新年、新しい予防ファーストのセキュリティ・マインドセット： 2024年の予測

過去12ヶ月間、サイバーセキュリティの状況には急速な変化が見られ、2024年もその勢いが衰える兆しはありません。実際、 Deep Instinctの最新のサイバー脅威レポートでは、2023年のランサムウェア被害者総数は大幅に増加し、2023年上半期の被害者数は2022年の全期間を上回りました。

MOVEitデータ流出事件では最大1,100万人分の個人情報が流出し、MGMとシーザーズ・エンターテインメントへの攻撃の背後にいたサイバーギャングをFBIが阻止するのに苦労しました。 ランサムウェア、ゼロデイ・エクスプロイトその他のかつてない脅威や洗練されたサイバー攻撃や手法が増加する中、2024年には、現在企業がもっている「侵入されることを前提にする」という考え方を改める必要があります。

2024年の幕開けにあたり、CEOのLane Bess、CPOのYariv Fishman、CIOのCarl Froggettらエグゼクティブ・リーダーシップ・チームのメンバーが、新年の展望と注視すべき関連テーマを語ります。これには、「予防ファースト」という考え方へのシフト、AIがセキュリティに与える影響、脆弱な攻撃ベクトルに対する意識の高まりなどが含まれます。

「予防ファースト」にマインドセットする年

TechTarget はFishmanの見解を紹介し、今年は「侵入されることを前提にする」という考え方を予防ファーストにシフトすることになるだろうと述べました。

「サイバーセキュリティの黎明期から、組織は侵害を防ぐことはできないとして『検知して対応する』考え方が広まってきました。これは組織が 『侵入を前提』という考え方を持っていたことを意味しています。AIの急速な進歩は、組織にとって転機となり、EDR（エンドポイント検知と対応）の蜜月時代が終わりを告げ、予防に重点を置くようになりました。『検知して対応する』というアプローチの限界が見えて来たのです。2024年、組織は予防ファーストの考え方にシフトし始め、予防能力の向上、総所有コスト（TCO）の削減、将来の敵対的AIサイバー攻撃を阻止・防止するツールを可能にするAIの最先端形態であるディープラーニング（DL）を活用するようになるでしょう」。

Bessは、予防こそが取締役会レベルの優先事項になると予測しています。

「2024年にサイバーセキュリティがCレベルの間で重要なトピックとなるにつれ、取締役会は脅威の予防を最優先に考えるようになるでしょう。現在、組織にはセキュリティ計画やポートフォリオの中に検知・対応能力を持つことが取締役会レベルで義務付けられていますが、今後数年間は予防戦略も義務付けられるでしょう」。

Bessは、サイバー攻撃に対する予防は可能であると強く信じており、そのためには、あまりにも長い間業界を悩ませてきた現状維持の「侵入を前提」という考え方からのシフトが必要であるというFishmanの意見に同意しています。

AIがセキュリティ業界に与える影響

Fishman は、敵対的AIが新しい年に急増すると予測しています。

「Large Language Models（LLM）は多くの可能性を秘めていますが、その可能性はまだ十分ではありません。2024年、公共のLLMがより正確で強力になるにつれて、同時に敵対的AIが急増するでしょう。LLMはすでにスタンドアロンで脆弱性調査、エクスプロイトの実装、カスタム難読化やマルウェアビルダーを含む攻撃の実行をかつてないスピードとボリュームで行うことができます。既存のツールではゼロデイ脅威に対処できないことが証明されており、攻撃側のAIに対してAIで戦う必要性が生じています。AIの最も洗練された形態であるDLのみが、こうしたゼロデイ型のAIの脅威に対抗する上で最適なのです」。

さらに、サイバーセキュリティ市場は今後も統合が進み、AIがM&A投資やイノベーションを促進するきっかけになるとBessは予測しています。

「サイバーセキュリティ市場はポイントソリューションで過密状態です。2024年には、大規模なプラットフォーム・プレーヤーが買収によってその機能を拡張していくことになるでしょう。理想的なターゲットは、優れた技術、特に高度なAIやMLの機能を持ち、年々規模が拡大していない中小のセキュリティ企業です。業界の重要な問題を解決する技術を持ったサイバーセキュリティ企業は、今後も成長し続けるでしょう」。

最後に、量子コンピューティングはAIと衝突し続け、破壊を引き起こすだろうと、Froggettは BetaNewsとの会話で述べています。

「まだ未知の部分が多いですが、量子コンピューティングとAIの交差は、サイバーセキュリティとハイテク業界に嵐を巻き起こし、従来のコンピューティング能力を吹き飛ばすでしょう。量子コンピューティングは、AIと統合され、悪質なアクターの手に渡れば渡るほど、実際に破壊するとまではいかなくても、破壊的なものになる可能性が高い。最近、サイバーセキュリティ・インフラストラクチャ・セキュリティ局、国家安全保障局、米国標準技術研究所は、私たちが考えているよりも早くやってくる避けられない未来に備え、産業界が今すぐ準備できるよう、量子の ‘ファクトシート’ を発表しました」。

脆弱な攻撃ベクトルに対する意識の高まり

Bessによると、脆弱な攻撃ベクトルとして、移動中および静止中のデータに対する意識の高まりが現れるといいます。

「ストレージやクラウド・ソリューションのベンダーは、自社のソリューションが十分な保護を提供できるよう、より意欲的に取り組むようになるでしょう。これまでは、企業内のCISOが中心となっていましたが、今後は、ストレージを重視する意思決定者がセキュリティ担当者と手を組み、企業がデータ侵害から安全に保護されるようにし、ストレージ・プロバイダはセキュリティ・ソリューションの提供に重点を置くようになるでしょう」。

さらにFroggettは、悪質なアクターは超リアルなディープフェイクを活用して組織に侵入するだろうと予測しています。

「2023年、脅威者はAIを操り、より巧妙なマルウェアやランサムウェア、超リアルなディープフェイクやフィッシング・キャンペーンを展開しはじめました。私たちは、ソーシャル・エンジニアリングに関与したMGMの侵害や、ディープフェイク技術によって模倣された著名人 Kelly Clarkson など、これらを実際に目にしました。2024年、悪質なアクターはこれらの攻撃手法を新たなレベルに引き上げ、AIと自動化によってより包括的なエンド・ツー・エンドのキャンペーンを実施するでしょう。その結果、情報セキュリティのトレーニングや意識向上など、こうしたキャンペーンを防御するための従来のサイバーセキュリティ・アプローチは、大幅な更新、刷新、あるいは全面的な見直しが必要になるでしょう」。

最適なセキュリティ態勢への道は、今後1年間の課題を提示する一方で、企業の最大の資産を守るための解決策も明らかにします。これらの課題に真正面から向き合い、サイバーセキュリティに対する予防ファーストのアプローチに取り組むことで、企業は悪意ある攻撃者から身を守り、新年を安全かつセキュアに過ごすことができます。

Deep Instinctのブログでは、脅威リサーチチームが取り上げる新たな脅威や、それ対抗するためのソリューションに関する情報、その他レポートなどをご紹介しています。