今週のセキュリティニュース - 2024年7月12日

ガートナージャパンは、日本国内の従業員500人以上の組織のセキュリティリーダーを対象に実施したランサムウェア対策状況に関する調査結果を発表しました。
これによると、企業はランサムウェアの感染を前提として感染後の対処を準備している現状が伺え、ランサムウェア感染に備えた準備として「バックアップからの復旧体制」が回答が最も多かったものの4割弱の割合であり、備えが十分とは言えないとしています。
また、ランサムウェア感染時の身代金要求への対応については、「身代金の支払いは行わない方針で、ルール化している」という企業はわずか22.9%であり、約4分の3の企業はランサムウェアの感染後に具体的な判断をする予定であることが明らかとなったとのことです。

日本国内の企業・組織におけるランサムウェア被害が急増しており、5月中旬から6月下旬にかけての約1ヶ月ほどで確認できただけでも10件以上の被害が公表されています。（自社調べ）
グループ会社が提供するサービスを標的としたランサムウェア攻撃を受けて大規模なシステム障害に見舞われ、サービスの提供停止や従業員の個人情報流出などの事態に発展している事例や、業務委託先がランサムウェア攻撃を受けた影響で多数の企業・組織が顧客情報流出に繋がった事例が確認されています。
ランサムウェアによる攻撃を受けると、自社内の被害だけにとどまらず、サービス利用ユーザーや顧客企業にまで影響を及ぼしかねないことが伺えます。

Googleが提供するアドバンスド・プロテクション・プログラムは、Googleアカウントに貴重なファイルや機密ファイルが含まれ、標的型サイバー攻撃のリスクが高いハイリスクユーザー向けに、特別なセキュリティを提供するように設計されています。
従来、このプログラムでは2つの物理的なセキュリティキーの所有が必要で、ユーザーはパスワードと1つのセキュリティキーを使ってログインしていましたが、この度パスキーの登録が可能になったことを発表しました。
紛争地域を取材するジャーナリスト、選挙運動員、出張しているビジネスリーダーなどは物理的なセキュリティキーにアクセスできるとは限らないこと、あるいはセキュリティキーを購入することが難しい場合を考慮しての機能追加だと説明しています。

米サイバーセキュリティインフラセキュリティ庁 (CISA)は米国内でオンプレミスソフトウェア、クラウドサービス、SaaS（Software as a Service）を含む、企業向けソフトウェア製品を提供する企業に対して「Secure by Design Pledge」への参加を促しています。
現在までに、160社近くのソフトウェア企業が、製品をより安全にするという自発的な誓約に署名しました。
この誓約では、企業は 1 年以内にその目標を達成し、その後ブログやその他の方法で達成内容を公表することが求められます。あるいは、うまくいかなかった場合は、少なくとも CISA に対して、どのように努力したか、どのような困難に直面したかを説明することが求められています。