サイバーセキュリティとは何ですか?

悪意のある攻撃者が新しい戦術、技術、手順 (TTP) を開発するにつれて、サイバーセキュリティの脅威は絶えず進化しています。 ただし、多くのリスクは、次の確立された形態のサイバー脅威から進化したもの、または TTP を組み合わせてより大きな悪意のある影響を与えるハイブリッド (または混合) 攻撃です。 

マルウェアは悪意のあるソフトウェアであり、多くの場合、電子メールまたはメッセージ内のクリック可能なリンクを介して配信され、システムに感染してセキュリティを侵害するように設計されています。 マルウェアの一般的な種類には、ウイルス、ワーム、トロイの木馬、スパイウェア、そして増加傾向にあるランサムウェアなどがあります。 

ランサムウェアは、システムのデータを暗号化して組織のデータを事実上人質に取り、攻撃者がデータのロックを解除するか復号キーを提供する代わりに支払い（身代金）を要求するマルウェアの一種です。 

フィッシングとは、偽の電子メールやメッセージを使って個人を騙し、パスワード、クレジットカード番号、個人データなどの機密情報を漏らす攻撃です。

ソーシャル エンジニアリング攻撃では、行動特性や心理特性を操作して被害者を欺き、機密情報を漏らさせたり、セキュリティを危険にさらすような行動や決定をさせたりします。 フィッシングとソーシャル エンジニアリングは、被害者を操るために組み合わせて使用されることが多く、フィッシング メールの後に信頼できる個人 (銀行や IT 部門など) になりすました人物からの電話が続くなど、非常に標的を絞ったものになることがあります。  

分散型サービス拒否 (DDoS) 攻撃は、ターゲット リソースに大量のトラフィックを集中させ、動作不能になるほど過負荷状態にすることでインフラストラクチャを劣化させます。 サービス拒否 (DoS) 攻撃は、アプリケーションのパフォーマンスを低下させる特別に細工されたメッセージを通じて開始されることもあります。たとえば、複雑な SQL クエリを生成する Web 要求によって CPU 使用率が上昇し、システム パフォーマンスが低下します。 DDoS 攻撃には複数のソースまたはボットネットが関与します。ボットネットとは、攻撃者の制御下にある侵害されたコンピューターまたはデバイスのネットワークであり、攻撃者はこれらの複数のソースを調整してターゲットに対して攻撃を開始します。

中間者 (MitM)攻撃は、攻撃者が両者の知らないうちにまたは同意なしに両者間の通信を傍受し、会話を盗聴したり、情報を盗んだり、さらには送信中のデータを操作したりするときに発生します。 MitM 攻撃はさまざまな方法で発生する可能性があります。 攻撃者は、公衆 Wi-Fi ネットワーク内の無線通信を傍受したり、セッション クッキーやトークンを盗んでユーザーになりすまし、Web アプリケーションに不正にアクセスするセッション ハイジャックを実行したりする可能性があります。

内部脅威とは、組織のシステム、データ、またはネットワークにアクセスできる組織内の個人によって引き起こされるセキュリティ リスクです。 これらの個人は、現在の従業員、元従業員、請負業者、パートナー、または正当なアクセス権限を持つ人である可能性があります。 内部脅威は意図的なものも意図的でないものもあり、妨害行為、データ盗難、データの不適切な取り扱い、フィッシングやソーシャル エンジニアリング攻撃への陥れなど、さまざまな種類のサイバーセキュリティ インシデントを引き起こす可能性があります。 

Web アプリケーション攻撃は、脆弱性を悪用してセキュリティを侵害することを目的として、Web アプリケーション、Web サイト、および Web サービスを対象とした悪意のある活動です。 アプリの最新化の取り組みと、その結果としてハイブリッドおよびマルチクラウド環境全体で多くの従来の Web アプリが API ベースのシステムへと進化したことにより、脅威の対象範囲が劇的に拡大しました。 

セキュリティ チームが Web アプリと API に関して考慮しなければならないリスクは多数あります。たとえば、次のようなものがあります。

• 脆弱性の悪用。これは、犯罪者が悪意のあるコードの実行など、セキュリティを侵害するために標的とするソフトウェアの弱点または欠陥です。 これらは、多くの場合、サポートされていないソフトウェアやパッチが適用されていないソフトウェア、ソフトウェアのバグ、または誤った構成によって発生します。 
• ビジネス ロジックの悪用。これは、攻撃者が悪意のある目的を達成するために Web アプリケーションの予想される動作を操作するときに発生します。 これには、アプリケーションのワークフローを操作して制限された領域にアクセスしたり、許可されていないトランザクションを実行したり、機密データにアクセスしたりすることが含まれる場合があります。 ボットや悪意のある自動化は、コンサートチケットの購入を妨害したり、ポイントを盗んだり、顧客のアカウントを乗っ取って詐欺行為を行ったりと、現代生活のあらゆる側面に影響を及ぼしています。 
• 認証および承認制御のバイパス。これは、アクセス制御と承認の実施が不十分なために、攻撃者が不正な機能またはデータにアクセスできる場合に発生する可能性があります。
• クライアント側攻撃は、Web ブラウザやインストールされたアプリケーションなど、ユーザーのデバイス内のソフトウェアまたはコンポーネントを標的とする脅威です。 クライアント側攻撃の一般的な形式は、クロスサイト スクリプティング (XSS)です。これは、攻撃者が JavaScript などの悪意のあるクライアント側スクリプトを他のユーザーが閲覧する Web ページに挿入する攻撃です。 これにより、ログイン資格情報、個人データ、セッション Cookie などの機密情報が盗まれる可能性があります。 最新のアプリには通常、サードパーティの統合、ライブラリ、フレームワークなど、多くの相互依存関係があります。 セキュリティ チームは、クライアント側で実行されるすべてのコンポーネントを把握していない可能性があります。これにより、攻撃者が悪意のあるスクリプトを実行し、Web ブラウザーから直接データを盗み出す脅威ベクトルが生まれます。 
• セキュリティの誤った構成。攻撃者が、パッチが適用されていない欠陥、共通のエンドポイント、安全でないデフォルト構成で実行されているサービス、または保護されていないファイルやディレクトリを見つけて、システムに不正にアクセスしようとします。 アーキテクチャが分散化され、マルチクラウド環境に分散されるようになると、セキュリティの誤った構成のリスクが増大します。
• 暗号化の失敗。これは、データが転送中および保存中に適切に保護されていない場合に発生する可能性があります。 
• Web アプリケーション攻撃の詳細については、 OWASP Foundationの用語集のエントリまたはOSWASP Top 10 Application Security Risks ホームページを参照してください。 

インシデント対応および復旧計画の策定と維持は、組織がサイバー攻撃や侵害に備え、対応し、復旧するのに役立つサイバーセキュリティ戦略の重要な要素です。 この戦略には次の要素を含める必要があります。

• インシデント対応計画を策定します。 これは、潜在的なサイバーセキュリティ インシデントを特定して対応するための構造化されたプロアクティブなアプローチを提供することで、セキュリティ侵害を軽減する上で重要な役割を果たすことができます。 これには、関係者を特定し、インシデントの報告とエスカレーションのための明確な指揮系統で役割と責任を決定することが含まれます。 ネットワークとシステムを監視して疑わしいアクティビティや侵害の兆候を検出する手順を開発し、侵害を抑制して軽減するための詳細な段階的な対策を実施します。 インシデント対応計画を定期的にテストして、弱点を特定し、対応を改善します。 
• 事業継続計画と災害復旧(BCDR) 戦略を策定します。 BCDR 計画は、セキュリティ侵害などの混乱が発生した場合でも、重要な業務運営の継続を確保するのに役立ちます。 BCDR 計画の重要な要素は、データ侵害やデータ破損が発生した場合にデータを以前のクリーンな状態に復元できるようにするための定期的なデータ バックアップです。 すべての BCDR 計画は、その有効性を確認し、組織が弱点を特定して対応戦略を改善できるようにするために、定期的に訓練や演習を通じてテストする必要があります。
• 脆弱性の悪用を軽減するための重要な一時しのぎとして機能するWeb アプリケーション ファイアウォールを導入します。 

サイバーセキュリティは進化を続け、新たな脅威に適応し、新たな課題に対処し続けています。 サイバーセキュリティの新たなトレンドは、脅威の状況の変化だけでなく、テクノロジーの大きな進歩も反映しています。 これらの傾向には以下が含まれます。 

• サイバーセキュリティにおける人工知能と機械学習。 今日の企業は、従来のアプリケーション アーキテクチャと最新のアプリケーション アーキテクチャ、複数のクラウド、オンプレミス データ センター、エッジ サイト、無数のエンドポイント デバイスにまたがる、急速に拡大する攻撃対象領域を保護するという課題に直面しています。 組織は、分散コンピューティング環境全体でエンタープライズ サイバー セキュリティを拡大し、より適応性と応答性に優れたセキュリティ対策を実現するために、AI と ML を活用する傾向が高まっています。 AI と ML は、サイバーセキュリティ ソリューションで脅威の検出を強化し、インシデント対応を自動化し、膨大なデータセットを分析してサイバー脅威を示すパターンや異常を特定するほか、クローズドループの洞察と修復による自動緩和策を実施するために採用されています。 さらに、 AI と ML はサイバー犯罪者によって、よりリアルなフィッシング攻撃やディープフェイク コンテンツを作成するためにも使用されており、サイバーセキュリティ防御者にとって新たな課題となっています。
• モノのインターネット (IoT) セキュリティ。 明日の天気予報をチェックするスマート サーモスタットや、食品の在庫管理や注文を自動的に行う冷蔵庫などのインテリジェントなネットワーク デバイスは、多くの利点をもたらしますが、サイバー セキュリティの脅威も数多くもたらします。 多くの IoT デバイスには強力なセキュリティ機能が欠けており、デフォルトのユーザー名とパスワードがほとんど変更されないため、データの盗難やプライバシー侵害などの悪意のある目的でデバイスを制御できる攻撃者の格好の標的となります。 侵害された IoT デバイスはボットネットに組み込まれ、分散型サービス拒否 (DDoS) 攻撃を開始するために使用される可能性もあります。 これらの脅威を軽減するために、IoT デバイスを採用する組織は、接続されたデバイスが悪意のある人物によって制御されるのを防ぐための包括的な IoT セキュリティ ポリシーとプラクティスを確立する必要があります。  
• クラウドセキュリティ。 組織が使用するクラウド サービスとプロバイダーが増えるにつれて、リスクの対象範囲が拡大し、セキュリティの脅威もますます高度化します。 従来の境界ベースのセキュリティ アプローチでは、分散型および分散型アーキテクチャを保護するにはもはや不十分です。 ハイブリッド クラウド セキュリティとマルチクラウド セキュリティは、ホストされている場所に関係なく、組織の環境内のすべてのアプリ、API、ワークロードを保護するための一貫性のある包括的なリスク管理を提供するモデルです。 ハイブリッドおよびマルチクラウド セキュリティは、各クラウド プロバイダーのネイティブ ツールセットおよび機能と統合された複数のクラウド サービスにわたって一貫したセキュリティ制御とポリシーを展開することで、組織がより強力なセキュリティ体制を実現するのに役立ちます。 複数のセキュリティ層を使用することで、停止や中断に対する回復力を向上させる多層防御アプローチが提供され、アプリや API の進化に合わせて俊敏性も向上します。
• ブロックチェーン技術とサイバーセキュリティ。 特定のブロックチェーン技術は、分散型 ID 管理や権限のある当事者間の安全なデータ共有など、サイバーセキュリティの強化に適用できます。 さらに、ブロックチェーンの不変の台帳は、ログ、トランザクション、その他の重要なセキュリティ記録の整合性を検証するための、透明性があり改ざん防止の監査証跡として機能します。 しかし、ブロックチェーン技術はサイバー犯罪の影響を受けないわけではありません。 ブロックチェーン システムのセキュリティは、特定のブロックチェーンの設計、コンセンサス メカニズム、ユーザーと開発者の警戒心など、さまざまな要素に依存します。 暗号通貨は、クレジットカード番号や認証情報と同じくらい簡単にコンピューターから盗まれる可能性があり、 NFT マーケットプレイスなどのブロックチェーン ベースのプラットフォームは、ボットや自動攻撃によって頻繁に侵入されます。 さらに、暗号通貨マイニングの人気により、攻撃者がサーバーを標的にして乗っ取り、暗号通貨マイニングを実行するように設計されたソフトウェアをインストールする、クリプトジャッキングというサイバー犯罪が発生しています。 十分なコンピューティング リソースがあれば、システム リソースをキャプチャして暗号通貨のマイニングを強制することは、犯罪者にとって非常に利益になる可能性があります。

多数のコンプライアンス要件と規制により、組織や政府機関が機密データを保護し、サイバー脅威を軽減するために遵守しなければならないサイバーセキュリティ標準が確立されています。 さらに、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、 国土安全保障省は、サイバーセキュリティ情報の国家拠点として機能し、24時間365日体制で状況認識、分析、インシデント対応センターを運営しています。 CISA は、民間企業、州政府、地方政府、および複数の連邦機関がサイバーセキュリティ インシデントに対応する際に果たす役割を規定する国家サイバー インシデント対応計画を提供します。 CISA は、基本的なサイバーセキュリティの認識を促進し、サイバーインシデントが発生した場合に組織が効果的な対応を準備するのに役立つベストプラクティスと、そもそもインシデントが発生しないようにするための戦略を提唱するインシデント対応トレーニングも提供しています。 主なコンプライアンス要件と規制は次のとおりです。 

• 一般データ保護規則（GDPR）は、EU で発生した個人データを取り扱う企業のプライバシー保護と義務を規定しています。 GDPR は、データ処理、セキュリティ、国境を越えたデータ転送に関する厳格なルールを定めており、違反した場合は重い罰則が科せられます。 EU で発生した個人データまたは EU 居住者のデータを処理するすべての企業は、その企業が EU で事業を展開しているかどうかに関係なく、GDPR の対象となります。
• カリフォルニア州消費者プライバシー法 (CCPA) は、カリフォルニア州の消費者の機密性の高い個人情報を保護するために設計された政府の枠組みです。 CCPA は、企業が収集する個人情報、その情報の使用方法と共有方法を知る権利、収集した個人情報を削除する権利 (一部例外あり)、個人情報の販売または共有をオプトアウトする権利など、カリフォルニア州民のデータプライバシー権を保護します。
• ペイメントカード業界データセキュリティ標準 (PCI DSS) は、カード所有者データの管理を強化してペイメントカード詐欺を減らすことを目的とした情報セキュリティ標準です。 PCI DSS は、カード所有者のデータを保管、処理、送信する際に販売者が満たす必要のある最低限のセキュリティ要件を規定しています。 要件には、オンライン商取引中に消費者、企業、カード発行会社を保護するために、安全でセキュリティの高いオンライン取引を保証するための機能強化が含まれています。 
• 医療保険の携行性と責任に関する法律 (HIPAA) は、米国における患者の医療情報のプライバシーとセキュリティを保護し、医療保険の携行性を保証する連邦法です。 HIPAA のセキュリティ ルールは、電子形式で保存または転送される特定の健康情報を保護するための国家レベルのセキュリティ標準を規定します。 また、個人の電子的に保護された健康情報を保護するために組織が導入しなければならない技術的および非技術的な保護手段についても説明します。
• 連邦リスクおよび承認管理プログラム (FedRAMP)は、連邦政府全体で安全なクラウド サービスの導入を促進する政府全体のプログラムです。 FedRAMP は、クラウド テクノロジーと連邦政府機関のセキュリティとリスク評価に対する標準化されたアプローチを提供することで、セキュリティ認可の透明性の高い標準とプロセスを作成し、政府機関が政府全体でセキュリティ認可を活用できるようにすることで、連邦政府がクラウド コンピューティングの導入を加速できるようにします。

サイバー脅威はますます巧妙化しており、進化する脅威の状況に対応し、必要な専門スキルを習得するために、継続的なセキュリティ トレーニングと認定資格の必要性が浮き彫りになっています。 実際、 IT セキュリティ専門家は全体的に不足しており、多くの学術機関やトレーニング プログラムでは需要に応えるのに苦労しています。 サイバーセキュリティは、さまざまな領域を網羅し、好奇心旺盛な姿勢を必要とする複雑で学際的な分野であり、これらすべての分野に精通した専門家を見つけるのは難しい場合があります。

おそらく最も評価の高いサイバーセキュリティ認定資格は、国際情報システムセキュリティ認定コンソーシアム（ISC)²が授与するCertified Information Systems Security Professional (CISSP)です。 CISSP 認定は、情報セキュリティ専門家の世界的に認められたベンチマークであり、通常、少なくとも 5 年間の累積的な業務経験と厳格な試験の合格が必要です。 

サイバーセキュリティのトレーニングと認定に関するもう 1 つの主要な組織はEC-Councilです。この組織は、 Certified Ethical Hackerの認定を含む、専門的なセキュリティ職種向けの幅広いコースとトレーニングを提供しています。 このプログラムは、悪意のあるハッカーの技術を使用してコンピュータ システム、ネットワーク、アプリケーションのセキュリティをテストする方法を専門に教えています。 サイバー犯罪者が脆弱性を悪用する前に脆弱性を特定することで、倫理的なハッカーは機密情報や重要なインフラストラクチャをサイバー攻撃から保護するのに役立ちます。 

Computing Technology Industry Association (CompTIA)は、サイバーセキュリティのトレーニングと認定を行うもう 1 つの主要な組織です。 CompTIA のSecurity+は、コア セキュリティ機能を実行するために必要な基本スキルを検証し、合格者が IT セキュリティのキャリアを追求できるようにするグローバル認定資格です。

サイバーセキュリティの脅威を認識し、それを軽減するためのベストプラクティスを理解することは、組織の機密情報、重要な資産、インフラストラクチャを保護するために不可欠です。 この知識があれば、これらの脅威や攻撃方法から保護するための積極的な措置を講じることができ、組織が計画外の出来事に迅速かつ効果的に対応できる効果的なリスク管理およびインシデント対応計画を導入することができます。 これにより、サイバーセキュリティ インシデントの影響を大幅に最小限に抑え、回復プロセスをスピードアップできます。

F5 は、アプリ、API、およびそれらが駆動するデジタル サービスに強力な保護を提供する包括的なサイバーセキュリティ製品スイートを提供します。 これらのソリューション（WAF、API セキュリティ、ボット防御、DDoS 緩和など）は、アーキテクチャ、クラウド、エコシステム統合全体でアプリと API を保護し、リスクと運用の複雑さを軽減しながら、デジタル変革を加速し、アプリ セキュリティの総コストを削減します。 当社のセキュリティ ソリューションは、レガシー アプリや最新アプリ、データ センター、クラウド、エッジ、現在のアーキテクチャ、そして今後何年にもわたって組織をサポートするアーキテクチャなど、あらゆる場面で機能します。