第6回：データの流出 – サイバー犯罪者がデータを探す場所

組織のセキュリティ対策
2016.4.21

前回のデータの流出ブログ連載第5回では、従来のネットワークからのデータ流出とクラウドからのデータ流出について簡単に触れました。これまでの内容の復習として、当社が実施した一次調査（英文）によると、データ流出の事例の3分の1はクラウドから、そして3分の2は従来のネットワークからの漏えいとなっています。今回は、この一次調査の結果についてさらに掘り下げて、企業や組織のデータセキュリティ対策全体にとって、この結果が意味することについて、より詳しく説明していきましょう。

現在流行のクラウドの活用 – 利用は慎重に

クラウド技術は、世界中の大企業や中小企業において確固たる地位を確立しました。当社のレポート「Grand Theft Data」（データ窃盗：英文）によると、北米において中小企業は56%、大企業の75%がクラウドを導入していると報告されています。イギリスでは割合が逆転し、ほぼ反対の結果となっています。アジア太平洋地域では、クラウドのアプリケーションやサービスを導入していると答えたのは、アンケート対象組織の半分以下でした。ひとつ明らかに言えることは、回答したほぼすべての企業が1年以内にクラウドを採用する計画があると答えており、クラウドの利用が進んでいることを物語っています。しかし、アプリケーションはすでに（もしくは将来的に）クラウド上にあるものの、利用者の頭の中ではまだ対応できていません。クラウドアプリケーションを導入したセキュリティの専門家の大部分は、今後2年以内に深刻なセキュリティ侵害が発生すると考えており、リスクを現実的なものと考えています。そして彼らの考えはおそらく正しいのです。

サイバー犯罪者が不正取得しようとするデータをタイプ別に見ると、クラウドと従来のネットワークにおける割合は非常に類似しています。たとえば、漏えいデータに占める顧客の個人情報（PII：Personally Identified Information）の割合は、従来のネットワークが22%で、クラウドでは20%となっています。また、漏えいデータに占める従業員のPII割合は、従来のネットワークが19%で、クラウドでは18%です。クレジットカードのデータについては、従来のネットワークもクラウドも同様に14%となっています。

従来のネットワークでのセキュリティ侵害に関する経験を持つ企業や組織は、堅牢で完成されたセキュリティコントロールを適切に構築しているため、脆弱性や修正すべき問題への対応や取り組みがしっかりしていると考えられます。このことから私たち重大な結論に到達しました。クラウドでセキュリティ侵害が発生すると、データ流出につながる可能性が高いということです。

セキュリティの疑問

では、何が持ち去られるのでしょうか？サイバー犯罪者は自身が探すデータと探すべき場所をよく知っています。私たちは、皆さんが従来のネットワーク全体のセキュリティ強化に日夜取り組んでいることを理解しています。皆さんがクラウドをすでに利用しているもしくはこれから利用を予定している場合も自身のデータセンターのセキュリティやクラウドのサービスプロバイダが提供するセキュリティレベルの一方または双方に関して、重要な疑問を提起し始める時期がきたのです。最終的には、皆さんのデータであり皆さんの責任なのです。データ流出を防止できるのは皆さん自身であることを忘れないでください！

さて、不安で緊張されていますね！私たちはいよいよ最終回に向かっています。データの流出ブログシリーズ第7回では、データ流出を防止する具体的な方策、つまり包括的なデータ保護ソリューションについて探っていきます。次のブログまでお待ちの間、忙しいスケジュールの合間に時間を見つけて、データ流出の全体像の把握に役立つ貴重な資料をご覧ください。皆さんの同僚の方々ともぜひ共有してください。