be Hacked, So Embrace the Breach, July 2021)。2023年は、サイバーレジリエンスを採用したセキュリティ対策が重要となっていくでしょう。

サイバーレジリエンスはなぜ重要か

サイバーレジリエンスはなぜ重要か

アプリケーションの健全性を、サイバーレジリエンスを取り入れていない環境と取り入れている環境で比較すると、前者では 40%から 81%、後者では 90%以上という結果があらわれています。アプリケーションの健全性が低くなる原因としては、アプリケーション同士が競合して崩壊してしまったり、最新のパッチが適用されていなかったり、ユーザーがなんらかの理由でアプリケーションを無効化してしまうといった背景が考えられますが、レジリエンスが適用されていれば、これらの問題を防止することができます。

レジリエンスを保つためには、自律的な機能が必要です。Absolute のレジリエント・ゼロトラスト・ソリューションは、ファームウェアレベルでアプリケーションのレジリエンスを守り、自動修復を実現する唯一のソリューションです。Absolute のソリューションによって組織のセキュリティを高める方法については、Absolute までお気軽にお問合せください。[email protected]

Torsten George
Cybersecurity Evangelist

Torsten は、Absolute のサイバーセキュリティ・エバンジェリストとして、拡大し変化し続けるサイバー脅威の中で、組織がレジリエンスを保つための支援を行っています。また、脆弱性リスク管理ソフトウェアベンダーである NopSec の戦略的アドバイザリーボードメンバーでもあり、IT セキュリティの専門家、著者、講演者として国際的に知られています。25年以上にわたってグローバルな IT セキュリティ・コミュニティに参加し、データ漏洩、インサイダー脅威、コンプライアンス・フレームワーク、IT セキュリティのベストプラクティスに関する解説や記事を定期的に発表しています。「Zero Trust Privilege For Dummies」の共著者でもあります。Centrify Corporation、RiskSense、RiskVision (Resolver, Inc.が買収)、ActivIdentity (ASSA ABLOY™グループのブランドであるHID® Globalが買収）、デジタルリンク、Everdream Corporation (Dellが買収) で役員レベルの役職を歴任しています。

※この記事は、12月15日に行われたオンラインセミナー What’s in Store for Cybersecurity in 2023? の内容を抜粋し、編集したものです。