Armisによる調査で、グローバル組織の3分の1が 過去12ヶ月間に複数のセキュリティ侵害を経験したことが判明

サンフランシスコ – 2023年11月7日 – アセット・インテリジェンス・サイバーセキュリティ企業であるArmisは本日、過去12ヶ月間の組織の傾向と課題を調査したグローバルアタックサーフェスマネジメント（Global Attack Surface Management, 以下ASM）調査の結果を発表しました。

Vanson Bourneに委託した調査によると、グローバル企業は、環境の盲点が原因で前例のないレベルのサイバーリスクに直面しており、セキュリティチームは、実用的な情報に欠ける大量の脅威インテリジェンスデータに悲鳴をあげています。その結果、グローバル企業の61％が過去12カ月間に少なくとも1回は侵害を受け、31％が同期間に複数の侵害を経験していることが確認されました。侵入されたと報告する割合が最も高い組織の上位4カ国は、米国、シンガポール、オーストラリア、ニュージーランドでした。

ArmisのCISOであるカーティス・シンプソンは、次のように述べています。「Armisは、進化する脅威の状況と、グローバル組織、国家政府、州および地方公共団体、そして社会全体を標的とする悪質なサイバー攻撃の影響について警告を発し続けています。我々の調査では、グローバル組織が攻撃面全体をどのように保護・管理するかについて、改善の余地が大いにあることがわかりました。攻撃が起こるかどうかは問題ではなく、いつ起こるかが問題なのです。特に、社会が大きく依存している重要なインフラストラクチャに関しては重要な問題です。」

Armisの「2023年グローバルアタックサーフェス管理調査」は、米国、英国、ドイツ、フランス、シンガポール、オーストラリア、ニュージーランドのITセキュリティおよびIT意思決定者からの知見を活用して作成されました。

主な調査結果は以下のとおりです：

組織の攻撃面全体が十分に監視されていないため、重大なエクスポージャと目に見えないサイバーセキュリティ・リスクが発生しています

• 平均的な稼働日には、55,686の物理的・仮想的資産が組織のネットワークに接続されています。世界の回答者は、これらの資産のうち60%しか監視されておらず、40%は監視されていないと回答しています。
• 回答者の 22% が公式な BYOD（持ち込みデバイス） ポリシーがあるが、全従業員に適用されていないと回答しています。また、23% は従業員が従うことを推奨するガイドラインがあるか、BYOD に関するポリシーやガイドラインがないことを認めています。
• 資産の場所やサポート状況などを把握する場合、組織は平均して資産の約60%しか把握できていません。プリンターのような忘れられやすい資産は、特にセキュリティアップデートがインストールされていなかったり、パッチが適用されていなかったりすると、重大なセキュリティギャップを引き起こす可能性があります。

脅威インテリジェンスの自動化や優先順位付けが行われないまま流入するデータは、セキュリティ担当者やIT担当者が組織を保護するために脅威を効果的に修正する能力を妨げています

• 回答者の29%が、サイバーセキュリティチームがサイバー脅威情報に悲鳴を上げていると報告しています。ドイツの回答者（38%）は、このように報告する傾向が最も高い結果でした。
• 調査対象者の半数弱（45%）が、脅威インテリジェンスに関連するデータを収集するために 10 以上の異なるソースを使用していると回答しています。また、脅威インテリジェンスに関連するプロセスのうち、自動化されているのは平均 52%～57% に過ぎず、インテリジェンスを活用するために必要な作業の多くが手作業であることを意味しています。
• 脅威インテリジェンスの情報源から収集された情報のうち、実行可能なものは平均 58％に過ぎません。脅威インテリジェンス・ソースから収集した情報のすべてが実用的であると回答した組織は、調査対象組織のわずか2%に過ぎませんでした。

組織は、サイバーセキュリティ計画を効果的に実行するために、あまりにも多くのツールを使用して、ネットワークに接続された物理的および仮想的な資産を効果的に管理することに苦慮している

• 世界の回答者の平均は、ネットワークに接続された資産を管理するために11種類のツールを使用していると回答しており、44%はいまだに手作業のスプレッドシートを利用していると答えています。
• 従業員はセキュリティを回避し、ITチームやセキュリティチームに知られることなく、資産にアプリケーションやソフトウェアをダウンロードすることができてしまいます。グローバル企業の4分の3（75％）は、このようなことが少なくとも時折発生していると報告しており、4分の1（25％）は、このようなことが常に発生していると報告しています。これらの資産を完全に制御、管理、可視化できなければ、組織はさらに大きなリスクに直面することになります。

シンプソン氏は続けます。「残念ながら、監視されていない攻撃対象の割合が大きいことと、過去1年間に経験した侵害の割合が高いことには相関関係があります。管理されていない資産は、攻撃面を増大しているにもかかわらず、組織のサイバー・ツールやプログラムには、サイバー上のリスク、エクスポージャ、脅威を理解し管理するための可視性が欠けています。攻撃者は、このような重大な盲点を突いて、今日最も影響力のあるサイバー攻撃を実行しています。IT部門は、バラバラのソリューションを統合し、最新の革新的なテクノロジーを活用することでアプローチを近代化し、リアルタイムで自動化された情報と実行可能な計画をチームに提供することで、ミッションクリティカルな資産をサイバー脅威から守ることが重要です。」

Vanson Bourneのリサーチ・コンサルタントであるケイティ・ハスレットは、次のように述べています。「私たちの調査では、グローバル企業の脅威管理には改善の余地があることがわかりました。本レポートの調査対象となった回答者は、この評価に同意し、攻撃対象の可視性を積極的に高め、仮想資産と物理資産を取り巻くポリシーと手順をさらに明確にすることが重要であると語っています。」

各地域の包括的な内訳を含むArmisの調査レポート全文を読むには、マイクロサイトにアクセスし、電子ブックをダウンロードしてください：https://www.armis.com/attack-surface-management

AIを活用したサイバーエクスポージャー管理プラットフォームであるArmis Centrix™が、これらの重要なサイバーセキュリティの課題にどのように対処しているかについては、https://www.armis.com/platform/armis-centrix/ をご覧ください。

調査方法と調査層
Armisは、独立系市場調査機関であるVanson Bourneに委託し、企業組織における攻撃面管理に関する調査を実施しました。この調査では、2023年5月から6月にかけて、米国、英国、ドイツ、フランス、シンガポール、オーストラリア、ニュージーランドの従業員1,000人以上の組織のITセキュリティおよびITの意思決定者900人を対象に調査を実施しました。回答者は、公共部門と民間部門にまたがりすべての組織から参加されました。すべての調査は、適切な候補者だけに参加機会が与えられるよう、厳密な複数レベルのスクリーニング・プロセスを用いて実施されました。

Armisについて
アセット・インテリジェンス・サイバーセキュリティ企業であるArmisは、攻撃面全体を保護し、組織のサイバーリスクをリアルタイムで管理します。急速に進化するボーダーレスな世界において、Armisは組織がすべての重要な資産を継続的に把握し、保護し、管理することを確実にします。Armisは、フォーチュン100、200、500の企業や、国、州、地方公共団体において導入されており、重要インフラ、経済、社会を24時間365日安全に保護することに尽力しています。Armisはカリフォルニア州に本社を置く非公開企業です。