■ IPA「情報セキュリティ10大脅威」とは
■ 情報セキュリティ10大脅威2023から見る脅威の傾向
■ 「NISTサイバーセキュリティフレームワーク」（CSF）とは
■ 情報セキュリティ10大脅威早見表
■ まとめ
■ 出典（参考文献一覧）
情報セキュリティ10大脅威とは、その年に社会的影響が大きいと想定される脅威に対してランキング形式で解説されたものです。
実際に発生した様々なセキュリティ事案から独立行政法人情報処理推進機構（IPA）が脅威候補を選出、その上で「10大脅威選考会」が、個人・組織の2つの立場に向けて審議・決定しています。
情報セキュリティ10大脅威は、その年のセキュリティ動向をキャッチアップできるランキングとなっており、毎年多くの企業が注目しています。
2023年のセキュリティ10大脅威は2023年1月25日に発表されました。
今年の組織ランキングでは10位の脅威が入れ替わるのみで、9位までの脅威の種類は昨年と同じで、外部脅威の項目が多く順位を占める結果となりました。
順位に関しては、3年連続で「ランサムウェアによる被害」が1位となっています。
ここからは、情報セキュリティ10大脅威2023年の脅威を傾向ごとにグループに分け、それぞれどのような特徴があるかご紹介します。
米国の政府機関であるNIST（米国国立標準技術研究所）が提供しているフレームワークです。
もともと、米国で特にセキュリティ対策を重視すべきと言われている重要インフラの事業者向けに作成されましたが、セキュリティ管理や対策が体系的にまとまっており、現在では国・業種問わずセキュリティ対策を講じる際に参考とされています。
以下は、NISTで定められている「コア機能」と呼ばれる5つの管理機能で、CSFではこれらのコア機能に対して具体的なカテゴリと方法がまとめられています。
ここからは、上記でご説明した情報セキュリティ10大脅威の傾向に対して弊社がご提供できるソリューションを、CSFのコア機能に沿ってご紹介していきます。
｜まとめ
インテリジェント ウェイブでは、CSFのコア機能の中でも特に「特定」「防御」といった前段の機能に特化したソリューションを多くご提供しています。
被害を未然に防ぐことで組織のブランドや業務の継続性を維持することができます。また、セキュリティ人材不足が慢性的な課題となっている今、事後の対応や調査工数を削減しながらセキュリティを担保することが必要です。
今回のコラムはいかがでしたでしょうか？
ご不明点などは各種製品ページリンクよりお問合せいただけます。
また、弊社では、組織のセキュリティに関するさまざまなご支援が可能です。Web会議ご予約フォームよりいつでもお気軽にご相談ください。
1位：ランサムウェアによる被害
6位：修正プログラムの公開前を狙う攻撃
8位：脆弱性対策情報の公開に伴う悪用増加
10位：犯罪のビジネス化（アンダーグラウンドサービス）
攻撃者がマルウェアを外部から侵入させるために脆弱性を悪用するケースが多くなりました。
その理由には、ユーザのセキュリティリテラシー向上によりメール添付の実行形式ファイルが開かれなくなったこと、また、脆弱性は日々発見されており、ユーザの対策が後手に回りがちであるため攻撃が成功しやすいなどが挙げられます。
少し前まではこうした脆弱性を利用した攻撃はスキルの高い一部の攻撃者にしか実行できませんでしたが、昨今ではエクスプロイトキットと呼ばれる脆弱性攻撃を簡単に行うためのツールキットがアンダーグラウンドで売買されており、ツールキットさえあれば比較的容易に攻撃を実行することができるようになりました。
1位のランサムウェアに関しても、攻撃手口として、脆弱性を突いてネットワーク経由で感染させたり不正アクセスをしたりと攻撃の起点が脆弱性の悪用であるパターンは少なくありません。
2位：サプライチェーンの弱点を悪用した攻撃
3位：標的型攻撃による機密情報の窃取
5位：テレワーク等のニューノーマルな働き方を狙った攻撃
7位：ビジネスメール詐欺による金銭被害
海外拠点への進出や、海外企業と取引する企業が増加するなかで、攻撃者にとっての攻撃対象は自社組織はもちろん、その関連組織や子会社、取引先などにも広がっています。
また、テレワークなどで個人のPCの持ち込みや利用によって企業側が管理できない端末も増加しており、攻撃者にとって攻撃対象となる組織はもちろん標的となってしまうリスクが高まっています。このような社会的背景から、攻撃者の攻撃対象の増加による脅威は増え続けています。
4位：内部不正による情報漏えい
9位：不注意による情報漏えい等の被害
外部脅威が順位を占める中で根強くランクインし続けているのが内部不正や不注意による情報漏洩です。
働き方の多様化による情報漏えいリスクの増大に加え、悪意のある社員や退職者による不正な情報持ち出しなど、内部に潜むリスク対策の重要性も忘れてはなりません。
1. IPA 独立行政法人 情報処理推進機構 「情報セキュリティ10大脅威 2023」
2. IPA 独立行政法人 情報処理推進機構 「セキュリティ関連NIST文書について」
3. IPA 独立行政法人 情報処理推進機構 「NIST サイバーセキュリティフレームワーク 日本語版」
これらの日々変化し続ける脅威に対応するには、自組織のサイバーセキュリティ対策の指標を設け、組織全体が同じゴールに向かって対応していくことが必要です。
その中でも、NISTのサイバーセキュリティフレームワーク（CSF）は脅威のリスクの特定や防御だけでなく、実際に攻撃を受けた時の検知や対応、復旧といった事後対応まで網羅していること、
イタリアや米国など世界各国で準拠されていることから、日本国内でもCSFを活用するケースも増えてきています。
Copyright © 2023,INTELLIGENT WAVE INC. All rights reserved.
サイバー攻撃者の分業や連携が進んだことによって増加した外部攻撃
1位：ランサムウェアによる被害
6位：修正プログラムの公開前を狙う攻撃
8位：脆弱性対策情報の公開に伴う悪用増加
10位：犯罪のビジネス化
（アンダーグラウンドサービス）
守るべき資産・環境が増えたことに
より増加した外部攻撃
2位：サプライチェーンの弱点を悪用した攻撃
3位：標的型攻撃による機密情報の窃取
5位：テレワーク等のニューノーマルな働き方
を狙った攻撃
7位：ビジネスメール詐欺による金銭被害
内部に潜む情報漏えいリスク
4位：内部不正による情報漏えい
9位：不注意による情報漏えい等の被害
【自組織が抱える弱点を把握・管理】
・脆弱性診断ツール
「insight VM」
・ペネトレーションテスト
「Metasploit Pro」
・Webアプリケーション診断
「Vex」
・第三者による診断
「セキュリティ診断サービス」
・脅威インテリジェンス
「Recorded Future」
【社員トレーニング】
・メール訓練サービス
【組織内の資産保有状況を管理】
・「CWAT g-GRID」
【攻撃が実行されるエンドポイントで
確実に防御・検知】
・攻撃を成立させない 「Morphisec」
・攻撃を実行前にブロック 「Cortex XDR Prevent/Pro」
【ファイルベースのマルウェアを防御・検知】
・メールやファイルサーバ、USBメディアなどを経由して社内に入るファイルをすべて無害化＆再構築 「Resec」
【不正が行われるエンドポイントでユーザのPC操作を監視・制御】
・柔軟なポリシー設定で端末操作を制御
「CWAT」
・端末操作を常時画面録画で監視
「iDoperation SC」
【エンドポイントでのユーザ禁止行為を検知】
・禁止行為だけでなく、操作ログ取得可能
「CWAT」
・PCログのAI＋アナリスト解析によって不正の予兆を検知
「PC操作ログ分析サービス」
【インシデントが発生した際のフォレンジック調査と復旧対応】
・「Cortex XDR Prevent/Pro」
【インシデント後の対応の判断に使える情報収集】
・「Recorded Future」
【インシデント対応の自動化】
・「Resolve Actions Express」
【社内ルールの見直しや改正を行い、より自組織にあった内部情報漏えい対策を行う】
・「CWAT」
【ランサムウェアによる攻撃から復旧】
・「NeuShield Data Sentinel」
ー
目次
---------------------------------
｜関連資料
■内部に潜む情報漏えいリスク
内部の人がかかわる故意または過失による情報漏えいについて、原因と今とるべき対策についてまとめています。
＞＞資料請求フォーム
このページは、Marketing Cloud Account Engagementにより作成されています。当社は、このサイトにおいて、その利用状況を把握し、お客様に提供するサービスを向上するため、Salesforce社が提供するMarketing Cloud Account Engagementを利用し、Cookie情報を取得しています。ご利用のブラウザ設定でドメイン「pardot.com」にて、Cookie情報の取得を許可しないことも可能です。詳細情報はこちら