2024年5月20日
過去6ヶ月間だけでも、フロリダ州セントクラウド、カンザス州ウィチタ、カリフォルニア州ロングビーチなど、アメリカの多くの都市がサイバー攻撃の標的となり、重要な公共サービスが危機に瀕している。しかし、最近の調査によると、多くの都市がこれらの脅威を真剣に受け止め、サイバーセキュリティ対策の強化に取り組んでいることが明らかになった。
RiskRecon, a Mastercard company and leading provider of cybersecurity ratings and assessments, has been analyzing how 271 cities across the U.S. have changed their security posture over the past three years.2021年8月、同社はこれらの都市を評価し、アプリケーションセキュリティからウェブホスティングまで、9つのセキュリティ分野におけるパフォーマンスに基づいて格付けを行った。それ以来、RiskReconの調査によると、平均的な総合セキュリティ評価は10点満点中7.3点から8.1点に向上した。
1月時点で、221の都市がAまたはBの評価を獲得しており、多くの地域で治安が向上していることを示している。
しかし、都市は警戒を緩めるべきではない、とマスターカードのサイバーセキュリティ製品イノベーション担当エグゼクティブバイスプレジデント、リゴ・ヴァン・デン・ブロック氏は述べている。「どんなに規模の大きな組織でも、小さな組織でも、標的になり得る。」「どんな規模の組織にも、ハッカーになりうる人物は必ずいる」と彼は言う。
マスターカードのリゴ・ヴァン・デン・ブロック氏によると、都市にとって最も危険な脆弱性の1つであり、比較的簡単に修正できるのは、古いソフトウェアの更新だという。
Mastercard Newsroomとの最近の対談で、ヴァン・デン・ブロック氏は、Riskreconの調査が明らかにした都市における現在のリスク状況と、重要なシステムやデータをより良く保護する方法について語った。
ファン・デン・ブロック氏：政府や公共インフラを壊滅させるサイバー攻撃の詳細を伝える見出しを、私たちは皆目にしてきました。事例は枚挙にいとまがありません。あらゆる分野において、デジタル化は長年にわたり必然的な流れとなっているが、歴史的に見ると、多くの政府は適応が遅れてきた。新型コロナウイルス感染症は、デジタルサービスの提供がもはや選択肢ではなくなったという点で、状況を一変させた。政府がインターネットを通じて国民にサービスを提供できることが、極めて重要になった。この急速な進化により攻撃対象領域が大幅に拡大し、サイバー犯罪者にとってより多くの機会が生まれた。
攻撃の背後に誰がいるのかを理解することが不可欠だ。ハッカーは、組織のデータの機密性や、業務の中断がいかに重要かといった、いくつかの共通する要素に基づいて標的を選ぶことが多い。政府は、政治的な動機を持つ悪意ある行為者にとって格好の標的となる。これらの要因をすべて考慮すると、政府が標的とされることが多いのも不思議ではない。
ファン・デン・ブロック氏：ハッカーは盗んだデータを恐喝に利用したり、他の犯罪者に売却したりすることが多く、その結果、被害を受けた組織は大きな損失を被ることになる。IBMの「データ侵害コストレポート2023」によると、2023年におけるデータ侵害の世界平均コストは445万ドルだった。
都市においては、提供する不可欠なサービスや保護を委託されている機密データといった要因から、さらに大きな財政リスクが存在する。サイバー攻撃を受けた場合、その影響は広範囲に及ぶ。例えば、 緊急対応要員が 効果的な危機対応に必要な リアルタイム情報を 得られなくなる ような情報 漏洩 や、世界で最も利用者の多い図書館システムの1つで 公共コンピュータへのAccessが制限される といった事例が見られました。システムの復旧には費用がかさむ可能性があり、都市は監視、訴訟、およびインシデント対応に関連する費用を負担する可能性がある。
そして、評判の低下という問題もあります。国民の信頼を失うことは、特に地方自治体が最も信頼されている政府機関の一つであることを考えると、深刻な悪影響を及ぼす可能性があります。それに値段をつけるのは難しい。
ファン・デン・ブロック氏： RiskReconは、電子商取引業者から多国籍企業、医療機関まで、1900万を超える組織のインターネット上の存在状況を継続的に評価しています。評価は広範囲かつ詳細に行われ、組織のサイバー衛生状態を推測するために利用できる、公に確認できる証拠、例えば、古くて脆弱なソフトウェアや、適切に保護されていないインターネット通信などを探します。私たちの調査によると、サイバーセキュリティ対策が非常に不十分な組織（DまたはF評価）は、A評価の組織に比べて、情報漏洩事件の発生頻度が35倍も高いことが明らかになりました。
ファン・デン・ブロック氏：Mastercardをはじめとする業界各社による数々の報告書や調査では、情報漏洩の原因となる可能性のある主要な要因がいくつか一貫して挙げられています。それらの例としては、長期間セキュリティアップデートを受け取れていない古いソフトウェアや、本来公開すべきではない機密性の高いサービスが公共のインターネットに公開されている場合などが挙げられる。データベースやリモートAccessツールを思い浮かべてみてください。
朗報としては、近年私たちが監視してきた都市は、全体的な評価が高くなっており、サイバー衛生状態が改善されていることを示している。当社が評価する9つのセキュリティ領域のうち8つで、全体的な改善が見られました。そして、その改善は、電子メールやドメインネームシステムのセキュリティ、ソフトウェアのパッチ適用、ウェブ暗号化など、適切な分野で実現されています。
ファン・デン・ブロック氏： RiskReconは、組織が直面している問題の深刻度と、それが影響を与えるシステムの機密性を考慮するアプローチを提唱しています。古いソフトウェアは、企業にとって最も危険な脆弱性の1つとして長らく君臨しており、その状況は当分変わる見込みはない。それは優先事項であるべきだ。
強固なサイバー衛生体制を構築するには時間がかかるため、サイバーセキュリティの取り組み全体を通して、リスクを軽減する方法を常に評価することが重要です。都市の規模に関わらず、都市を支援するためのリソースは存在する。様々なレベルの政府機関やコンピュータ緊急対応チームは、インターネットの安全確保を支援する広範な任務を担っている。Mastercardはまた、サイバーピース・インスティテュート、グローバル・サイバー・アライアンス、シャドウサーバー財団など、無償のサイバーセキュリティサービスを提供する複数の組織を支援していることを誇りに思っています。
ファン・デン・ブロック氏：組織にとって、第三者リスクを理解することは非常に重要です。特に、サプライチェーンの拡大に伴う複雑さや、第三者による情報漏洩の発生頻度の増加を考慮すると、なおさらです。サイバーセキュリティの世界では、類似の組織が特定の機能を必要とするため、同じ種類の技術を使用し、同じソフトウェアに依存することを決定する、あるいは、それらの組織のニーズを満たす専門サプライヤーが少数存在する場合に、同じ種類の技術を使用するという現象が見られます。この結果、サイバーリスクがシステム全体に集中し、これらのサービスプロバイダーやソフトウェアサプライヤーのいずれかがサイバーセキュリティインシデントの影響を受けた場合、壊滅的な結果を招く可能性がある。
Cyentia Instituteと共同で実施した最近の調査「サードパーティリスク管理の現状」において、回答者の23%が、自社がサードパーティによるセキュリティ侵害を受けた経験があると回答しました。今日、強固な第三者リスク管理プログラムを確立することは不可欠である。もはや、デューデリジェンスがベンダーのオンボーディング段階だけで行われる時代は終わった。その代わりに、組織は第三者に関するリアルタイムの可視性を確保し、リスクを適切に理解・管理する必要がある。
興味深いことに、効率化を図るために多くの資源を共有する小規模な都市や自治体では、予期せぬ形でサイバーセキュリティのリスクが発生するケースが見られます。これは、数年前にテキサス州の23の小さな町を襲ったランサムウェア攻撃で明らかになったように、1つのシステムに脆弱性があれば、多くの自治体のサービスが停止する可能性があることを意味する。動機がすぐには明らかにならないため、自分がサイバー攻撃の標的になる可能性は低いと考えがちですが、私たちが目にする事件は、そうではないことを証明しています。
