最新セキュリティマネジメント（第46回） 「情報セキュリティ10大脅威2025」決定

リスクマネジメント 働き方改革

公開日：2025.02.13

　2025年1月30日、独立行政法人情報処理推進機構（以下、IPA）が「情報セキュリティ10大脅威2025（以下、10大脅威）」を決定したと発表した。詳細な解説は2月下旬以降順次公開されるが、今回は速報版の内容を紹介する。

依然として変わらない中小企業が狙われる現実

　10大脅威は情報セキュリティ対策の普及を後押しするために、2006年以降IPAが毎年公表しているものだ。前年発生した情報セキュリティ事故やサイバー攻撃の中からIPAが候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者など約200人から構成された「10大脅威選考会」の投票を経て決定される。

　組織部門の第1位、第2位は前年と同じ脅威だった。第1位は社会問題としてニュースなどでも度々取り上げられる「ランサム攻撃による被害」で、2016年に初めて選出されてから10年連続10回目のランクインとなった。企業などが保有するデータを暗号化して利用できない状態にした上で、そのデータを復号する対価として金銭を要求する目的があり、身代金を意味する「Ransom（ランサム）」という言葉が使われている。

　ランサムウエアによる被害で肝に銘じておきたいのは、中小企業にとって人ごとではないという点だ。実に被害の約6割が中小企業で占められている。ニュースなどの報道は知名度の高い大企業が目立つが、中小企業も大きな被害に遭っている。

　関連する脅威が、第2位の「サプライチェーンや委託先を狙った攻撃」だ。サイバー攻撃者には効率的に金銭を稼ぎたいという目的がある。できれば大企業を攻撃したいが、強固なセキュリティ対策を講じている企業も多く、それは効率的ではない。そこで、セキュリティ対策が不十分で比較的規模の小さいサプライチェーン企業や委託先を攻撃し、大企業への足掛かりにするケースが増えている。一昨年話題になった関西の中核病院のケースでは、委託している給食業者のサーバー経由で攻撃したと見られている。

世界情勢の不安定化にも注意

　10大脅威のランキングは「システムの脆弱性を突いた攻撃」「内部不正による情報漏えい等」「機密情報等を狙った標的型攻撃」など、常連の脅威が続く。今回注目したいのは、第7位に初めてランクインした「地政学的リスクに起因するサイバー攻撃」だ。

　IPAでは地政学的リスクを「地理条件に基づいた国や地域の政治や軍事などに関わるリスク」と定義している。ウクライナ戦争やガザ紛争などが発生し、世界情勢の不安定さが加速していることが背景にあると思われる。

　地政学的リスクは国家の安全保障に関わる重大なリスクであり、昨年12月には防衛省、経済産業省、IPAの間で、防衛省や自衛隊を含めてサイバー事案への対処能力を強化するための包括的な連携協定を結ぶなど、政府が主導して対策強化を進めている。

　10大脅威の第8位に、5年ぶりに「分散型サービス妨害攻撃（DDoS攻撃）」がランクインした点にも注目したい。DDoS攻撃とは特定のWebサイトやサーバーに対して複数のコンピューターなどから同時に集中的にアクセスし、サービスなどの提供を妨げる攻撃だ。

　以前は企業のサービスなどを狙う妨害行為として頻繁に行われ、社会問題化したが、今回のランクインは昨年末の広範囲にわたるじゅうたん爆撃型DDoSの発生により、企業活動に支障が出たことに起因する。2月4日には内閣サイバーセキュリティセンターが注意喚起を行っている。この背景にも世界情勢の不安定さがある。

　企業にとっては迷惑なサイバー攻撃が増加しているが、インターネットに国境はなく、やむを得ない現実である。適切なセキュリティ対策の導入や、従業員への啓発が被害を防ぐ基本になる。10大脅威をきっかけに対策の見直しをお勧めする。

執筆＝高橋 秀典

【T】

あわせて読みたい記事

「リスクマネジメント」カテゴリーから探す

連載バックナンバー

最新セキュリティマネジメント

もっと見る

カテゴリー　一覧

審査 24-S1007