経済産業省が経営者に対しサイバーセキュリティ強化に関する注意喚起を出していました。中身を見ると「2020年のサイバー攻撃まとめ」の様な内容ですが、経営者への説明用として利用できそうな内容でしたので取り上げます。www.meti.go.jp
公式発表（Peatix）
キタきつねの所感
趣旨の部分を見ると、サプライチェーン攻撃、ランサム被害、海外拠点経由の攻撃と、振り返って考えると、2020年の攻撃は例年とは違ったなと、注意喚起が（もっと前に出ていても良い気がしますが）出るのがよく分かります。
1．趣旨
（1）中小企業を巻き込んだサプライチェーン上での攻撃パターンの急激な拡がり
昨今、中小企業を含む取引先や海外展開を進める企業の海外拠点、さらには新型コロナウイルスの感染拡大に伴うテレワークの増加に起因する隙など、攻撃者が利用するサプライチェーン上の「攻撃起点」がますます拡大しています。
（2）大企業・中小企業等を問わないランサムウェアによる被害の急増
暗号化したデータを復旧するための身代金の要求に加えて、暗号化する前にあらかじめデータを窃取しておき、身代金を支払わなければデータを公開するなどと脅迫する、いわゆる「二重の脅迫」を行うランサムウェアの被害が国内でも急増しつつあります。
背景には、攻撃者の側でランサムウェアの提供や身代金の回収を組織的に行うエコシステムが成立し、高度な技術を持たなくても簡単に攻撃を行えるようになっていることがあります。
（3）機微性の高い情報の窃取等を目的としたと考えられる海外拠点を経由した攻撃の深刻化
ビジネスのグローバル化に伴い海外拠点と密に連携したシステム構築が進む一方で、十分な対策を取らないまま海外と日本国内のシステムをつなげてしまった結果、セキュリティ対策が不十分な海外拠点で侵入経路を構築され、国内に侵入されるリスクが増大しています。
（経産省注意喚起記事より引用）
概要版の方の図で時系列がまとまっていましたので、こちらを引用しますが、個社名がぼかされているものの当ブログで記事として取り上げてて来たインシデントが結構入っています。
※PDF版では事件の詳細についてもう少し詳しく（個社名はぼかされています）書かれていますので、内容を確認されたい方はPDF版を見ると良いかと思います。
経営者に対する（セキュリティ予算獲得の為の）説明資料に流用できそうなのは、概要版の以下のページかと思います。
経営層のリーダーシップ・・・良い言葉ですが、弊社の雲の上の方々は、サイバーセキュリティ経営ガイドラインv2を（ちゃんと）読んでいるかと問われると、少し目を逸らしてしまうかも知れません。
そうした中で、IT部門やセキュリティ担当の方が、諸々のセキュリティ対策（予算）を上申する際に、経産省がこう言っていると、こうした資料を流用するのは良い手かと思います。
注意喚起で挙げられている内容はどれも経営層がリードすべき重要な事ばかりですが、インシデント分析をしている立場から見ると、②ランサム対策が最優先だと思います。
何度か同じ事を書いている気がしますが、ランサムオペレータは去年の倍以上の「収入」を挙げており、その手法は年々進化（深化）しており、ビジネスとして大成功を収めています。
従来の様にメール（フィッシング）だけではなく、VPN装置（テレワーク環境）を狙った攻撃や、O365やZoom等クラウドサービスの脆弱性を突いた攻撃も増えてきており、日本企業・組織も被害が出ています。
※その中では上記①サプライチェーンや③海外支社などを経由しての②ランサム攻撃もありますが、まず自社の体制を強化する事が求められている気がします。
注意喚起資料（概要版）での以下の様な参考資料や、新聞記事を使って経営層を”説得”する。これが社畜『橋渡し人材』として求められているのかも知れません。
本日もご来訪ありがとうございました。
Thank you for your visit. Let me know your thoughts in the comments.
更新履歴
