マルウェアやサイバー攻撃をはじめとするセキュリティリスクは日々増加しています。そのため、企業が自社の情報資産を適切に保護するには、最新のセキュリティトレンドをキャッチし続けることが重要です。そこで本記事では、IPAが2024年に発表した「情報セキュリティ10大脅威」に基づいて、企業が直面するセキュリティリスクの概況とその対策を解説します。
情報セキュリティ10大脅威とは
「情報セキュリティ10大脅威」とは、情報処理推進機構（IPA）が公開している最新のサイバーセキュリティリスクの概況に関する資料です。個人編と組織編に分けて、前年に社会的影響の大きかったサイバーリスクをランキング形式で毎年発表しています。この資料を参照することで、最新のサイバーリスクやセキュリティトレンドについての理解を深められます。
IPAが情報セキュリティ10大脅威2024を発表
2024年1月24日、IPAは「情報セキュリティ10大脅威2024」をWebページにて公開しました。2月下旬以降、解説書や資料が順次公開されています。
・「情報セキュリティ10大脅威2023年」との違い
2024年版で見られた大きな変化は、個人編でセキュリティリスクをランキング形式で掲載するのをやめたことです。これは、ランキング形式で示すことによって、読み手側が上位の脅威だけに注目し、下位の脅威を軽視することを防ぐためとされています。
組織編の方はランキング形式が継続されていますが、下位の順位に大きな変動がありました。
まず、2023年版で5位だった「テレワーク等のニューノーマルな働き方を狙った攻撃」が9位までランクダウンしています。この脅威は2021年版で3位に初選出されたのが最高位で、その後は企業のテレワーク体制が整備されていくと共に4位→5位→9位と年々順位が下降しています。他方で、「不注意による情報漏えい等の被害」が前年の9位から6位へと急浮上しました。
参照元：IPA「情報セキュリティ10大脅威 2024」
情報セキュリティ10大脅威全項目のポイント
続いては、2024年版の10大脅威の内容がどのようなものか、その対策も添えつつ簡単に紹介していきます。たとえランキング上は下位でも、自社と関係しそうな脅威に対してはしっかり対策することが重要です。
・1位：ランサムウェアによる被害
ランサムウェアとはマルウェアの一種で、感染したシステムやデータを暗号化によって使用不能にし、その復旧と引き換えに身代金を要求するサイバー攻撃です。感染状態によっては、通常の業務遂行すら不可能になるので、企業に大きな悪影響が出ます。
対策としては、定期的なセキュリティパッチの適用によるシステムの脆弱性対策、信頼できるウイルス対策ソフトの導入と更新、重要なデータの定期的なバックアップなどが有効です。
・2位：サプライチェーンの弱点を悪用した攻撃
これは通称「サプライチェーン攻撃」と呼ばれる脅威です。この攻撃は、セキュリティが比較的弱い取引先や関連会社を足掛かりにして、大企業など本来のターゲットへの侵入を試みる手法を意味します。
これに備えるには、セキュリティソフトの導入・更新のほか、従業員が不審なメールやリンクを警戒するようにセキュリティ教育を施すことが重要です。また、取引先などのセキュリティ評価も行い、必要に応じて改善を促したり、支援したりすることも求められます。
・3位：内部不正による情報漏えい等の被害
この脅威は、従業員を筆頭とした組織関係者による機密情報の持ち出しや、意図的な規則違反に起因した情報漏えいなどが該当します。
このような内部不正を防止するには、第一にセキュリティ教育を通して社内で情報セキュリティポリシーの遵守を徹底することが重要です。システム面では、各従業員のアクセス権を必要最小限に留めたり、操作ログの監視・分析を実施したりすることが役立ちます。
・4位：標的型攻撃による機密情報の窃取
標的型攻撃とは、特定のターゲットを狙って巧妙な手法を使って仕掛けられるサイバー攻撃です。主に、取引先や知人などを騙ったなりすましメールを利用して機密情報を盗みます。
この対策としては、第一に、不審なメールを防ぐフィルタリングサービスやウイルス対策ソフトの導入が挙げられます。また、標的型攻撃メールやその他の不審なメールを見分け、適切に対処できるように従業員を教育することも重要です。
・5位：修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）
ゼロデイ攻撃とは、システムの脆弱性、もしくはその修正プログラムが公開される前に、その隙を狙って行われるサイバー攻撃です。特に脆弱性の存在すら知らない状態でこの攻撃を予防するのは難しく、被害に遭った場合は大きな影響が出る恐れがあります。
この攻撃を防ぐには、まず脆弱性情報をこまめにチェックし、ソフトウェアやOS、セキュリティソフトなどを常に最新の状態に保つのが基本です。その上で、EDRやWAFなど、複数のセキュリティソリューションを組み合わせて防御力を高めるのが効果的です。
・6位：不注意による情報漏えい等の被害
これは内部不正とは異なり、従業員が意図せずに情報漏えいをしてしまった事態を指します。デバイスの紛失や置き忘れ、不注意な会話やSNS投稿などが具体例です。
この種の問題に対しては、第一に従業員の情報リテラシーを高める教育が必要になります。また、情報や機器の持ち出し・持ち込みなどを制限する規則を設けることも有効です。
・7位：脆弱性対策情報の公開に伴う悪用増加
ベンダーが公開する脆弱性対策情報を悪用し、セキュリティバッチの適用などの対策がされていないシステムやユーザーを攻撃する手法です。
このリスクを防ぐには、システムの脆弱性情報を定期的にチェックし、適正な状態を常に保てる管理体制を整備することが求められます。
・8位：ビジネスメール詐欺による金銭被害
取引先や自社の経営者などになりすましてビジネスメールを送信し、金銭を騙し取るサイバー攻撃です。攻撃者は送信元とターゲットとなる受信先の通信を事前に傍受しており、そこで得られた情報を利用して巧妙に本人になりすましていることが多いです。
この対策としては、従業員のセキュリティ教育を強化し、不審なメールやリンクに対する警戒心を高めることが重要です。また、送信元のメールアドレスやメールの内容を慎重に確認し、不審な点があれば先方に直接確認するように指示を徹底しましょう。
・9位：テレワーク等のニューノーマルな働き方を狙った攻撃
テレワーク環境におけるVPNの脆弱性や設定ミスなどを悪用した攻撃です。これによって、テレワーク端末のウイルス感染や情報漏えいなどの被害が生じます。
この脅威に対しても、従業員のセキュリティ意識を高める教育が必要です。また、VPNやテレワーク端末などの脆弱性チェックを定期的に行うことも欠かせません。
・10位：犯罪のビジネス化（アンダーグラウンドサービス）
昨今、サイバー攻撃も組織的なビジネスに化しており、アンダーグラウンド市場では、個人情報や攻撃ツールの売買などが横行するようになりました。これによって、高度なスキルがない人間でもサイバー攻撃が行いやすくなっています。
この脅威は、具体的な攻撃手法というより、近年のアンダーグラウンド市場の注目すべき動向を指しているため、特定の予防策というべきものはありません。情報リテラシーの向上や複数のセキュリティソリューションの併用、適切なアクセス管理といった基本的な対策を講じるのが重要です。
まとめ
「情報セキュリティ10大脅威 」で紹介されている多様なリスクに対応するには、従業員のセキュリティ意識や組織体制の強化と共に、WAFのような最新のセキュリティソリューションの導入を進めることが重要です。
WAFとは、Webアプリケーションを悪意ある攻撃から保護するセキュリティ対策であり、ファイアウォールやIPS（不正侵入防御）では防げないような攻撃も防御できます。ペンタセキュリティ株式会社は、このWAFをクラウドサービス「Cloudbric WAF+」として提供しています。
「Cloudbric WAF+」は、WAFやDDoS攻撃対策、脅威IP遮断など、Webセキュリティに必須の5機能を統合したセキュリティプラットフォームです。Webサイトに対していつ、どのような攻撃があり、遮断したのかといった記録を簡単な操作でチェックできます。セキュリティ強化のために、ぜひ導入をご検討ください。
▼WAFをはじめとする多彩な機能がひとつに。企業向けWebセキュリティ対策なら「Cloudbirc WAF+」
▼製品・サービスに関するお問い合わせはこちら