サイバー・セキュリティの意思決定：約８割の企業は攻撃者を把握していないが？

Majority of Firms Make Cybersecurity Decisions Without Attacker Insight

2023/02/13 infoSecurity — ５社中の４社 (79％) の企業が、サイバー・セキュリティに関する意思決定の大半を、自社のインフラを狙う脅威アクターを把握することなく下していることが判明した。このレポートは、Google 傘下の脅威分析会社 Mandiant によるものだ。同社は、「サイバー・セキュリティ意思決定者の 67％が、依然として上級管理職チームはサイバー脅威を過小評価していると回答している。その一方で、意思決定者の 68％ は、脅威の状況に対する理解を深める必要があることに同意している」と述べている。

さらに、Mandiant の Global Perspectives on Threat Intelligence のデータでは、回答者のほぼ全員 (96％) が、自社で利用している脅威情報の品質に満足していることが示されている。

その一方で、半数近く (47%) の回答者が、そのインテリジェンスをセキュリティ組織全体に効果的に適用することが、最も大きな課題の１つであると認めている。また、ほぼ全員 (98%) が、利用可能な脅威情報に基づくサイバー・セキュリティ戦略の変更を、より迅速に実施する必要があると回答している。

Google Cloud の Vice President of Mandiant Intelligence である Sandra Joyce は、「セキュリティ・チームは、自信を持っているように見えても、急速に変化する脅威の状況に対応するのに苦労していることが少なくない。セキュリティ・チームは、組織全体に適用できる実用的な情報を求めている。また、シニア・リーダーが脅威の本質を十分に理解していないことに、彼らは懸念している。つまり、サイバー・セキュリティに関する重要な決定が、敵対勢力や戦術に関する洞察なしに行われていることを意味する」と述べている。

チームが最も自信を持って取り組める脅威については、ランサムウェアのような金銭的動機による犯罪がトップ (91%) で、ハクティビストの脅威 (89%) と、国家的行為者 (83%) が、それに続く。

Mandiant の最新レポートは、13カ国／18分野のサイバー・セキュリティの意思決定者 1350人を対象にしたグローバル調査の結果、まとめられたものだ。

Google Cloud の Senior Threat Intelligence Advisor of EMEA の Jamie Collier は、「この調査結果は、より強固な防御を構築するための最大の障壁の１つは、膨大な量の情報だということを示している。組織は、必要な焦点を取り戻し、明確な優先順位を特定するために、情報から行動へと移行するための、より良い戦略を見出す必要がある。英国の組織は、自ら最前線に立つ必要がある。それは、敵を知り、変更を迅速に実行し、全ての関係者の間でサイバーリスクが効果的に伝達されるようにして、初めて達成される」と説明している。

BlackBerry のセキュリティ研究者たちによる別のレポートでは、一部のセキュリティ・リーダーたちも ChatGPT を懸念しており、AI モデルによるサイバー攻撃が１年以内に達成されるとの予測が示されている。

このブログを作っていて、たまに目にするのは、サイバー・セキュリティ意思決定者は、侵入経路などのインシデント情報に対して、もっと注目すべきだという主張です。とは言え、ある程度の量の情報を、常に読み解いていないと、この種の情報を適切に把握できないという意見もあり、そのとおりだと思えてしまいます。したがって、Mandiant の言うように、攻撃者を把握せずに判断が下されるという状況に陥ってしまうのでしょう。2022/06/15 の「NTTのCSIRTで“定点観測”する男、その信条はギブ＆ギブ」は、とても興味深い記事です。そこで主張されている「読む力」は、とても重要な力なのだと思います。