標的型攻撃対策サービスなどを提供するCrowdStrike Japanは2018年7月30日、都内で説明会を開き、セキュリティに関するユーザー調査の結果を報告した。取引先などのサプライチェーンを経由した攻撃が脅威だと認識されている一方で、これらの攻撃に対する対策が不十分であることが浮き彫りになった。
米CrowdStrikeは、2018年4月と5月に、IT意思決定者とITセキュリティ専門家の計1300人に対して、インタビューによるユーザー調査を実施した。主な懸念として、回答者の57％がマルウェア攻撃を、回答者の50％がフィッシング/スピアフィッシングを、回答者の33％がサプライチェーン攻撃を挙げている。
サプライチェーン攻撃とは、サプライチェーンを構成する取引先やパートナー企業などを介在した標的型のサイバー攻撃のこと。組織間のアクセス権限や担当者同士の信用などを利用して、本来のターゲットへの攻撃を成功させる。
ユーザー調査の結論として、サプライチェーン攻撃を脅威だと認識しているユザーは多く、実際にサプライチェーン攻撃を受けているユーザーも多いのに、サプライチェーン攻撃に対応する計画や戦略は不十分であることが分かった。
まず、サプライチェーン攻撃が今後3年以内に自社の組織にとって最大のサイバー脅威の1つになる可能性が高い、と回答した組織は、グローバルで79％、日本でも79％と高い数値だった。
この一方で、サプライチェーン攻撃に対応するための戦略や計画があるかどうかを聞いたところ、総合的な対応戦略を制定していると答えた組織は、グローバルで49％、日本では37％しかなかった。戦略やプランがまったくないと回答した組織も、全体で3％、日本では10％もいた。
実際に、66％の組織が、過去にサプライチェーン攻撃を受けている。33％の組織は、直近の12カ月以内に攻撃を経験している。
過去にサプライチェーン攻撃を受けたことがある組織に対して、サプライチェーン攻撃を受けた時点でサプライチェーン攻撃に対応するための計画や戦略があったかどうかを聞いたところ、総合的な対応戦略を確立していた組織は34％だけだった。
写真1：米CrowdStrikeでTechnology Strategy担当Vice Presidentを務めるMichael Sentonas（マイケル・セントナス）氏拡大画像表示
