情報セキュリティに関する脅威の認知と企業の取り組み【情報セキュリティニュース（2012年3月）】
2012.3.1
2011年、多くの企業や官公庁などがサイバー攻撃を受け、様々な被害を受けることとなった。これら攻撃の中にはシステム部門の過失ではなく、社員のミスに起因して組織のシステムがウィルスに感染するケースも見られ、各組織では、組織内のシステムやネットワークの安全性をいかに確保するか改めて見直しを求められるとともに、社員一人一人が情報セキュリティに関して高い感度を持つことが再認識された。しかしながら、2011年12月に独立行政法人情報処理推進機構（以下、「IPA」と略記）が公表した「2011年度 情報セキュリティの脅威に対する意識調査」の報告書では、一般ユーザーの｢情報セキュリティに関する攻撃・脅威の認知｣の項目において、企業が注意すべき「標的型攻撃（サイバー攻撃）」、「マルウェア」、「ボット」に関する認知度は低い水準に止まっている。組織を構成する社員についても同様であると推察され、その教育・指導が急務である。そこで本稿では、一般ユーザーの情報セキュリティに関する脅威の認識について俯瞰し、近年多発している標的型攻撃の事例を参考にシステム部門が社員に対して、教育、注意喚起する際のポイントを解説する。
1. 個人の情報セキュリティの脅威と企業の情報セキュリティの脅威
「2011年度 情報セキュリティの脅威に対する意識調査」（表1参照）は、IPAが情報セキュリティに関する対策の情報発信、普及・啓発等の活動の一環として、毎年、継続的に実施している調査である。今回公表された調査報告書には、一般ユーザーの｢情報セキュリティに関する攻撃・脅威の認知｣の結果（表2参照）が公表されている。それによれば、「ワンクリック請求」、「フィッシング詐欺」といった脅威については、一般ユーザー全体の9割以上が認知している（「詳しい内容を知っている」＋「概要をある程度知っている」＋「名前を聞いたことがある程度」）。一方、「標的型攻撃（サイバー攻撃）」、「ボット」、「マルウェア」などの脅威については、認知度が5割を下回る結果となっている。
この認知度の差は、脅威がもたらす被害の違いによるものと考えられる。「ワンクリック請求」や「フィッシング詐欺」による被害は金銭的被害や個人情報の流出など直接的な損害として表れ、一般ユーザーは自分自身が痛手を被ることとなり、メディアをはじめとした周囲からの注意喚起も多い。それに対して、「標的型攻撃（サイバー攻撃）」や「ボット」、「マルウェア」は、不正プログラムの手段を用い、悪意を持った第三者がPC所有者に見つからないようPCを遠隔操作し、「迷惑メールの配信」や「PC内の情報発信」を行うため、一般ユーザーが被害に気づきにくく、メディア等からの注目も集まらない。「標的型攻撃（サイバー攻撃）」については、最近、メディアを通じて多数の被害が報道された。しかしながら、一般ユーザーの認知度が低いのは、報道された「標的型攻撃」の対象が組織であり、個人にとってはあまり関係のない脅威として捉えられたからと考えられる。
全文はPDFでご覧いただけます
