「情報セキュリティ10大脅威 2020」は、
2019年において社会的影響が大きかったセキュリティ上の脅威について順位付けしたレポートです。
毎年注目して見ていますが、今回の結果は以下のとおり。
（IPAのサイトから抜粋：https://www.ipa.go.jp/security/vuln/10threats2020.html）
左は、個人を対象としたもので右が組織なので、組織の方を見てみると…
やはり１位は「標的型攻撃による機密情報の窃取」。
これは５年連続くらいだと思いますが、相変わらず被害が減らないってことですね。
標的型攻撃というのは、
特定の組織に対して、PCをウイルス感染させて組織の内部に入り込み、
機密情報等を窃取するというもの。
記憶に新しいのは、今年初めに報道された三菱電機の不正アクセス事件ですよね。
（三菱電機の最新のニュースリリースより抜粋：
https://www.mitsubishielectric.co.jp/news/2020/0212-b.pdf）
一時は、電力・鉄道などの社会インフラに関する機微な情報や機密性の高い情報が
流出したのでは？という話もありましたが、最新のニュースリリースでは、
感染した端末からアクセス可能な範囲には、機密性の高い技術情報や
取引先との契約で定められている重要な情報は含まれておらず、
流出していないことが確認されたとのこと。
原因は、ウイルス対策サーバがゼロデイ攻撃を受けて、
パターンファイルのアップデート機能が悪用されてクライアントPCがウイルス感染した
とのことなので、不審なメールからの感染ではないところが、逆に悩ましい…
ウイルス対策ソフトって、おそらく…アレですよね。
攻撃を受けた時期と同じような時期に、
脆弱性に対する修正パッチを公開していたあのソフトかな。
セキュリティ対策製品が原因でウイルス感染って、
なんとも切ないなぁとblogでも書いた覚えがあります。
ウイルス対策ソフトを入れているので安心！とは言えない時代になっています。
多重で防御することが常識となってきていますが、
かといって、何でもかんでもたくさん導入すればよいわけでもなく。
非効率＆無駄なコストをかける可能性もあります。
ネットワーク全体のリスクをきちんと把握して必要な対策を見極めることが大事です。
１位の部分で長くなってしまったので、
また他の部分は次の機会に…（笑）
