「ゼロトラストには飽き飽き」な企業にこそ知ってほしい、脅威と日本企業の実態

メイサノ氏：　同調査では、日本の回答者の81％が過去12カ月の間に少なくとも1件のセキュリティインシデントを経験し、60％が10件以上のインシデントを経験しています。このような状況にもかかわらず、インシデントを回避するために「十分な対策を講じている」と回答したのは46％にとどまっています。

　日本で最も一般的なセキュリティインシデントは、マルウェア（53％）やビジネスメール詐欺（BEC）（48％）、ランサムウェア・スパイウェア（43％）でした。また、日本で最も多くのセキュリティインシデントを経験した業界は、メディアや電気通信、ビジネスプロフェッショナルサービス、金融サービスでした。ただ現実には、どのような業種であっても基本的には標的にされていると考えた方がいいでしょう。

――セキュリティインシデントの種類についてはAPJC特有の傾向でしょうか。

メイサノ氏：　いえ、恐らく世界的な傾向だと思われます。ここで触れておきたいのは、BECによる情報漏えいのコストが世界的に増大していることです。

　サイバー攻撃と聞くと最近は“ランサムウェア”を思い浮かべることが多いですし、実際報道でもセンセーショナルに取り上げられます。しかし本当に恐ろしいのはBECで、電子メールは現在も主要な攻撃ベクトルとなっています。

　この攻撃に対処するのがなぜ難しいかと言うと、電子メール経由の不審なURLや添付ファイルを開かないようにと、従業員教育をどれだけ施してもこれらを開いてしまうケースはどうしても発生してしまうからです。また、偽のWebサイトなどは日に日に巧妙化しており、目視で判断するのは困難です。

――“ランサムウェア”はインパクトがある言葉なので、怖がらせる必要はないのですがメディアではこれを使いがちです。しかし、より危険なのは電子メール経由の攻撃なのかもしれません。

“ゼロトラスト疲れ”が広がる企業に考えてほしいこと

――先ほどの調査結果からサイバー攻撃を事前に防ぐことは困難になってきていると分かりました。「ゼロトラスト」や「SASE」といったキーワードが注目を集めている背景にはこうした事情もあるのでしょうか。

メイサノ氏：　おっしゃる通りです。サイバー攻撃者はシステム内部に侵入後、機密データの窃取などに向けて脅威の横展開（ラテラルムーブメント）を実行します。しかし多くの組織ではこの横の動きを阻止する能力に欠けているのが現状です。

　そこで、きめ細かなコントロールによって潜在的な脆弱（ぜいじゃく）性や侵害を隔離し、あらゆる損失を最小限に抑えるゼロトラストやSASEといった考え方、フレームワークが重要になります。当社としては、これらの構築を手助けするソリューションを展開しています。

――ただ最近は“ゼロトラスト”の流行も落ち着いてきた印象を受けます。この傾向は日本以外の国でもみられるものでしょうか。

メイサノ氏：　バズワードとして消費された結果、確かに日本以外の国でも一部の企業の間では「ゼロトラスト疲れ」が広がっています。ただ流行が落ち着いたからといって、対策の必要性がなくなったわけではないでしょう。

　極端な話、呼び方はどうでもよく、サイバー攻撃者が使用するツールやテクニックが高度化している以上、ゼロトラストに疲弊していようが、バズワードに飽き飽きしていようが、現実にはセキュリティ態勢を改善し、ビジネスや知的財産、従業員、データを保護することは急務なのです。

　日本企業は米国と比べるとクラウドサービス利用が普及していないので、ゼロトラストセキュリティの構築についても遅れているように思われがちです。しかし私は日本企業が「セキュリティ・バイ・デザイン」の原則に沿って思慮深くこれを進めていると感じます。当社もインターネットを通過する全てのトラフィックを保護するソリューションを提供することでこれを支援したいと考えています。

――本日はありがとうございました。