英国のサイバーパラドックス: より準備は整っているが、標的はさらに増加

英国のサイバーセキュリティ環境は現在、十字路に立っています:英国の組織はこれまで以上に構造的に備えが整っており、堅牢なバックアップ戦略や正式なレジリエンスフレームワークが導入されています。しかしながら、過去12か月間にサイバー攻撃を受けた組織は約8割に上ります。備えとリスクは、結局のところ相反するものではありません。

ManageEngine の調査結果は 最新調査 の結果は、英国が継続的な脅威環境の中で実質的な進展を遂げていることを示しています。そして、その対照的な状況の根本に迫ることが、解決への第一歩です。

典型的な容疑者、そしてその手口

データ漏洩（39％）、フィッシング（48％）およびランサムウェア（46％）が、英国の組織が経験したインシデントの上位を占めており、これらが主要な原因であること自体が示唆に富んでいます。これらは新しい攻撃手法でも最近出現したものでもなく、何十年も前から研究が進められている脅威です。サイバーセキュリティが大きく進歩した現在でも、驚くほど頻繁に影響を及ぼし続けています。

被害の範囲が特に顕著であることも指摘できます。多くの場合、これらのインシデントは封じ込められず、実質的な重みを持ち、より大きく危険な結果へと波及し、時には組織全体に影響を及ぼします。

しかし、原因がいかに慣れ親しんだものであっても、非常に暗い教訓を突き付けます。脆弱性の悪用、人為的ミス、サードパーティの弱点が、最も重大なインシデントの主要な要因として一貫して浮上しています。攻撃者が利用する経路は、基本的に常に存在してきたものであり、サイバーセキュリティの根本に組み込まれています。答えは不快かもしれませんが、攻撃者の高度さよりも、組織が既に知っていることを適用する際の一貫性の欠如に起因しています。

レビューは行われるが、再考はほとんど行われない。

正当な評価を与えるべき点として、英国の組織は現実を完全に無視しているわけではありません。調査対象者の大多数（96％）が、攻撃を受けた後に正式な事後レビューを実施しており、これは適切な規律を示す印象的な数値です。

しかし、ここで対照的な点が顕著になります。事後レビューの数値はほぼ完璧であるにもかかわらず、全体的なレジリエンス戦略に対する広範かつ長期的な改善を採用した組織は10社中4社未満でした。多くは対象となるギャップに対して限定的な修正やパッチを適用し、そこで終えてしまいました。

これは、単に対処するだけと実際に学ぶこととの根本的な違いを示しています。脆弱性のパッチ適用は事業継続性を確保するために必要ですが、理想的にはそれで止まるべきではありません。将来の悪用を困難にするセキュリティフレームワークを構築することが真のレジリエンスを示します。英国の組織は前者には優れているものの、後者では一貫して不足しています。

上層部が火事にだけ反応する時

説明の一部は最上位の経営層にあります。英国企業の94％がサイバーセキュリティインシデントに対する責任を明確に定義し、97％がバックアップ戦略を持っている一方で、リーダーシップの関与の実態はやや異なる様相を呈しています。全体の約3分の1の回答者しか、取締役会やCレベルの関与を“高く継続的”とは評価していません。多くはリーダーシップが関与すると答えていますが、それは重大な危機が既に発生した時に限られています。

このようなリアクティブなパターンは深刻な結果を招きます。リーダーシップが問題が起きたときだけ注意を向ける組織は、今日の絶えず変化する脅威環境が求める未来志向のレジリエンスを構築する能力が制限されます。危機対応型のリーダーシップは一時的に火を消すことはできても、信頼できる戦略とは言えません。

AIはレーダーに映っている — しかし自信だけでは戦略にならない

明るい面として、英国の組織は今後の脅威に全く無関心というわけではありません。AIを活用した攻撃は今後12か月で最大のリスクになると予測されており、投資の優先順位もそれに合わせて変化しています。ガバナンス、モニタリング、AIへの備えも議題に上がっています。

自信もかなり高いものの、裏付けとなる堅実な体制がなければ、それは新たな脆弱性となります。

英国のサイバーパラドックスは、単により高度な技術に投資したり、徹底した事後レビューを実施したり、取締役会の認識を高めるだけでは解決しません—これらはすべて総合的に重要ですが。各インシデントを単なる解決すべき問題として扱うのをやめ、学びの機会として捉えるようになったときに解決へと向かいます。基盤はすでに整っており、今重要なのはそれを継続的に改善し続ける一貫性です。