サイバー攻撃を受けた日本企業は2年で3倍以上に、PwC Japanの経済犯罪実態調査

　PwC Japanが公開した『経済犯罪実態調査2018 日本分析版』は、サイバー攻撃に限らず、横領や不正な財務報告など、経済犯罪全体の被害状況をまとめたもの。2年に1回公開している。今回の回答者数は世界123の国と地域に居住する7228人。うちアジア太平洋地域の回答者数は2218人、日本の回答者数は182人である。

　回答者全体のうち42％が上場企業に、55％が従業員数1000人超の企業に勤務し、56％が企業や組織を代表する経営幹部である。日本の回答者では57％が上場企業に、68％が従業員数1000人超の企業に勤務。経営幹部は34％になる。

　遭遇した経済犯罪としては、サイバー犯罪を挙げる企業が世界全体で31％、アジア太平洋地域では27％だった。前回（2016年）調査では、世界全体が32％、アジア太平洋地域は27％だったので、大きな変動はない。

　しかし日本企業においては、サイバー犯罪を挙げた企業が6％から21％に急増した。サイバー犯罪の件数が増加しているというだけでなく、日本企業のサイバー犯罪対策が遅れているためとみられる。

　過去2年間に受けたサイバー攻撃の種類については、マルウェアが最も多く、フィッシング、ネットワークスキャニングが続く（図1）。マルウェアの中では、データを暗号化してしまう「ランサムウェア」による被害が増えている。以前は個人ユーザーが被害に遭う例が多かったが、最近は企業や組織における被害例が増えているという。

図1：過去2年間に企業や組織が受けたサイバー攻撃の種類、『経済犯罪実態調査2018 日本分析版』より

　ランサムウェアを悪用した恐喝が多発していることは、攻撃者の狙いにも現れている。攻撃者が何を狙って攻撃を仕掛けてきたかを問う質問では、「サイバー恐喝」を挙げる回答が最多だった（図2）。

図2：サイバー攻撃で狙われたもの、『経済犯罪実態調査2018 日本分析版』より

　次いで多かったのが「知的財産（IP：Intellectual Property）」の盗み出しである。世界全体やアジア太平洋地域に比べて日本企業の被害が極端に多い。この点についてPwC Japanは、「日本企業が知的財産の重要性をあまり認識していない」と指摘する。知的財産に関するデータを企業ネットワーク外のコンピューターでの共有を許すなど、適切な情報管理ができていないとする。知的財産に限らず、企業データを守る情報セキュリティシステム全般が脆弱であるともしている。

　PwC Japanによれば、「サイバー攻撃の被害は年々増加しているが、新しい攻撃手法も続々登場しているため、サイバー攻撃をすべて防ぐことは難しい」。それだけに「企業や組織はサイバー攻撃に対する守りを固めながら、攻撃を受けた時にいち早く検知し、被害を最小限に食い止める体制づくりが重要だ」としている。

　ただし、サイバー攻撃に備え、何らかの体制（サイバーセキュリティプログラム）を整えている日本企業は確実に増えている。サイバーセキュリティプログラムを運用している日本企業は前回の32％から65％にまで増えた。内容としては、サイバーセキュリティ規定の制定（67％）、アプリケーションに関するセキュリティ手続き（51％）、サイバーセキュリティ専門の人材の登用と研修（41％）などが挙がっている。

　規則の制定や教育など、従業員に頼る対策だけでなく、AI（人工知能）などの最新技術を防御に活用する企業も増えている（図3）。「電子メールのモニタリングが有効」とする回答が41％と最も多い。

図3：サイバー攻撃からの防御に利用している、あるいは利用しようと考えている最新技術、『経済犯罪実態調査2018 日本分析版』より

　最新技術の利用用途では、「サイバー攻撃や脆弱性の検知」とする回答が最も多かった（図4）。39％が最新技術による不正検知をモニタリングプログラムの一部に利用しており、今後本格的な活用例が増えると考えられる。

図4：不正や犯罪の対策として利用している最新技術、『経済犯罪実態調査2018 日本分析版』より

　サイバー攻撃を受けた後に、被害に関する情報を政府や行政機関に提供する可能性については、5段階（非常に高い、高い、どちらとも言えない、低い、非常に低い）のうち2段階目の「高い」という回答が最も多かった（世界：31％、アジア太平洋：34％、日本38％）。それに「非常に高い」が続く（世界：28％、アジア太平洋：21％、日本：22％）。

　「低い」「非常に低い」という回答は少なかったものの情報を提供したいと思わない理由については「無秩序に情報が公開される懸念がある」とする回答が最も多く、「政府機関の専門性に懸念がある」という回答が続いた（図5）。

図5：サイバー攻撃の被害に関する情報を政府や行政機関に提供しない理由、『経済犯罪実態調査2018 日本分析版』より

　ほかにも「行政機関を信用していない」「過去に共有したことによる苦い経験がある」という回答が並ぶ。専門的知識の面だけでなく、データの扱いといった面でも、政府機関があまり信用を得られていないようだ。