ベライゾン、データ漏洩／侵害ダイジェスト2017年版を発表

ベライゾンジャパン合同会社（日本法人所在地：東京都千代田区、以下「ベライゾン」）は、この度2017年データ漏洩／侵害ダイジェストを発表しました。2017年版データ漏洩／侵害調査ダイジェストでは、データ漏洩がより複雑化し、IT部門のみならず、企業のあらゆる部門に影響をおよぼし始めていることが報告書されています。また、どんなデータ漏洩であっても、持続的ではなくとも長期にわたって企業に爪痕を残していることが、明らかにされています。

ベライゾンの2016年データ漏洩／侵害調査報告書（DBIR）で明らかになったように、今年度も、人的要因がデータ漏洩の原因の中核となっています。　脅威をしかけるのも被害を受けるのも、セキュリティインシデントに対応する関係者もすべて人が、データ漏洩およびサイバーセキュリティインシデントにおいて引き続き重要な役割を担っています。

第2版となったデータ漏洩／侵害調査ダイジェストでは、16件の典型的な漏洩状況について詳述されており、毎年発行されるデータ漏洩／侵害調査報告書（DBIR）の背後にあるサイバー調査の裏側を垣間見ることができます。これら16件のインシデントは、企業広報、法律顧問、人事の専門家など、それに関わった様々な関係者の視点から語られています。

ベライゾン・エンタープライズ・ソリューション、RISKチーム、エグゼクティブディレクター、ブライアン・サーティンは次のようにコメントしています。「データ漏洩はますます複雑化、巧妙化しています。被害に遭った組織との協業を通じて解ったことは、データ漏洩が取締役会を含む組織の至る所まで影響をおよぼすということです。データ漏洩が起きたときにできるだけ迅速に対応するためには、漏洩発生前からどう対処するかを検討・準備しておく必要があります。これを怠ることは、企業全体にダメージを浸透させ、お客様の信頼失墜や株価暴落など、壊滅的で今後長期的に悪影響をおよぼす可能性があります。データ漏洩／侵害調査ダイジェストは、企業や政府組織にとって、データ漏洩の前兆の見分け方、証拠資料の重要性を理解すること、また迅速に調査する方法や、漏洩を阻止したり回復したりする方法を理解するために有効なレポートです」

2017年版データ漏洩／侵害調査ダイジェストが示す、タイプ、業界、インシデントパターン、利害関係者の関与

ダイジェストでは、データ漏洩に起因する状況シナリオのパターンには限りがあるものの、それぞれに変化形があり、データ漏洩後には実に様々なダメージが観測されうることが再度確認されました。ダイジェストのなかで、漏洩インシデントは、漏洩のタイプや業界、DBIRのインシデントパターン9種類の1つ、および関係者の関与によって定義されています。

今年度の16件のデータ漏洩状況も、その分野ごとの普及率と致命度によって分類されています。事例のうち10件は、過去3年間にベライゾンのRISK（Research、Investigations、Solutions、Knowledge）チームが調査にあたった1,400事例の60%を超える典型的なケースです。その他の6件はあまり一般的ではありませんが、組織にとって致命的あるいはダメージが大きいと思われるものです。

各事例では、攻撃の発生状況、精巧さのレベル、脅威に関わった実行者、使用された戦略と技術、および推奨される対応策など、詳細な分析結果を提供しています。その内容はRISKチームのインシデント対応件数から導き出されたもので、DBIRの編さんに使用された標準のVERIS（Vocabulary for Event Recording and Incident Sharing）フレームワークに基づいてカテゴリ化されています。

本レポートでは、16の状況を4種類の漏洩タイプに分類し、それぞれを以下の例のように特徴づけています。

人的要因

・パートナーによる悪用 –The Indignant Mole （怒れるモグラ ）
・不満を抱えた従業員 – The Absolute Zero（絶対的ゼロ ）

ルートとなるデバイス

・モバイルへの攻撃 – The Secret Squirrel（秘密のリス）
・IoT の惨事 – The Panda Monium（パンダ地獄 ）

コンフィギュレーションの搾取

・クラウドストーミング – The Acumulus Datum（山積みデータ ）
・DDoS 攻撃 – The 12000 Monkeyz （12000 のサルたち）

悪意のあるソフトウェア

・暗号マルウェア – The Fetid Cheez（悪臭を放つチーズ ）
・未知なるアンノウン – The Polar Vortex（極地の渦）

今年度の報告書では、漏洩の直後に組織がとるべき5つの行動を指摘しています。

・証拠の保管：行ったことそれぞれの結果を考察
・柔軟であれ：変化する状況に順応する
・一貫したコミュニケーション方法を確立する
・己の限界を知れ：ほかの利害関係者と連携する
・行動と成果を記録する：説明するための準備をする

ベライゾンのデータ漏洩／侵害調査ダイジェストシリーズ

匿名性を維持するため、ベライゾンは実在する各状況の詳細の一部を修正もしくは除いています。これには氏名、地理的位置、盗まれた記録および金銭的損失の詳細の変更が含まれています。それ以外はすべて、ベライゾンのケースファイルからそのまま取り込んでいます。

ベライゾンのRISKチームは、世界中の数百におよぶ営利企業および政府機関でサイバー調査を行っています。2016年度、RISKチームは40か国以上で500件を超えるサイバーセキュリティ事例を調査しました。2008年度には本チームのフィールド調査結果を初めてデータ漏洩／侵害調査報告書としてまとめ、以来、実在のデータ漏洩／侵害を詳細に分析し毎年出版しています。目標は、攻撃の背後にいる脅威実行者の本質や彼らが使う手法について、彼らが求めるデータおよび標的となる被害者をふくめて、一般市民に知らせることです。

ダイジェスト全文はこちらからお読みいただけます。http://verizonenterprise.com/databreachdigest

ベライゾンについて
Verizon Communications Inc.（NYSE, NASDAQ:VZ）はニュ－ヨ－クに本社を置き、ブロ－ドバンド、無線・有線通信サービスを消費者、法人、政府組織、ホールセール顧客企業に提供するグローバルリーダーです。ベライゾン ワイヤレスは米国で最も信頼性に優れた無線ネットワ－クを展開し、米国内接続数は1億1420万を上回ります。ベライゾンは統合された通信、情報、エンタ－テイメントのサービスを米国内最先端の光ファイバーネットワ－クで提供し、さらに革新的でシームレスなビジネスソリュ－ションをワールドワイドに提供しています。ダウ工業株30銘柄企業の一社であるベライゾンは、世界中に160,900名以上の社員を擁し、2016年度1,260憶ドルの連結売上を発表しています。詳細については、日本法人サイトwww.verizonenterprise.com/jp、www.verizon.jpおよびVerizon Communications 本社サイト（英語）www.verizon.comをご参照ください。