セキュリティの
学び場

今回の解説ニュース

セキュリティにまつわるお金の調査結果について発表されています。サイバー攻撃を受けた際に金銭的な被害が発生する背景と、導入しても有効化されないセキュリティ対策が存在する理由について説明します。

今回のレポートは、2023年に市場調査会社が北米、欧州、アジア太平洋地域、日本のさまざまな業種にまたがる大企業の主要なIT意思決定者1,484人を対象に実施した結果をまとめたものです。調査結果によると、企業が受けたサイバー攻撃の直接的な結果として、過去12ヶ月間で収益の9％、日本では7%が失われていたことが明らかになりました。そのような状況を受けて、76%の企業が来年のサイバーセキュリティ予算を増加させる予定と回答しています。また、セキュリティ専門家の35%が、過去1年間にサイバーセキュリティツールに絶やした費用が多すぎると感じているのに対し、18%が十分でないと感じています。一方で、相反する支出戦略を示す要因として、セキュリティツールの55%しか完全に有効化されておらず、多額の資金が未使用のままであることを挙げています。

なお、セキュリティ専門家の51％が今後2年間で生成AIに投資を行う見込みで、今後1年間の企業のセキュリティ優先順位のトップもAIで、37％がAIセキュリティに注力しているということです。

サイバー攻撃を受けた際に金銭的な被害が発生する背景

サイバー攻撃を受けた際に金銭的な被害が発生する背景として、主にインシデントへの対応費用と被害者への損害賠償が挙げられます。

まず、サイバー攻撃が発生した場合、原因の調査や関係者への対応、システムの復旧など、さまざまなインシデントへの対応費用が発生します。インシデントへの対応費用は、サイバー攻撃の規模や内容によって大きく異なりますが、主にフォレンジック調査や脆弱性診断、システムを復旧させるためにかかる人件費などが挙げられます。

また、サイバー攻撃によって個人情報や機密情報が漏えいした場合、被害者から損害賠償を請求される可能性があります。損害賠償額は、漏えいした情報の種類や量、被害者の社会的地位などによって異なりますが、JNSAの調査によると、個人情報漏洩事件1件当たりの平均想定損害賠償額は6億3,767万円で、1人当たりの平均想定損害賠償額は2万9,768円とされています。

導入しても有効化されないセキュリティ対策が存在する理由

導入しても有効化されないセキュリティ対策が存在する理由として、パフォーマンスの低下や運用の複雑化が懸念されていることが考えられます。

まず、セキュリティ対策を有効化すると、システムのパフォーマンスが低下する可能性があります。例えば、マルウェア対策であれば、1つ1つのファイルに対してマルウェアに該当するかチェックをします。データベースとの照合が行われますので、通常のアクセスやデータの処理に影響を及ぼす場合があります。また、セキュリティ対策も一つのプログラムとして、コンピュータのリソースを消費しますので、その分システムの負荷が高まり、動作が不安定になる場合があります。

また、セキュリティ対策を有効化すると、システムの運用が複雑になる可能性があります。例えば、セキュリティ対策がサイバー攻撃を検知した際にブロックする処理が行われた場合、それが本当にサイバー攻撃であるか、適宜判断することが求められます。仮に、セキュリティ対策が誤検知をした場合は、セキュリティ対策の設定を変更する必要があります。セキュリティ対策の運用状況を定期的に確認し、必要に応じて見直しを行う必要があります。

これらの問題を懸念して、セキュリティ対策を導入しても有効化されない状況が発生していることが考えられます。