2024年にサイバー犯罪による被害が全世界で約9兆5,000億ドルに達すると予想。国の経済規模で比較すると、アメリカと中国に次ぐ世界で3番目。

サイバーセキュリティベンチャーの記事を要約します。
https://cybersecurityventures.com/cybercrime-to-cost-the-world-9-trillion-annually-in-2024/　　

スティーブ・モーガン編集長 – 2023 年 10 月 25 日 /プレスリリース

Cyber​​security Ventures によると、2024 年にはサイバー犯罪による世界の被害額は 9 兆 5,000 億ドルになると予測されています。国として測定した場合、サイバー犯罪は米国と中国に次ぐ世界第 3 位の経済大国となるでしょう。レポートをダウンロード　goole 翻訳で読むと参考になり内容がぎっしりです。なお、私の所属する団体CIKFの資料でも、２０１８年度のサイバー犯罪の被害額は、韓国のGDPに匹敵し、世界で10番目に大きな経済規模と情報シェアしていたことから、その驚異的な成長が伺えます。

ビジネスリーダー向けに知っておくべきポイントは以下の通り。

• 今後2年間で、サイバー犯罪の世界被害コストは年間15%増加すると予想

• 2015年に3兆ドルだった被害額は、2025年に年間10兆5000億ドルに到達

  • サイバー犯罪のコストに含まれるもの

    1. データの損傷と破壊金銭の盗難生産性の損失

    2. 知的財産の盗難個人および財務データの盗難

    3. 横領詐欺攻撃後の業務の妨害フォレンジック調査

    4. ハッキングされたデータの復元と削除

    5. その他、風評被害、訴訟費用、場合によっては規制上の罰金など

• テクノロジーの発展により、イノベーションと新しいビジネス機会が生まれ、ビジネス パートナー間の関係が強化された。しかし、デジタル攻撃のリスクも同時に大幅に増加。

• アリアンツ リスク バロメーター 2023年版によると、94カ国以上の2700人以上のリスク管理専門家の約45％が、サイバー インシデントを事業中断の最大のリスクと考えており、自然災害やエネルギー問題よりも深刻な問題とされている。

• 世界経済フォーラムの年次報告書「The Global Cyber​​security Outlook 2023」によると、サイバーリーダーやビジネスリーダーは、個人のサイバーセキュリティに関して最も懸念しているのは個人情報の盗難、次にランサムウェアを含むサイバー恐喝であると述べている。

• ランサムウェアで盗まれた情報が返されるという保証や、ランサムウェア攻撃の背後にいるサイバー犯罪者が被害者のデータを漏洩しないという保証はない。

人材不足

• Cyber​​security Ventures によると、世界中で不足しているサイバーセキュリティ関連の仕事の数は、2013 年から 2021 年の間に 100 万人から 350 万人へと350%増加。

• 募集中の職種の数は変わらず、2023 年時点でも 350 万件の求人が残っています。Cyber ​​seek USによると、これらの求人のうち約 75 万件が米国で募集されている。サイバーセキュリティ人材の需要と供給の格差は 2025 年まで続くと予想。

CISO

• CISO は全体として、組織のセキュリティ体制とポリシーに責任を負います。残念なことに、これらの主要なサイバー戦闘員の在職期間は短いのが一般的である。

• Heidrick & Struggles の 2023 年グローバル最高情報責任者の調査によると、この役割において最も重大なリスクとして挙げられたのは、ストレス、燃え尽き症候群、侵害による失業で、それぞれ 71%、54%、29% 。

• Cyber​​security Ventures の調査によると、Fortune 500 の CISO の 24% は、平均してその職務に就いてから 1 年しか経っていません。CISO の任期が短いことが多いことはよく知られているが、Heidrick & Struggles の調査に回答した CISO の 40% は、組織に後継者計画が整備されていないことを明らかにした。

• CISO の 76% が、今後 3 年間に会社を変えることを「非常に」または「完全に」受け入れると認めているため、既存の CISO をサポートしない、または後任の計画を立てないという組織リスクは、侵害の危険性が増大し、セキュリティ侵害のリスクが高まる可能性がある。

• 「CISO は、リスクを高め、それに光を当て、解決策を提供し、修正が必要なものを区別して優先順位を付けるために存在します」とeSentire の CISO であるGreg Crowley 氏は述べている。「CISO にすべてを行うよう求めることはできません。彼らにサポートを提供し、サイバーセキュリティとリスク管理プログラムが適切に機能していることを確認できるチームを提供する必要があります。」

• 2023 年のサイバー犯罪報告書に記載されている統計は、サイバー リスクに終わりがないことを示している。そのため、取締役会レベルの会話は、どのように積極的にサイバー レジリエンスを向上させ、組織を混乱に先んじて推進するかということに移行する必要がある。サイバーに精通した取締役会では、サイバーリスク選好度、サイバーリスク許容度、サイバーリスクの定量化、サイバーセキュリティに対するリスクベースのアプローチなどのテーマについて議論する頻度が高まっている。

サイバーセキュリティに関する洞察

• eSentire は、管理された検出と対応の権威として、セキュリティ リーダーが最も高度なサイバー攻撃であっても予測し、耐え、回復できるように、サイバー回復力のあるサイバーセキュリティ プログラムを積極的に構築することを推奨。また、セキュリティ リーダーは、最も重大な脅威を克服するために、リスクベースのアプローチを採用し、最悪の脆弱性に対する適切な制御の構築を優先する必要がある。リスクベースのアプローチは、ビジネスの最も重要な分野に影響を与える脆弱性の防御に多額の投資をする選択肢をビジネスリーダーが持つため、従来の成熟度モデルよりも費用対効果が大幅に高くなる傾向がある。

  • eSentire の脅威対応部門は、次の基本的なセキュリティ プログラム要素を推奨。

    • チームが脅威の状況を継続的に認識できるようにする包括的な脆弱性管理プログラムを採用すると、規律あるリスクベースのパッチ管理アプローチが可能になり、脆弱性スキャンを実施してどのシステムが不注意にさらされているかを把握できる。

    • 継続的なフィッシングおよびセキュリティ意識向上トレーニング(PSAT)を通じて、国の支援を受けた攻撃者が環境へのアクセスを得るために利用する可能性のあるフィッシングおよびソーシャル エンジニアリング戦術の兆候を認識できるように従業員を教育。

    • 24 時間年中無休のマルチシグナルのマネージド ディテクション アンド レスポンス(MDR) プロバイダーと連携して、すべてのシグナル ソース (エンドポイント、ネットワーク、ログ、クラウド、アイデンティティ) を確実に可視化することで、チームが迅速な脅威の調査、封じ込め、修復を実行できるようにする。

    • MITRE ATT&CK フレームワークにマッピングされた独自の検出コンテンツとランブックを構築できる高度なスキルを持った脅威ハンターによる検出エンジニアリングを含む、グローバルな脅威ハンティング プログラムを活用。チームが取り組む脅威ハンティング プログラムでは、独自の調査を通じて最新の脅威アクターの戦術、技術、手順 (TTP) を調査し、充実した脅威インテリジェンスを活用し、脅威を積極的に特定し、最高のプラットフォームを使用して調査を合理化する専門知識を実証している必要がある。

    • インシデント後のサポートと緊急事態への備えとしてインシデント対応担当者を配置することで、チームが攻撃の正確な範囲を判断し、迅速かつ効果的に脅威を調査できるようになる。

サイバー攻撃とビジネスのダウンタイムによる財務上の影響を経営陣に示すことができるセキュリティ リーダーは、ビジネスの中断を防ぎ、顧客の機密データを保護するために必要な予算を獲得できる可能性が高くなる。

• 収益中断による1 日あたりの平均コストを、DIY セキュリティ運用の構築と維持、またはセキュリティ チームの 24 時間年中無休の外部委託拡張への投資にかかるコストと比較すると、サイバーセキュリティの信頼できる専門家と提携するという選択は明らか。

• サイバー犯罪は、脅威アクターが企業組織に倣って戦略をモデル化することで進化してきた（たとえば、役割の差別化、as-a-service ビジネス モデルの使用、高度なマルウェア配布など）。動的な脅威の状況に対抗し、ビジネス運営を安全に拡大し続けるための最善の方法は、脅威による中断の防止に重点を置いている組織と提携して、優位性を取り戻し、全体的なサイバー回復力を向上させることである。

その他色々と非常に役立つ詳細が記載されているので、関心のある方は積極的に読んでいただくことを推奨できる記事である。