脅威インテリジェンスへの投資が「カネの無駄」になる企業の特徴 Googleのアナリストが提言：Cybersecurity Dive

近年、サイバー攻撃の手口はますます多様化、巧妙化している。新しく編み出された攻撃手法などを明らかにする「脅威インテリジェンス」に注目が集まるが、Googleは「必ずしも全ての企業にとって有益であるわけではない」という。脅威インテリジェンスへの投資が無駄になる企業の特徴とは。

[Matt Kapko，Cybersecurity Dive]

　セキュリティ専門家がサイバー攻撃について分析した結果得られる知見やインサイト（洞察）を指す「脅威インテリジェンス」は、実際のセキュリティ対策に生かすための手段を持っていない企業にとっては必ずしも利益をもたらさない――。一般的には脅威インテリジェンスはどの企業もしっかり把握すべきとされているが、Googleはそう考えていないようだ。

脅威インテリジェンスに「無駄なカネ」を払う企業の特徴

　Google Cloudは2023年3月23日、セキュリティに関するオンラインイベント「Security Talks 2023」を開催した。同イベントの中でGoogleのさまざまなビジネスユニットのアナリストがこの課題について発表した（注1）。

　脅威インテリジェンスのレポートには攻撃者が（企業による）制御を回避するために採用する戦術や技術、手順が詳細に記載されている。ただし、ほとんどのセキュリティ専門家が対処するのは一般的な脅威だ。アドバーサリーオペレーションディレクターであるジェイス・ニコルズ氏は「（脅威インテリジェンスから得られた）洞察が有効なのは、その洞察に基づいて企業がこれまでとは異なる行動を起こす場合だけだ」と述べる。

　「ビジネスやセキュリティのプロセスに（洞察を）組み込む方法がなければ、脅威インテリジェンスから恩恵は受けられない。資金は他のことに使ってほしい」（ニコルズ氏）

「高度な脅威」よりも大きな影響を与えるものとは？

　2022年、サイバーセキュリティ会社のMandiantを54億ドルで買収して以来（注2）、Googleは脅威インテリジェンスに強い関心を持っている。Googleによる買収直後、Mandiantのケビン・マンディアCEOは、脅威要因の把握といった人手を要するプロセスを自動化することで、企業は「干し草の中から針を見付ける」ような不可能なことを可能にできると約束した（注3）。

　「ほとんどのセキュリティチームには10ページにわたる脅威インテリジェンスのレポートを読み、その情報を使って何をすべきかを判断し、実践するための時間がない。企業にはより戦術的なニーズがある」とニコルズ氏は指摘する。

　例えば、ビジネスメールを使ったフィッシングや脆弱（ぜいじゃく）性、ゼロデイの情報などは、高度で持続的な脅威よりもはるかに大きな影響を企業に与える。

　IBMのセキュリティ専門部門であるSecurity X-Force’sが2023年2月に公開した脅威インテリジェンスに関する年次レポートによると、過去1年間において、フィッシングはセキュリティインシデントにおける最も一般的な初期経路だ（注4）。全てのインシデントの約2件に1件がフィッシングを侵害経路としていた。

　脅威インテリジェンスは数十億ドル規模の“産業”だ。しかし、IDCの予想では、2023年に組織がセキュリティソフトウェアやハードウェア、サービスに支出するとされていることから見れば、2190億ドルはほんの一部にすぎない（注5）。

　サイバー攻撃によって企業が直面するリスクは大きい。2023年3月初旬に公表されたFBIインターネット犯罪苦情センターの年次報告書によると、2022年のサイバー攻撃による潜在的な損失の総額は10.2億ドル超だ（注6）。

　Googleの脅威分析グループのアナリストであるクリステン・デネッセン氏は「脅威インテリジェンスは、逸話的な情報の断片であっても教訓となる。脅威の背後にあるストーリーは行動を喚起し、人々が安全を守るためにどのように行動するかを知らせることができる」と述べた。

（注1）Security Talks 2023（Google Cloud）
（注2）Google closes $5.4B Mandiant acquisition（Cybersecurity Dive）
（注3）Mandiant CEO pledges to automate threat intel under Google（Cybersecurity Dive）
（注4）Phishing, king of compromise, remains top initial access vector（Cybersecurity Dive）
（注5）Global cybersecurity spending to top $219B this year: IDC（Cybersecurity Dive）
（注6）2022 INTERNET CRIME REPORT（FEDERAL BUREAU OF INVESTIGATION）

（初出）Threat intelligence isn’t for everyone, Google says

原文へのリンク