多いのか少ないのかはともかくとして、参考までに。

昨年(2021年)のサイバー攻撃は、前年比で50%増だったそうです。
南アフリカのITWEBというサイトが報じています(2022年1月11日付け)。

チェック・ポイント・リサーチというセキュリティ企業の調査から明らかになりました。それによると、2021年は過去最高のサイバー攻撃数を記録し、企業ネットワークへの1週間単位での攻撃総数は前年比50%増となりました。

昨年は、ウェブ上で最も深刻な脆弱性の1つであるLog4Jの脆弱性を悪用しようとする攻撃が1時間単位で数百万件発生していました。コンピュータ業界では「サイバー攻撃パンデミック」と呼んでいたそうです。

また、10月にはサイバー攻撃が40%増加し、全世界の61の組織のうち1つが毎週ランサムウェアの影響を受けていたとの事です。第4四半期に入っても世界的な上昇傾向が続き、12月には1企業あたり毎週925件のサイバー攻撃が起きていました。無論、過去最悪です。

サイトが注目したのは、アフリカでの被害が酷かった事にあります。チェック・ポイントによりますと、調査対象となった5つの地域の中で、アフリカが最も多くの攻撃を受けていました。アフリカ大陸では、毎週平均1582件のサイバー攻撃に対処しなければなりませんでした。対前年比13%増だったそうです。

一方、日本などのアジア太平洋地域では、昨年2番目に多くのサイバー攻撃を受け、1組織当たり毎週平均1353件の被害が出ていました。次いで、中南米が1118件。最後の2つの地域であるヨーロッパと北米では、サイバー犯罪が最も少なく、それぞれ1組織当たり670件と503件だったとの事です。

部門別で見ると、教育・研究部門が2020年と比較して75%も攻撃が増加していましたが、この傾向は2021年も続き、最も多くのサイバー犯罪を経験しています。調査対象となった16部門のうち、政府・軍事が2位、通信がそれに続き、それぞれ47%、51%の増加となっていました。

チェック・ポイント・リサーチは、ITインフラの複数の構成要素に感染するように設計された大規模なマルチベクトル攻撃であるGen V攻撃が昨年増加した事が憂慮すべきことであると指摘しています。こうした攻撃は、セキュリティ担当者が直面する最大の課題であり、効果的な対策を講じることが必要だとしています。

単一の凝集した保護インフラを実現・促進するセキュリティ・アーキテクチャを採用し、攻撃を未然に防ぐことが重要であるとのことです。

また、特に境界が至る所に存在する今のマルチハイブリッド環境では、幅広いサイバーセキュリティをカバーする単一のソリューションによって、ビジネスにおけるすべての攻撃表面とベクトルを保護する必要があるとも指摘しています。

このほか、ネットワークをセグメント化し、各ネットワーク・セグメント間に強力なファイアウォールと侵入防御を適用するようにと提言しています。これにより、ネットワーク全体に感染が広がるのを防ぐことが出来るからです。

「全ての脅威と脅威のベクトルから組織を保護できる唯一の魔法のような技術は無いが、機械学習、サンドボックス、異常検知、コンテンツの武装解除など、多くの優れた技術が存在する。これらの技術はそれぞれ、特定のシナリオ、特定のファイルタイプや攻撃ベクトルに対して高い効果を発揮する」(“While there isn’t a single silver-bullet technology that can protect organisations from all threats and all threat vectors, there are many great technologies available, such as machine learning, sandboxing, anomaly detection, content disarmament, and many more. Each of these technologies can be highly effective in specific scenarios, covering specific file types or attack vectors,” )とアドバイスしています。

脅威の抽出(ファイルのサニタイズ)と脅威のエミュレーション(高度なサンドボックス化)の2つの重要なコンポーネントを考慮した方が良いそうです。各要素はそれぞれ異なる保護を提供しますが、これらを併用することで、ネットワークレベルおよびエンドポイントデバイス上で直接、未知のマルウェアから保護するための包括的なソリューションとなるからです。

最後にチェック・ポイントは、サイバー・サニテーションに関する従業員教育や、全てのアプリとシステムに対する早期のパッチ適用とアップデートなど、当たり前の事を無視しないようアドバイスしています。

肝に銘じておきます。とは言うものの、中小企業だと、なかなか専門家の養成が難しいんですよね。セキュリティ企業を雇っても、何を言ってるのかが分からなかったりするし(涙)。