IPA、「情報セキュリティ10大脅威 2024」発表。個人対象の脅威には順位を付けず

　独立行政法人情報処理推進機構（IPA）は1月24日、2023年に発生し、社会的に影響の大きかったセキュリティ脅威をまとめた「情報セキュリティ10大脅威 2024」を公開した。

　同機構が毎年公開しているもので、2023年に発生した情報セキュリティが懸念される事案から脅威候補を選出し、セキュリティ分野の研究者、企業の実務担当者などの約200名のメンバーからなる「10大脅威選考会」による審議を経て、投票により決定される。

　これまでは個人対象と組織対象で、それぞれ10の脅威を順位付けして発表していた。しかし、今年の発表では、個人対象の脅威には順位が付けられていない。

　これは、順位が高い脅威から優先的に対応し、下位の脅威への対策が疎かになることを懸念してのことだという。その代わり、今年の発表では「初選出年」と、2016年以降の10大脅威での取り扱い状況が付記されている。2016年初選出で、9年連続9回目となる「インターネット上のサービスへの不正ログイン」などは、2016年以降毎年選出されていたことになる。

　同機構では、順位に関わらず、自身に関係のある脅威に対して対策を行ってほしいとしている。

個人対象の項目は昨年と同じでも、それぞれの手口は新しくなっている

　個人を対象とした10大脅威の内容は、2023年と全く同じものとなった。しかし、種類が同じでも、脅威を取り巻く環境は前年と同じではないという。

　例えば、「フィッシングによる個人情報の詐取」では、電力・ガス・食料品などの価格高騰に対する緊急支援給付金を案内するとして不審なメールを送付し、マイナポータルをかたった偽サイトへ誘導する手口が見られたなどの例を挙げ、社会的に注目されているニュースや、生成AIなどの新しい技術を駆使して攻撃を仕掛けてくるため、常日頃から脅威に関する最新情報に注意を払い、手口を知っておくことが重要だとしている。

組織では、「人」が原因となる脅威が順位を上げる

　組織を対象した脅威は、ランキング形式で発表された。ただし、10の脅威は同じで、順位の変動のみがある。昨年1位の「ランサムウェアによる被害」と2位の「サプライチェーンの弱点を悪用した攻撃」変わらず、3位の「内部不正による情報漏えい等の被害」や、6位は「不注意による情報漏えい等の被害」は、前年から順位を上げた。

　これらは、組織内の「人」が原因となる脅威であると、同機構ではコメントしている。同機構では2022年に「内部不正防止ガイドライン」を改訂し、働き方の変化や新技術への対応の必要性を解説しており、外部からの攻撃に関する対策だけでなく、内部不正や人的ミスといった対策も重要だとしている。