バラクーダの4人の役員による2020年のセキュリティに関する予測

2020.02.25

2020年1月23日、Anne Campbell

このブログは2020年のセキュリティの変化、進展、および傾向に関する予測です。最近、バラクーダの4人の役員が、今後1年間の脅威の状況、および企業がセキュリティを確保するために意識する必要がある脅威をそれぞれ独自の視点から予測しました。

プライバシーとコンプライアンスに関する法律の急増

Hatem Naguib, Barracuda COO

2020年は、CISO（最高情報セキュリティ責任者）が世界中で提案および施行されるプライバシーとコンプライアンスに関する法律の急増を理解する必要があります。GDPR（欧州連合一般データ保護規則）は、その始まりにすぎません。同様の規制が導入されるため、役員は規制に適応するために準備する必要があります。このような規則の影響は広範囲に及ぶ可能性があります。特に、企業が規則間で重複する内容を確認しようとするにつれて、この影響はさらに複雑になるはずです。CISOは、引き続き効果的に、CEO（最高経営責任者）および他の役員とともにセキュリティへの主要な取り組みを積極的に支援し、新しい問題への対処に必要なリソースを確保するために、セキュリティ上の問題の増加によって向上するセキュリティ意識に投資する必要があります。社内の全員が自社を保護するための自分の役割を理解するように、セキュリティ担当役員がセキュリティを企業文化に統合する方法に注力することが、ますます重要になります。

高度な標的型攻撃、会話乗っ取り、およびディープフェイクは、BEC（ビジネスメール詐欺）攻撃の方法として急増し、さらに巧妙になり、最終的に、その損害はさらに大きくなります。最近のバラクーダの調査によると、BEC攻撃がスピアフィッシング攻撃に占める割合はわずか7%ですが、その損害は非常に大きくなる傾向にあります。FBI（米国連邦捜査局）によると、企業は BEC攻撃によって過去 4年間で 260億ドルの損害を受けています。このような新しい方法によって、この金額は、さらに急増すると予測されます。今年は主要な選挙の年であるため、ロシアの戦略を悪用する国家が地方と全国の両方の選挙に影響を及ぼすと予測されます。政府機関は、このような攻撃を防止するために準備する必要があります。攻撃者が IoT（モノのインターネット）セキュリティの脆弱性を悪用する新しい方法を見いだすにつれて、IoTベースの攻撃がさらに注目されるようになります。

「2020年に入ると、CISOは、世界中で提案および実施されているプライバシーとコンプライアンスに関する法律が急増することについてを理解する必要があります。」 – Hatem Naguib

クラウドの誤設定を悪用する攻撃者

Fleming Shi, Barracuda CTO

2020年の最大の脅威は、クラウドインフラストラクチャの誤設定を悪用し、コンピュータおよびストレージリソースを盗み出す攻撃者であると考えられます。このような攻撃は、外部の攻撃者だけでなく、内部関係者も実行する可能性があります。最終的な損害としては、情報が漏洩し、ミッションクリティカルデータが損失されます。このようなインフラストラクチャ攻撃は、ソーシャルエンジニアリングの標的型攻撃からボットネット対応の大量攻撃までの他の攻撃を生み出し、強化するものです。ランサムウェア攻撃とスピアフィッシング攻撃によって、重大な損害が引き続き発生する一方、パブリッククラウドインフラストラクチャの採用が引き続き急増するため、攻撃者は武器として悪用できる可能性がある魅力的なこのインフラストラクチャに関心を抱くようになると考えられます。

州政府および地方自治体へのランサムウェア攻撃の傾向は 2020年も引き続き高まると考えられます。政府機関が迅速に対応する必要に迫られても、攻撃者はランサムウェア攻撃を実行する重要な時期を見いだすと予測されます。現在、選挙の非常に多くの側面が電子的に処理されているため、攻撃者は、選挙の過程の重要な時期に、ランサムウェア攻撃を実行し、ランサム（身代金）を要求できます。この結果、攻撃者は、非常に多くの金銭を盗み出し、民主主義に損害を及ぼすことができます。この状況は最悪のシナリオですが、選挙はランサムウェア攻撃の標的になると考えられます。

「2020年の最大のセキュリティ脅威は、誤って設定されたクラウドインフラストラクチャを攻撃する攻撃者です。」 – Fleming Shi

リスク管理、および国家が出資する攻撃の増加

Don MacLennan Barracuda メール保護/エンジニアリング/製品管理 SVP

2020年は、企業がコンプライアンスとリスク管理を改善する必要があります。コンプライアンスとリスク管理は、二元論的ではなく、本質的に中間的です。政府機関はコンプライアンスの方法を指示しないため、セキュリティ部門は、計画的な意思決定、および対処する必要がある問題の優先度設定を行う必要があります。セキュリティ部門は、CEOと他の役員に、このような議題について話す必要があり、現在、そのように努力しています。しかし、ビジネスリスクとセキュリティリスクは同一になっており、企業は今後1年間でこの現実に適応する必要があります。

2020年は、攻撃者が非常に多くの金銭とその金銭を所有する業界を追い求めます。メールセキュリティの傾向からは、攻撃者が、金銭を盗み出す新しい方法を見いだしており、ATO（アカウント乗っ取り）攻撃とBEC攻撃を選択していることがわかります。攻撃者は、このような攻撃によって、盗み出した情報を参照しようとするのではなく、エンドユーザに金銭を支払わせて、金銭を盗み出すことができます。ただし、国家が出資する攻撃は例外です。このような攻撃は、航空宇宙、防衛、テクノロジ、製造、医薬などの貴重なIP（知的財産）を所有する業界、および水道/電気/ガス、運送などのサービスが中断する可能性がある業界を標的とします。選挙が近づくにつれて、このような国家が出資する攻撃は、さらに増加すると予測されます。

「選挙の年が迫るにつれて、国家が支援するこの種の攻撃がさらに増えることに備えてください。」 – Don MacLennan

5G（第5世代移動通信システム）がもたらす新しい危険

Klaus Gheri, Barracuda ネットワークセキュリティVP

2020年は、ネットワークの継続的な急増、クラウドへの移行、不可欠なインフラストラクチャの拡張、およびICS（産業用制御システム）が最大の脅威をもたらします。さらに厄介なことに、5Gが出現したため、攻撃者は、侵入したデバイスから、かつてないほど迅速にデータを盗み出すことができます。このような脅威によって、セキュリティスキルの不足はビジネス運営に許容できる限界を超えます。この重大な問題を解決できない場合は、ビジネスの最終収益に深刻な影響が及びます。

2020年に急増すると予測される最も重大な脅威は、まったく新しいものです。クラウドアプリケーションを統合し、コストを削減するために、サーバレスプラットフォームを採用する企業が、ますます増加しているため、この脅威はパブリッククラウドへの移行の副作用として出現しています。サーバレスへの移行によって、本質的なセキュリティ上の問題を解決できるとはかぎりません。実際、お客様の報告によると、古いライブラリの使用、および人的な誤設定は、クラウド環境への重大な脅威です。この問題を解決するには、クラウドの自動化、およびコンプライアンスポスチャのクラウドベースの自動化に移行する必要があると予測されます。