結局クラウドデータ侵害は人的ミスが原因なことが多い Thalesがセキュリティ調査レポートを公開：組織の22％が過去12カ月間にランサムウェア攻撃を経験

Thalesは18カ国、約3000人のITおよびセキュリティ専門家を対象に調査した、データセキュリティの脅威、トレンドおよび新たなトピックに関する年次レポート「2023 Thales Data Threat Report」を発表した。

[＠IT]

　Thalesは2023年4月18日（米国時間）、18カ国、約3000人のITおよびセキュリティ専門家を対象に調査した、データセキュリティの脅威、トレンドおよび新たなトピックに関する年次レポート「2023 Thales Data Threat Report」を発表した。2023年のレポートでは、ランサムウェア攻撃の増加と、クラウド内の機密データに対するリスクの増加が明らかになった。

　回答者のうち、ITプロフェッショナルのほぼ半数（47％）が、セキュリティの脅威の量または深刻度が増加していると考えており、48％がランサムウェア攻撃の増加を報告している。また、3分の1以上（37％）が過去12カ月間にデータ侵害を経験しており、22％が自分の組織がランサムウェア攻撃の犠牲になったと報告している。

　回答者は、クラウド資産がサイバー攻撃の最大の標的であると特定した。4分の1以上（28％）が、SaaS（Software as a Service）アプリとクラウドベースのストレージが最大の標的であると述べ、続いてクラウドホスト型アプリケーション（26％）とクラウドインフラストラクチャ管理（25％）が続いた。2022年の回答者の49％と比較して、回答者の75％が、クラウドに保存されているデータの40％が現在機密として分類されていると述べているため、同社はクラウドの悪用と攻撃の増加は、クラウドに移行するワークロードの増加に直接起因していると推測している。

人的ミスとランサムウェアの影響

　単純な人為的ミス、構成ミス、またはその他のミスが偶発的に侵害につながる可能性があり、回答者はこれがクラウドデータ侵害の主な原因であると特定しているという。回答時点で過去12カ月の間にデータ侵害を受けた組織では、最も多い原因（55％）は構成ミスまたは人的ミスだった。既知の脆弱（ぜいじゃく）性の悪用（21％）およびゼロデイ／未知の脆弱性の悪用（13％）がこれに続いた。このレポートでは、Identity and Access Management（IAM：アイデンティティー＆アクセス管理）が最善の防御策であり、回答者の28％がこれらのリスクを軽減するための最も効果的なツールであると認識しているという。

　一方、ランサムウェア攻撃の深刻度は低下しているように見え、2023年の回答者の35％がランサムウェアが重大な影響を与えたと報告しているが、2022年の回答者の44％が同様のレベルの影響を報告している。支出も正しい方向に進んでいる。2023年には61％が今後の攻撃を防ぐためにランサムウェアツールの予算を変更または追加すると報告しており、2022年の57％から増加している。だが、ランサムウェアに対する組織の対応は一貫していない。ランサムウェアへの正式な対応計画を立てていると回答した企業は49％にとどまり、67％は依然としてランサムウェア攻撃によるデータ損失を報告している。

デジタル主権の課題への対処

　デジタル主権は、データのプライバシーとセキュリティのチームにとってますます重要視されるようになっている。全体的にこの調査からは、データ主権が企業にとって短期的および長期的な課題であることに変わりがないことが読み取れる。83％がデータ主権に関する懸念を表明し、55％が、おそらくデジタル主権に関する要件の出現により、クラウドでのデータのプライバシーとコンプライアンスがより困難になっていると回答した。

　古典的な暗号化スキームを攻撃する可能性のある量子コンピュータからの新たな脅威も、組織の懸念の原因となっている。レポートでは、Harvest Now, Decrypt Later（HNDL：今収集し、後で復号）攻撃と将来のネットワーク復号が、量子コンピューティングの最大のセキュリティ上の懸念であることが分かった。それぞれ62％と55％の回答者が懸念を示している。「耐量子計算機暗号」（PQC：Post Quantum Cryptography）は、これらの脅威に対抗するための分野として登場したが、レポートによると、組織の62％が5つ以上の鍵管理システムを持っており、PQCと暗号の俊敏性に対する課題が示されている。