サイバー攻撃の半数が闇に葬られる：インシデントの報告を躊躇してはならない

Half of Cyber-Attacks Go Unreported

2023/09/26 InfoSecurity — Keeper Security が実施した最近のグローバル調査によると、サイバー攻撃や侵害を社内外に広く報告する際の問題点として、恐怖／無知／忘却が挙げられている。この調査レポート Cybersecurity Disasters Survey Incident Reporting & Disclosure は、2023年9月26日に発表されている。

それによると、IT と Security のリーダーにとって、サイバー攻撃は最重要課題だと認識されている。そして、回答者の 40％ がサイバー攻撃を経験したことがあり、74％ が将来において “サイバーセキュリティ災害” により、影響を被ることを懸念していることが明らかになった。

このレポートでは、攻撃を報告する際の懸念すべき問題点も示されている。具体的には、41％ が社内のリーダーに報告せず、48％ がインシデントを関係当局に秘密にしているという結果が出た。

なぜサイバー犯罪の報告が少ないのか？

社内への情報開示が不十分な理由について尋ねたところ、IT／Security のリーダーの 48％ が問題があると回答した。その内訳を分析すると、25％ が経営陣がサイバー攻撃に対して無関心だと指摘し、23% が曖昧な対応だと答えている。当局への報告不足の主な理由としては、反撃への恐怖 (43％)／ブランド既存への短期的な懸念 (36％)／不必要 (36％)／忘却 (32％) 等が挙げられていた。

このレポートは、「これらの回答が示すのは、ビジネスリーダーたちが、サイバー・セキュリティに対して透明性／誠実さ／信頼の文化を創造し、それを維持していくことの重要性である。サイバー・セキュリティは共有の責任である。したがって、深刻な被害をもたらす可能性のあるインシデントの報告を、従業員が躊躇するような状況は排除されるべきだ」と述べている。

政府当局へのインシデント報告は、米国／英国／EU を含む、数多くの国でも義務付けられている。

2023年5月に実施された、サイバー・セキュリティの神話を否定するソーシャルメディア・キャンペーンにおいて、英国の Information Commissioner’s Office (ICO) は、「サイバー・インシデントを報告したからといって、インシデントが公表される可能性が高くなるわけではない。その一方で、UK National Cyber Security Centre と ICO が提供する、豊富なサポートを利用できるようになる」と主張している。

この調査レポート Cybersecurity Disasters Survey Incident Reporting & Disclosure は、Keeper Security と TrendCandy Research が、2023年を通して 400人の IT／Security リーダーを対象に実施した結果である。

サイバー攻撃を受けた組織が、どのように対応すべきかというとき、さまざまな要素が絡み合い、難しい判断に迫られるはずです。しかし、インシデント報告が行われないと、当たり前のことですが、実態の把握が進んでいきません。英国の ICO が言うように、報告しても公表されないというラインが約束され、安心してインシデント報告が行われるようになってほしいと思います。