サイバーセキュリティとは？サイバー攻撃の種類や対策について

共通脆弱性識別子(CVE)の報告数は1999年から2023年にかけて劇的に増加しています。特に2017年以降、報告される脆弱性の数は急激な上昇傾向を示し、年間約3万件もの新しい脆弱性が報告されるようになっています。この増加は、デジタル化の進展とソフトウェアの複雑化を反映しています。

しかし過去10年以上にわたる統計上の事実は、「実際にはごくわずかな脆弱性しか悪用されない」 (2023年時点) ということであり 、統計的には少数の脆弱性が主要なリスクとなっています。

また、脆弱性が悪用されるまでの平均期間は約7日間まで短縮され、2012年から2021年にかけて、報告される脆弱性の総数は約2.4倍に増加しています。つまり「脅威アクターよりも速いペースであらゆる脆弱性にパッチを適用できる」という独断的な考えを改める必要があります。

このような状況を踏まえ、企業や組織は従来の単純なパッチ管理から、より包括的かつ戦略的なセキュリティ管理アプローチへの移行が求められています。

解決に向けた対策としては、以下のような手法が考えられます：

• AI/自動化技術の活用による効率的な脆弱性の検出と評価
• 複数の防御層の組み合わせ（多層防御）
• セキュリティ・チームとITオペレーション・チームの効果的な連携

IT／情報システムのさまざまなコントロール領域を用いて、サイバー攻撃に対して技術的な防御ラインを形成します。これには以下のものがあります。

現在使用されているサイバーセキュリティ指標のほとんどは、組織がコントロールできない要素の遅行指標です (前週に受けた攻撃回数など)。それよりも、サイバーセキュリティ・プログラムの信頼性と防御力を証明する、具体的な成果に関連した指標を重視すべきです。

ガートナーでは、成果指向の評価指標 (ODM) に基づく「CAREフレームワーク」を推奨しています。

CAREフレームワークは、組織がサイバーセキュリティ投資を最適化し、そのサイバーセキュリティ・プログラムがステークホルダーに対して弁護できるようにするために設計された体系的なアプローチです。以下に、CAREモデルの主要な構成要素と特徴を示します。

CAREフレームワークの定義

CAREフレームワークは、Consistency（継続性）、Adequacy（妥当性）、Reasonableness（合理性）、Effectiveness（有効性）の頭文字を取ったものです。これにより、組織はビジネスニーズやステークホルダーの期待に沿ったサイバーセキュリティ投資を行う指針を得ます。

CAREフレームワークの実装

CAREフレームワークは、サイバーセキュリティ投資を導くために成果志向の指標（ODM）と保護レベル契約（PLA）の利用を重視しています。PLAは経営幹部とサイバーセキュリティリーダー間の契約として機能し、目標とする保護レベルを提供するための手段であり、優先事項や投資のタイムリーな調整を可能にします。

ステークホルダーの関与

このフレームワークは、保護レベルの決定にステークホルダーの参加を促し、サイバーセキュリティインシデントの後でも合意された保護レベルが十分かつ適切であることを保証します。

政府や規制当局との関連性

米国連邦取引委員会（FTC）による規制措置のように、サイバーセキュリティ投資に対する説明責任が高まっている状況において、CAREフレームワークは特に重要です。政府や規制当局は、組織や企業の幹部に組織のサイバーセキュリティ対策の責任を負わせる可能性があります。

これらの特徴に焦点を当てることで、CAREフレームワークは非技術系のステークホルダーにも理解できる形でサイバーセキュリティ投資を説明する助けとなり、サイバーセキュリティプログラムの防御力を高めます。

サイバーセキュリティとコストの関係は多面的であり、ビジネス環境の複雑性を乗り越える中で、組織にとってますます重要になっています。以下に、この関係を示す主なポイントをまとめます。

• 投資と保護レベル
  組織はサイバーセキュリティへの投資と望ましい保護レベルのバランスを取る課題に直面します。単に支出を増やしても保護が向上するとは限りません。むしろ、サイバーセキュリティ投資を具体的なビジネス成果やリスク許容度に合わせることが重要です。この考え方は、経営幹部とサイバーセキュリティ責任者の間で望ましい保護レベルとそれを達成するためのコストを定める「保護レベル契約（PLA）」という概念に集約されています。
  

• コスト最適化
  経済的な圧力や不確実性により、組織はサイバーセキュリティ予算の最適化を迫られています。これは単にコストを削減するのではなく、投資を最も価値を生み出す分野に振り向けることも含みます。例えば、コスト削減、パフォーマンス向上、ビジネス成果への投資を組み合わせたバランスの取れたアプローチが推奨されています。
  

• 防御性と説明責任
  サイバーセキュリティ投資の価値を説明する能力は、経営層の支持を得て予算配分を維持する上で不可欠です。サイバーセキュリティへの支出がどのようにビジネス成果を直接支えているかを示せる組織は、特に予算審査やセキュリティインシデント後に投資を正当化しやすくなります。
  

• リスク管理
  サイバーセキュリティは単なる技術的問題ではなく、ビジネスリスクとして捉えられるようになっています。この変化により、侵害に伴うコストや規制罰金、評判の損失など、サイバーセキュリティ・リスクの財務的影響を考慮する必要があります。効果的なリスク管理戦略では、これらのリスクを定量化し、組織全体の財務戦略と整合させます。
  

• 成果志向の指標
  成果志向の指標（ODM）を使用することで、組織はサイバーセキュリティ投資の有効性を達成した保護レベルで測定できます。単なる支出ではなく成果に焦点を当てることで、投資収益率を理解し、将来の支出についてより適切な判断ができます。
  

• 戦略的整合
  サイバーセキュリティへの投資は、特に急成長企業においてイノベーションや機動性を可能にする上で不可欠な要素と見なされているように、より広範なビジネス戦略と整合させる必要があります。この整合により、サイバーセキュリティ支出が単なるコストセンターではなく、事業成長とレジリエンスの重要な構成要素として認識されるようになります。
  

サイバーセキュリティとコストの関係は、サイバーセキュリティ投資を戦略的に管理し、ビジネス目標やリスク管理戦略に沿わせる必要性に特徴づけられます。成果に焦点を当て、サイバーセキュリティの価値を示すことで、組織は支出を正当化し、全体のセキュリティ態勢を強化することができます。

サイバーセキュリティの失敗の一般的な原因は、効果的なリスク管理やセキュリティ態勢を妨げる複数の要因に起因します。以下に、主要なポイントをまとめます。

• 実行可能なポリシーの欠如
  サイバーセキュリティ・ポリシーが実行性、理解性、実用性またはアクセス性に欠けることが多く、従業員にとって明確で関連性がない場合、遵守への関与が低下し、脆弱性が生じます。
  

• サイバーセキュリティの専門知識不足
  専門家の需要が供給を大幅に上回っており、ボトルネックが発生し製品リリースが遅延しています。この不足により、不十分なセキュリティ対策が実施される可能性があります。
  

• セキュリティ・コントロールの複雑さ
  提供チームはコントロールの複雑さや実施すべきコントロールの理解不足のため、サイバーセキュリティポリシーの遵守に苦労することが多いです。これにより、非遵守やリスクの増大につながります。
  

• 不十分なリスク評価
  組織が徹底したリスク評価を行わないことが多く、自社の脆弱性やサイバー脅威の影響を理解していません。この見落としにより、対処されないリスクが重大なセキュリティ・インシデントに発展することがあります。
  

• ビジネス目標との不整合
  サイバーセキュリティの取り組みがビジネス目標と一致していない場合、リスク管理が効果的に行われない可能性があります。サイバーセキュリティを事業戦略に組み込まず独立した機能として捉えると、必要な支援やリソースを得られない場合があります。
  

• 技術への過度な依存
  組織は、セキュリティの失敗につながる根本的なプロセスや人的要因に対処せず、技術的ソリューションに注目しがちです。これにより、誤った安心感を抱き、実際の脅威に対する準備が不十分になることがあります。
  

• 不十分なコミュニケーションと教育
  サイバーセキュリティポリシーや実践に関する効果的なコミュニケーションや教育が不足していると、従業員が自分の責任を認識せず、不安全な行動を取る可能性があります。
  

• 不十分なインシデント対応計画
  多くの組織では強固なインシデント対応計画が整備されておらず、セキュリティ侵害が発生した際に効果的に対応する能力が妨げられます。この準備不足がインシデントの影響を悪化させることがあります。
  

• 文化的抵抗
  組織内の変化への抵抗は、必要なサイバーセキュリティ対策の採用を妨げることがあります。従業員は新しいポリシーや技術を負担に感じ、受け入れをためらうことがあります。
  

これらの一般的な落とし穴に対応することで、組織はサイバーセキュリティの態勢を強化し、セキュリティ取り組みの失敗の可能性を低減できます。

サイバーセキュリティの状況は、革新的なソリューションと重大な課題の両方をもたらす先進テクノロジによって再構築されています。企業や組織は、予防的対策を取り入れ、生成AIやサイバーセキュリティ・ナレッジグラフ（CKG）などの高度な技術を活用し、統合とコンプライアンスの複雑さに対応することで、この変化する環境でリスクを効果的に軽減する必要があります。

先進テクノロジは、巧妙な攻撃や敵対者による人工知能（AI）の使用増加に代表される進化する脅威環境に対応するため、サイバーセキュリティを強化する上で重要な役割を果たしています。以下に、検討されている主要なテクノロジを示します。

• 予防的サイバーセキュリティ
  発生前に潜在的なサイバー脅威を予測し軽減することに焦点を当てるアプローチです。継続的な監視、脅威インテリジェンス、自動化された対応を通じて攻撃に積極的に備えます。自動移動標的防御（AMTD）や予測的脅威インテリジェンスといった技術がこの戦略の中心であり、脆弱性が悪用される前に特定・対処することを可能にします。
  

• 高度なサイバー欺瞞技術
  攻撃者を混乱させ誤誘導するための欺瞞的手法を用い、攻撃者の目的達成を困難にします。おとりやトラップを設置することで、攻撃者の行動に関する情報を収集し、防御を強化できます。高度なサイバー欺瞞は、脅威検知および対応能力を強化するためにセキュリティ戦略にますます統合されています。
  

• 自動移動標的防御（AMTD）
  攻撃対象領域を継続的に変更することで、攻撃者が脆弱性を悪用することを困難にします。この技術は、ネットワーク環境に動的で予測不可能な要素を導入することで、ゼロトラスト・セキュリティモデルを強化し、攻撃者の試みを複雑化させます。
  

• 予測的脅威インテリジェンス（PTI）
  AIと機械学習を活用して大量のデータを分析し、潜在的なサイバー脅威を予測します。脅威アクターの行動パターンやトレンドを特定することで、組織は防御を強化するための積極的な対策を講じることができます。
  

• サイバーセキュリティ・ナレッジグラフ（CKG）
  脅威アクター、脆弱性、攻撃ベクトルなど、さまざまなサイバーセキュリティ要素間の複雑な関係を可視化・分析する高度なデータ構造です。CKGは、セキュリティデータを構造化して表現することで、脅威の検知と対応を強化します。
  

• 高度な難読化技術
  機密データを不正アクセスから隠すことで保護する技術です。リソースを見つけにくく、アクセスしにくくすることで、攻撃対象領域を減らし、攻撃者の目的達成を防ぐことができます。
  

• インテリジェント・シミュレーション
  AIとシミュレーション技術を組み合わせて、セキュリティ対策のテストや検証のために現実的なシナリオを作成する技術です。環境の変化が自社のセキュリティ態勢にどのように影響するかを予測することができます。

AIと機械学習（ML）は、潜在的なセキュリティ脅威を特定・対応する際の精度、速度、効率を向上させることにより、ネットワークの脅威検知を大幅に強化します。以下に、これらの技術がネットワーク脅威検知に貢献する主な方法を示します。

• 行動分析
  AIとMLのアルゴリズムは、ネットワークのトラフィックパターンやユーザー行動を分析して通常の活動の基準を設定します。この基準からの逸脱を継続的に監視することで、不正アクセスやデータの持ち出しなどの悪意のある活動を示す異常を検知できます。このアプローチは、従来のシグネチャベース検知では見逃される可能性のある高度な脅威を特定するのに特に効果的です。
  

• 誤検知の削減
  脅威検知における課題の一つは、誤検知の発生率が高く、セキュリティチームを圧迫することです。AIとMLは複数の情報源からデータを相関する高度なアルゴリズムを用いることで検知の精度を高め、本物の脅威をより正確に識別します。この機能により、セキュリティチームは無害なアラートに惑わされることなく実際のインシデントに集中できます。
  

• 自動対応
  AI駆動のシステムは、検知された脅威に対して影響を受けたデバイスを隔離したり、悪意のあるトラフィックを遮断したりするなどの対応を自動化できます。この迅速な対応機能により、攻撃による潜在的な被害を最小限に抑え、セキュリティチームがインシデントをより効果的に管理できます。
  

• 予測分析
  AIとMLは過去のデータを分析して将来起こりうる脅威を予測できます。攻撃ベクトルのパターンやトレンドを特定することで、組織は起こりそうな攻撃シナリオに対して防御を強化する積極的な対策を講じることができます。この予測能力は、進化する脅威に対応してセキュリティ対策を調整する上で重要です。
  

• 既存のセキュリティツールとの統合
  AIとML技術は、セキュリティ情報イベント管理（SIEM）システムや拡張検知・対応（XDR）プラットフォームなどの他のセキュリティソリューションと統合できます。この統合により、セキュリティ状況をより包括的に把握でき、脅威検知と対応の全体的な効果を高めます。
  

• リアルタイムの監視と分析
  AIとMLはネットワークトラフィックを継続的に監視し、リアルタイムで分析して疑わしい活動を即座に検知することを可能にします。この機能は、事後の分析に頼るのではなく、脅威を発生時に特定するために不可欠です。
  

ネットワーク脅威検知システムにAIと機械学習を組み込むことで、脅威の特定・分析・対応能力が向上し、ますます巧妙化するサイバー脅威に対する組織のセキュリティ態勢を高めることができます。

量子コンピューティングが暗号技術の未来に与える影響は大きく、多面的です。これは主に、量子コンピュータが現在広く利用されている既存の暗号アルゴリズムを破る可能性があるためです。以下に考慮すべき主要なポイントを示します。

• 非対称暗号への脅威
  量子コンピュータは、RSAや楕円曲線暗号（ECC）などの従来の非対称暗号アルゴリズムを2029年までに安全ではなくすると予想されています。量子コンピュータは古典コンピュータでは困難な因数分解や離散対数といった問題を効率的に解くことができ、これらのアルゴリズムの基盤を脅かします。そのため、組織は量子攻撃からデータを保護するためにポスト量子暗号（PQC）への移行が必要となります。
  

• 「今盗み、後で解読」攻撃
  攻撃者が現在暗号化されたデータを収集し、将来量子コンピュータが利用可能になった際に解読しようとする「今盗み、後で解読」の戦略が懸念されています。これは、個人情報、財務記録、知的財産など長期にわたり保存される機密データにリスクをもたらします。
  

• 量子耐性アルゴリズムの必要性
  PQCへの移行は単純ではなく、既存の暗号アルゴリズムに直接置き換えられるものはありません。新しいアルゴリズムは、鍵生成や暗号化/復号時間といった性能指標が異なるため、組織は暗号戦略を再評価し、これらのアルゴリズムに依存するアプリケーションを再テストまたは再開発する必要が生じます。
  

• 規制およびコンプライアンスへの影響
  政府や規制当局は、量子耐性アルゴリズムの採用を義務付け始めています。例えば、米国国立標準技術研究所（NIST）はPQCアルゴリズムの標準化に取り組んでおり、将来の規制に準拠するために重要となります。
  

• 革新の機会
  量子コンピューティングがもたらす脅威は大きいものの、暗号技術における革新の機会も存在します。組織は、ホモモルフィック暗号やステートフル署名など、従来のデータ保護を超えた機能を提供する新しい暗号技術を検討することができます。
  

• 実装上の課題
  PQCへの移行には、現在の暗号実践の棚卸しを行い、ベンダーと量子耐性ソリューションに関する計画を確認し、暗号管理のための中央集権的な方針を策定することが必要です。このプロセスには時間がかかり、組織内のさまざまな部署が連携した取り組みが求められます。
  

量子コンピューティングは暗号技術の状況を根本的に変えるものであり、量子耐性アルゴリズムの導入や新たな量子脅威に伴うリスクを軽減するための戦略が求められます。組織はこれらの進展に備えて、暗号システムが安全であり続けるよう、今から準備を開始しなければなりません。

企業や組織内のサイバーセキュリティ管理には通常、組織のさまざまなレベルにまたがる複数の役割と責任が関与します。以下に、サイバーセキュリティ管理に関わる主要な関係者を示します。

• 最高情報セキュリティ責任者（CISO）
  CISOは、組織のサイバーセキュリティ戦略、ポリシー、プログラムを監督する主要な役員であることが多いです。サイバーセキュリティ対策がビジネス目標や規制要件に沿っていることを確保します。また、サイバーセキュリティ・リスクを取締役会や他のステークホルダーに伝える重要な役割を担い、サイバーセキュリティ・チームを率いて対策の実施やインシデント対応を行うこともあります。
  

• サイバーセキュリティ・チーム
  このチームには、セキュリティ・アナリスト、エンジニア、インシデント・レスポンダーなどの役割が含まれます。彼らはセキュリティ運用の日々の管理、脅威の監視、セキュリティ・コントロールの実施を担当します。CISOの指導の下で働き、組織のサイバーセキュリティ・ポリシーと手順を実行する任務を担います。
  

• ビジネスプロセス・オーナー（BPO）
  特定のビジネス機能を担当し、自らのプロセスがサイバーセキュリティ・ポリシーに準拠していることを確実にする必要があります。データの利用や技術導入に関する意思決定において重要な役割を果たし、自らのビジネスプロセスに関連するリスクに対して責任を負います。
  

• ITベンダー管理（ITVM）
  第三者ベンダーがセキュリティ要件を遵守していることを確認するために、サイバーセキュリティ・チームと連携します。ITVMはベンダーとの関係を管理し、ベンダーが組織のサイバーセキュリティ基準を守ることを確保する責任を負います。
  

• 人事部（HR）
  従業員に対するセキュリティポリシーの研修や、違反に対する懲戒処分など、サイバーセキュリティの人材面を管理します。従業員がサイバーセキュリティに関する自分の責任を理解できるよう、サイバーセキュリティ・チームと密接に連携します。
  

• 法務およびコンプライアンスチーム
  データ保護やサイバーセキュリティに関する関連法規制を組織が遵守していることを確認します。CISOやサイバーセキュリティ・チームと協力して、法的リスクやコンプライアンス要件を評価します。
  

• 経営陣および取締役会
  最終的には、サイバーセキュリティの責任は組織のリーダーシップと取締役会にもあります。サイバーセキュリティの取り組みに十分なリソースが割り当てられていること、そして組織のリスク許容度が明確に理解されていることを確保する必要があります。
  

CISOが通常サイバーセキュリティの取り組みを主導しますが、効果的なサイバーセキュリティ管理は組織全体のさまざまな関係者が特定の役割と責任を持って協力する必要があります。

急速な技術革新とビジネス環境の変化の中で、セキュリティ／リスク・マネジメント（SRM）のリーダーの皆様は、重要な岐路に立っています。特に、以下の視点が極めて重要となります。

• 変革の実現者としての役割の進化：生成AIの急速な普及により、データ・セキュリティ・プログラムの抜本的な見直しが必要となっています。従来の構造化データ中心の保護から、非構造化データを含む包括的な保護へと、セキュリティの考え方自体を進化させる必要があります。また、ビジネス部門が独自にテクノロジ投資を行う傾向が強まる中、集中型から分散型へとサイバーリスク管理のアプローチを変更することも求められます。
• 組織のレジリエンス確保の重要性：「失敗ゼロ」を目指す従来の考え方は、持続可能なリスク低減には必ずしも効果的ではありません。むしろ、セキュリティ・チームの燃え尽きを招く可能性があります。新しいアプローチとして、組織文化にレジリエンスを組み込み、サイバー抑止をビジネスの差別化要因として捉え、サイバー・ストレージ機能を活用して変革とレジリエンスの向上を図ることが推奨されます。
• 人材の持続可能性への注力：ガートナーの調査によると、セキュリティ業界ではメンタルヘルスの危機が発生しています。62%のサイバーセキュリティ・リーダーが燃え尽き症候群を経験しており、これは組織のセキュリティ態勢に直接的な影響を及ぼします。効果的な結果を生み出しているSRMリーダーは、この問題を最優先課題の一つとして認識し、対応を進めています。

将来を見据えたSRMリーダーとして、変革の実現とレジリエンスの確保という重要な役割が期待されています。これは単なる技術的な課題ではなく、組織全体としての取り組みが必要な経営課題です。最新のテクノロジを活用しながら、人材の持続可能性を確保し、ビジネス価値の創出に貢献する、これがこれからのセキュリティ・リーダーシップの本質となるでしょう。

セキュリティ・プログラムの有効性を証明するためには、組織、個人、そしてチームとしてのレジリエンスを確立することが不可欠です。その実現に向けて、皆様の戦略的なリーダーシップがこれまで以上に重要となります。

これらの課題に取り組むSRMリーダーの皆様へのサポートとして、ガートナーは継続的な調査と分析を提供し、皆様の成功をご支援いたします。

企業や組織は、協力、継続的改善、技術の活用に重点を置いて、サイバーセキュリティ・リスク管理を強化するためのいくつかの戦略を実施できます。以下は、主要な戦略です。

• 責任の促進
  事業責任者が第三者に関するサイバーセキュリティ・リスクの決定に対して責任を負うようにすべきです。リスク受容の追跡や許容できないリスクの適切なエスカレーションを行うことで、責任を分散しつつ中央集約のサポートを提供し、第三者のサイバーセキュリティ・リスク管理の効果を向上させることができます。
  

• 協調的なリスク管理
  受動的に違反を取り締まるアプローチから、重要な第三者との積極的な協力へと転換します。定期的なコミュニケーションを維持し、関係を構築することで、第三者契約期間中のリスクを効果的に管理します。
  

• 継続的な監視と評価
  コンプライアンス自動化ツールを導入して監査プロセスを効率化し、サイバーセキュリティ・コントロールを継続的に監視します。これにより、コントロールのギャップを可視化し、リスクを動的に管理することができます。
  

• サイバーセキュリティをビジネス目標と統合
  サイバーセキュリティ戦略を全社的なビジネス目標と整合させ、取り組みが組織の収益に貢献するようにします。このアプローチにより、投資の優先順位付けが容易になり、サイバーセキュリティの価値をステークホルダーに示すことができます。
  

• コンポーザブルITアーキテクチャの採用
  規制の変化に迅速に適応し、サイバーセキュリティ・コンプライアンス・リスクを軽減できる柔軟なITアーキテクチャを導入します。このアプローチはベンダーロックインを回避し、レジリエンスを高めます。
  

• AIと自動化の活用
  脅威曝露管理や継続的なリスク評価にAI駆動のツールを活用します。これらのツールは脆弱性の特定やコンプライスタスクの自動化、意思決定プロセスの改善に役立ちます。
  

• 定期的な研修と啓発プログラムの実施
  従業員にサイバーセキュリティ意識を根付かせる文化を育成します。定期的な研修により、従業員はサイバーセキュリティの重要性を理解し、人為的なミスの可能性を減らすことができます。
  

• ガバナンス・フレームワークの実装
  サイバーセキュリティリスク管理に関する明確な役割と責任を含むガバナンスフレームワークを確立します。このフレームワークは部門間の協力を促進し、サイバーセキュリティがビジネスプロセスに組み込まれるようにします。
  

• シナリオプランニングへの参加
  潜在的なリスクを特定し、それに対処する戦略を策定するためにシナリオプランニング・ワークショップを開催します。このプロアクティブなアプローチにより、新たな脅威やビジネス環境の変化に応じてサイバーセキュリティ戦略を適応させることができます。
  

これらの戦略を採用することで、組織は資産を保護するだけでなく、ビジネス目標に整合し、全体的なレジリエンスを高める強固なサイバーセキュリティのリスク管理の枠組みを構築できます。