1. トップ
  2. トピックス
  3. サイバーセキュリティの現状 2023年版

サイバーセキュリティの現状 2023年版

サイバーセキュリティが実際のビジネスに及ぼす影響を探るため、ソフォスがVanson Bourne社に委託して2023年1~2月に実施した調査結果です。この調査では14か国のIT/サイバーセキュリティを担うリーダー3,000人を対象とし、全ての回答者が従業員数100~5,000名の組織に所属しています。

この調査によりサイバーリスクに関する防衛側の現状を明らかにしていきます。

出典:ソフォスホワイトペーパー「サイバーセキュリティの現状 2023年版」

主な調査結果

  • 94%の組織が、過去1年間に何らかのサイバー攻撃を経験した

  • 2023年のセキュリティの最大の懸念はデータの流出である

  • 93%が、セキュリティ対策に不可欠なタスクを実行することが困難だと感じている

  • 調査対象となっておりセキュリティアラートの割合は48%にとどまる

  • アラートの検出、調査、対応にかかる平均時間は、従業員数3,0015,000名の組織では15時間に達する

  • 2023年に懸念されるセキュリティリスクとしてセキュリティツールの設定ミスが最も多く挙げられている

  • 52%は、現在、サイバー攻撃が高度になりすぎており、自社で対処することができないと回答している

  • 55%は、サイバー脅威への対応が、ITチームの他のプロジェクトに悪影響を与えていると報告している

  • 64%ITチームがビジネス戦略に関する問題により多くの時間を費やし、セキュリティ問題の修正にかける時間を削減することを望んでいる

  • ITプロフェッショナルの57%は、サイバー攻撃を受けることを心配して不眠になることがあると報告している

2023年に最も懸念されるサイバー攻撃

回答者の99%が、2023年に自社がサイバーセキュリティの脅威を受けることを懸念しています。IT担当者が自社に対するサイバー脅威として最も多く挙げたのがデータの流出(外部の攻撃者によるデータの窃取)であり、次いでフィッシング(スピアフィッシングを含む)となっています。また、ランサムウェアが第3位にランクインしています。

これら3つの脅威が連動していることが多いことを把握しておくことが重要です。つまり、フィッシングメールがきっかけとなり、データの流出やランサムウェアにつながる攻撃が多く発生しています。

サイバー脅威 最も重要な懸念とした回答者の割合
データの流出(外部の攻撃者による窃取) 41%
フィッシング(標的型攻撃を含む) 40%
ランサムウェア 35%
サイバー恐喝 33%
サービス拒否(DDoS) 32%
ビジネスメール詐欺(BEC) 31%
アクティブアドバーサリ(手動でキーボードを操作する攻撃者) 30%
モバイルマルウェア 30%
クリプトマイナー 22%
ワイパー型マルウェア 16%
その他 0%
2023年にサイバー脅威が自社に影響を与えることを心配していない 1%
不明 0%
2023年にどのようなサイバー脅威が自社に影響することを最も懸念していますか?(回答者数=3,000)

アクティブアドバーサリが一般的に

アクティブアドバーサリとは、セキュリティテクノロジーや防御側の対策に応じて、リアルタイムにキーボードを操作して、攻撃対象の環境に合った戦術、手法、手順(TTP)を適用して、検出を回避しながら攻撃を実行するサイバー攻撃者です。

アクティブアドバーサリによる攻撃により、壊滅的なランサムウェアやデータ侵害のインシデントにつながることも多く、防止することが最も困難な攻撃の1つです。

回答者の23%が、昨年、自社がアクティブアドバーサリに関連する攻撃を経験したことを報告しています。攻撃を受ける確率は組織の規模に関係なく一定になっており、すべての組織規模をセグメントに分割しても2ポイントの差異しかありません。

興味深いのは、年間収益が1,000万ドル未満の組織では、アクティブアドバーサリによる攻撃の報告率が11%にまで低下しています。これは攻撃者が意図的に収益の多い企業を標的にしていることを示唆しています。アクティブアドバーサリを検出するためには高度なスキルが必要であることから、検出されていないケースも多くあり、実際のインシデントの発生率はさらに高いと考えられます。

これらの攻撃による影響が破壊的であることから、回答者の30%が、アクティブアドバーサリを2023年のサイバー脅威最大の懸念事項の1つと回答しています。

防衛側の2023年のサイバーリスクTOP3

セキュリティ管理の設定ミス(エンドポイントやファイアウォールソリューションの設定ミスなど)は、最も懸念されているセキュリティリスクであり、回答者の27.4%がサイバーリスクのトップ3に挙げています。このランキングから、セキュリティコントロールを正しく設定および展開し続けることがITチームの課題となっている一方で、攻撃者が首尾良く防御の隙を突いて攻撃を仕掛けている状況が伺われます。

ゼロデイ攻撃(未知のセキュリティ脆弱性やソフトウェアの欠陥を利用する攻撃)は26.8%で、懸念されるセキュリティリスクの第2位になっています。サイバーセキュリティに関する社内のスキル/専門知識の不足は第3位となり、回答者の25%がセキュリティリスクのトップ3に挙げています。

スキル不足とセキュリティツールの設定ミスは、直接関係します。セキュリティコントロールを適切に設定するには時間、知識、経験が必要であり、これらが不足していると防御にギャップが生じます。

サイバーセキュリティのリスク回答者がトップ3の懸念に挙げた割合
セキュリティコントロールの設定ミス(エンドポイントやファイアウォールソリューションなど)27%
ゼロデイ脅威(公開されていない手法を攻撃する脅威)27%
サイバーセキュリティに関する社内のスキルや専門知識の不足25%
アクセスデータや認証情報の窃取24%
保護されていないデバイス(認識されていないデバイスを含む)24%
サイバーセキュリティツールの不足23%
未修正の脆弱性22%
リモートユーザーへのアクセスの有効化20%
安全でないワイヤレスネットワーク20%
社内ユーザーの脅威(偶発的に発生する問題)18%
パートナー/サプライチェーン18%
リモートアクセスツール18%
内部ユーザー(意図的に行われる攻撃)17%
IoTデバイス17%
その他0%
いずれも自社にとってリスクとなるサイバーセキュリティの問題ではない0%
不明0%

自社のサイバーセキュリティリスクのトップ3は何だと思いますか?1位、2位、3位の回答の合計(回答者数=3,000)

組織をサイバー攻撃から守る
AXIS総合セキュリティパックのご紹介
AI搭載UTMで
ネットワーク保護
EDRを進化させた
XDRで脅威を検知
常時、専門家が
脅威を対処
幅広くサイバー攻撃
による損害を補償
サイバーセキュリティ
お助け隊認定サービス
「AXIS総合セキュリティパック」は、Sophosの最新製品を採用した次世代型セキュリティシステム(Sophos Firewall XGS、Sophos Intercept X )に24時間年中無休のマネージメントサービス(Sophos MDR)さらに導入コンサルティングサービスとサイバー保険をワンパッケージにした最高レベルの総合セキュリティサービスです。

ビジネスへの影響

60%の組織は、サイバーセキュリティとさまざまなIT機能が非常に緊密に連携していると考えています。サイバーセキュリティに必要な時間と労力は、IT組織に多大な影響を与えています。

過半数(55%)の組織は、サイバー脅威への対応が、ITチームによる他のプロジェクトへの取り組みに悪影響を与えていると報告しています。中でも、収益が多い組織ほど大きな影響を受けています。

また、サイバーセキュリティは緊急性が高く予測不可能であることから、ビジネスに集中した取り組みに支障を与えます。平均して64%の組織でITチームがビジネス戦略に関する問題により多くの時間を費やし、セキュリティ問題の修正にかける時間を削減することを望んでいます。ここでも、収益が大きい組織ほど、広範なプロジェクトの実行に影響が及んでいます。

また、サイバーセキュリティは、組織の財務面へも影響を与えています。単独で最も大きなコストが発生するのは、大規模なサイバーインシデントが発生したときです。ソフォスのレポート「ランサムウェアの現状2022年版」で報告しているとおり、ランサムウェアの修復にかかるコストは平均で140万ドルに上ります。

一方、セキュリティアラートの監視・調査にはセキュリティスペシャリストの継続的な雇用が必要です。

このレポートではサイバー攻撃者が防御側のビジネスに及ぼす影響をIT/サイバーセキュリティリーダー3,000人の回答を分析して紹介しています。

MENU