IPA（情報処理推進機構）では、2006年から「情報セキュリティ10大脅威」を公開しています。これは前年に発生した情報セキュリティにおける事案から、社会的な影響が大きい脅威を有識者150名がランキング形式で選出したレポートです。

このレポートは立場ごとに注意すべき脅威も異なるという考え方のもと、「個人」と「組織」という2つの立場で脅威を解説しています。今回は「情報セキュリティ10大脅威 2022」のうち、組織の立場での脅威について解説していきます。

組織における最新の情報セキュリティ10大脅威

2022年に公開された情報セキュリティ10大脅威は以下の通りです。

出典：IPA「情報セキュリティ10大脅威 2022」

多少の順位の変動は見られますが、ほぼ2021年と同じ脅威が挙げられています。なお、2021年に8位だった「インターネット上のサービスへの不正ログイン」はランク外となり、代わりに「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」が7位になっています。もちろん、ランク外になっても、インターネット上のサービスへの不正ログインが脅威であることは今でも変わっておらず、引き続き警戒しておくべき脅威であり続けています。

なお、IPAでは10大脅威を公表するだけではなく、その内容や対策を解説する各種資料も公開しています。以下のURLからもダウンロード可能ですので参考にしてください。

情報セキュリティ10大脅威 2022（IPA 情報処理推進機構）
https://www.ipa.go.jp/security/vuln/10threats2022.html

情報セキュリティ対策の基本

10大脅威として多数の脅威が挙げられていますが、ランクインした脅威以外にもさまざまな脅威が存在しています。しかしながら、こうした脅威の手口は似通っており、基本的な対策の重要性は長年変わっていません。IPAでは攻撃の糸口への情報セキュリティ対策として、次のことを常に意識すべきだと指摘しています。

出典：IPA「情報セキュリティ10大脅威 2022」

さらに近年はクラウドサービスの利用も一般的になってきたことから、次のようなクラウドサービス利用を想定した+α対策も必要だとしています。

出典：IPA「情報セキュリティ10大脅威 2022」

今年も1位はランサムウェアによる被害

ランサムウェア攻撃は、メールやWebサイトを経由してウイルス（マルウェア）に感染させ、PCやサーバのデータを暗号化し、その復号（復旧）と引き換えに身代金（ランサム）を要求する脅威です。感染したデバイスをロックすることもあります。なお、近年は暗号化する前にデータを窃取し、金銭を支払わなければ窃取した情報を公開するという「二重の脅迫（double extortion）」も確認されています。
このようにランサムウェアによる被害は、要求に従うことで発生する金銭の損失だけではなく、情報漏えいによる信用の失墜につながる可能性があるのです。また、金銭を支払ったとしても復旧される保証もなければ、情報が公開されない保証もありません。

ランサムウェアの侵入経路は、メールの添付ファイルや本文のリンク、改ざんしたWebサイト、脆弱性のあるネットワーク機器からの侵入、外部公開しているサーバに不正アクセスして感染させるなどがあります。

ランサムウェアの侵入を阻むには、「安易に添付ファイルを開かない」「不審なリンクをクリックしない」「不審なWebサイトを閲覧しない」などユーザーに対するセキュリティ教育が必須です。もちろんセキュリティソフトの導入、ネットワーク機器や外部に公開しているサーバからの侵入に備えておくなど情報システム部門が担う役割も大きくなります。

なお、ネットワークの分離、アクセス権の最小化と管理の強化、振る舞い検知などの機能をもったセキュリティソリューションの利用、バックアップの取得など、「マルウェアの侵入は100%防げない」ことを前提とした対策も重要です。特にバックアップは取得だけではなく、きちんと復旧できることも確認することを必要です。

標的型攻撃による機密情報の窃取

特定の組織（官公庁、民間団体、企業等）を狙い、業務妨害、社会的な信用の失墜、機密情報の窃取などを目的とした攻撃を「標的型攻撃」と呼びます。中でも機密情報の窃取を目的とした攻撃が2位にランクインしています。

機密情報の窃取を目的とした標的型攻撃は、ランサムウェアのようなマルウェアによるもの、不正アクセスによる直接的な窃取などの手口があります。この部分だけを見れば、基本的なセキュリティ対策はランサムウェアとほぼ同じです。

ただし、標的型攻撃では、SNSや名簿などで組織内の人物を特定して狙いを定め、さまざまな方法で認証情報を窃取しようとすることがあります。たとえばパスワードを使いまわしで認証情報を特定される、セキュリティ性能の低い個人用のPCから認証情報が窃取されてしまうといった手口です。

こうした不正アクセスを完全に防ぐことはできませんが、被害を最小限に抑えるためには、たとえば機密情報は暗号化して保存、アクセス権の最小化、振る舞い検知など侵入されることを前提とした対策が不可欠です。

なお、機密情報の窃取が目的ではありませんでしたが、社会情勢が不安になると、特定の組織を狙った業務妨害も増えます。たとえば2022年9月に発生した行政情報の総合窓口サイト「e-Gov」へのDDoS攻撃は、標的型攻撃の典型と言えるでしょう。

サプライチェーンの弱点を悪用した攻撃

セキュリティ対策にはコストがかかることから、小規模な組織では充実したセキュリティ対策ができていないこともあります。しかし多くの組織は、原材料や部品の調達、製造、在庫管理、物流、販売、業務委託先など一連の商流（サプライチェーン）で繋がっています。そのため、サプライチェーンの中でも、子会社や海外拠点、あるいは取引先の小規模企業などセキュリティ対策が甘い組織を足掛かりに、より大きな組織を狙うこともあります。

こうした被害を予防するには、取引先や委託先のセキュリティ対応を確認することが重要です。また、委託される側の組織でも、セキュリティ対策を怠ると取引先など組織にも被害を与える可能性があり、損害賠償など大きな損失が発生することを自覚すべきです。セキュリティ対策に万全を期すことの重要性を改めて認識しましょう。

さまざまな脅威に対応するには情報収集が不可欠

脅威ランキングの4位以下についても、攻撃の手口はそれほど大きな差があるわけではありません。重要なことは、どのような脅威があり、どのような対策が必要なのかを知ることです。

[テレワーク等のニューノーマルな働き方を狙った攻撃]
働き方改革やコロナ禍を契機に、テレワークやリモートワークを導入する組織が急増しました。これを機に、ユーザー側の脆弱性を狙う、あるいはVPNなど接続先である組織のネットワークを狙う攻撃が見られるようになりました。

ユーザー側を狙う攻撃については、使用デバイスへのセキュリティソフト導入、Windows Updateや各種ソフトウェアのセキュリティパッチ適用、セキュリティ教育の充実が重要です。一方、接続先のネットワークを狙う攻撃については、利用するソフトウェアに関する脆弱性情報の収集、周知、および対策状況の管理が重要です。また、可能であればネットワークレベル認証（NLA）の実施や、多要素認証の有効化も行いましょう。

[内部不正による情報漏えい]
悪意をもった内部の人間による情報漏えいは、防ぐことが非常に難しい犯罪の一つです。情報リテラシーや情報モラルの向上などのセキュリティ教育の充実も必要ではありますが、やはりアクセス権限の最小化と適切な運用、システム操作履歴などの監視による犯罪特定の確立、そして罰則をきちんと設けることが重要です。
「機密情報に不正アクセスをした犯人は必ず特定する」「明確な罰則規定によって処罰し、その事実を公開する」「組織に被害が出た場合には損害賠償を請求するなどの対応を徹底する」といった厳正な対処によって、内部不正は割に合わない犯罪であることを周知します。
また、アカウントやアクセス権を適切に管理することで、そもそも機密情報への不正アクセスができないようにすることも徹底しましょう。

[脆弱性対策情報の公開に伴う悪用増加]
脆弱性対策のために公開された脆弱性情報を攻撃者が悪用する攻撃です。脆弱性を発見した場合、情報システム部門や社内のCSIRT（Computer Security Incident Response Team）、ベンダー、あるいは公的機関に報告して相談することになります。実はベンダーや公的機関では、脆弱性の報告を受けても、即座に情報を公開することはほとんどありません。セキュリティパッチを用意するなど脆弱性への対策方法が確立したことを確認してから、これらの情報は広く公開されます。
ただし、すでに脆弱性が広く知れ渡ってしまった可能性が高いものについては、すぐに情報を公開して注意を喚起します。

これらの脆弱性情報が公開されても、その対象となるソフトウェアを利用している組織の管理者が、対応するまでには時間がかかります。このタイムラグを攻撃者が利用するのです。そして、脆弱性情報が公開されてから、本格的に攻撃用のコードが開発されるまでの時間はどんどん短くなる傾向にあります。

被害を最小限に食い止めるためには、自分たちが利用しているソフトウェアを正確に把握すること、それらの情報を常に収集すること、情報をすぐに周知して対応できる体制を作っておくことが必要です。

[修正プログラムの公開前を狙う攻撃]
一方、脆弱性情報が公開される前に、発見された脆弱性を狙った攻撃もあります。こうした攻撃は「ゼロデイ攻撃」とも呼ばれますが、ベンダーが脆弱性を認識して対応するまで、そのソフトウェアは無防備な状態にさらされ続けることになります。
ゼロデイ攻撃を防ぐ確実な対応は非常に難しく、常にセキュリティに関連する情報を収集し続け、ゼロデイ攻撃の対象となっているソフトウェアを利用している場合には、一時的に利用を中断するなどの方法しかありません。

もちろん、ゼロデイ攻撃の対象となるソフトウェアを使用していても、導入されているセキュリティソリューションによって安全性が担保されることも多いので、その脆弱性によってどのような攻撃をされるのか情報を正しく把握することも大切です。

[ビジネスメール詐欺による金銭被害]
何らかの手段を用いて標的組織の業務情報等を窃取し、その情報を悪用してメールで送金を依頼する詐欺行為もランクインしています。広義では標的型攻撃の一つと言えるかもしれません。

手口は単純であることから、メールの真正性を確認する体制を確立することがもっとも簡単で、メールだけではなく複数の手段で確認するようにしましょう。また、送金を急がせる、いつものドメインとは異なるなど「違和感」を感じたら、すぐに報告できる体制も整えることが重要です。

攻撃に利用するメールアカウントが実際の組織アカウントを乗っ取っているケースもあり、攻撃方法は巧妙化しています。また、自組織のアカウントが乗っ取られて取引先への攻撃に使われた場合、責任問題に発生する可能性も否定できませんので、アカウント適切な管理を心がけましょう。

[予期せぬIT基盤の障害に伴う業務停止]
外部からの攻撃ではなく、システム障害による業務停止も9位にランキングしている脅威です。IPAは普段から事業継続マネジメント（BCP）を意識したITシステムの運用を推奨しています。

[不注意による情報漏えい等の被害]
従業員の不注意など意図せずに情報を漏洩してしまう事故が10位にランキングしています。情報リテラシーやモラル不足からの不注意、組織の管理体制の不備などが原因です。

人は必ずミスをします。体調不良などで注意力が散漫になることもあります。仮に人がミスをしたとしても、そのミスをなるべくカバーできるだけの体制づくりが大切です。
不注意によって何らかの情報漏洩が発生した場合、その原因を必ず確認し、どのように防げるかを検討するようにしましょう。

総務省の「テレワークセキュリティガイドライン第5版」ポイントを一挙紹介！
https://hypervoice.jp/Security_5bun

ランサムウェアの攻撃からデータを守るバックアップ
https://hypervoice.jp/ransomware_security

今すぐ始めるセキュリティ対策「Intercept X」で急増するランサムウェア被害から企業を守る
https://hypervoice.jp/securitymeasuresintercept_x

まとめ

・IPAは毎年「情報セキュリティ10大脅威」を公開している
・2022年も脅威の1位は昨年と同じランサムウェア攻撃
・脅威の手口は似通っており、基本的な対策の重要性は長年変わっていない