【野村総研】巧妙化するサイバー攻撃から企業を守るキーワード－トリアージ、セキュリティアウェアネス、多層防御～企業情報システムのセキュリティに関する分析結果（2013年版）～
http://www.nri.co.jp/news/2013/130710.html

NRIセキュアテクノロジーズ株式会社（本社：東京都港区、代表取締役社長：増谷 洋、以下「NRIセキュア」）は、同社が顧客企業に提供した情報セキュリティ対策サービスを通じて蓄積したデータ※1を分析し、最新の脅威動向と推奨する対策をまとめた、｢サイバーセキュリティ傾向分析レポート2013（以下「本レポート」）｣を発表しました。本レポートは、企業や公的機関の情報セキュリティ対策の推進を支援する目的で、2005年度以降、毎年発表しており、今回で9回目となります。

本レポートの中でNRIセキュアは、巧妙化するサイバー攻撃から組織を守るキーワードとして、「トリアージ」「セキュリティアウェアネス」「多層防御」を挙げ、その概要を紹介しています。

■ 課題となるグレーイベント－インシデントレスポンスにおけるトリアージが重要
近年のセキュリティ対策製品は、従来の手法では検出できない攻撃をも見つけ出す目的で、検出された事象だけでは真の攻撃か否かの判別がつかないグレーイベント※2も検知します。この判別には人による詳細な調査が必要になりますが、高度なセキュリティ知識が必要なため困難です。また、このような知識を持つ人材の不足から、すべての検出事象に対応することもまた困難です。このため、グレーイベントに対し、迅速かつ的確に優先度を付けて対応するトリアージ※3が必要となります。
一般にセキュリティ事故が発生した場合の事故対応（インシデントレスポンス）において、トリアージを誤ると対応の遅れに直結し、被害が拡大してしまう可能性があります。このため、企業は的確なトリアージができるインシデントレスポンス体制作りに取り組む必要があります。

■ 2割の従業員に標的型メール攻撃が成立－セキュリティアウェアネスが重要
NRIセキュアでは、疑似的に標的型メール※4を対象企業の従業員に送付し、添付ファイルの開封や記載URLへのアクセス状況を企業に報告する、「標的型メール攻撃訓練」を提供しています。その結果を分析すると、この訓練を経験したことがない場合、従業員の21%に標的型メール攻撃が成立していました。一方、この訓練を一度経験している従業員への攻撃の成功率は、約13%に下がることも確認できました（図1）。
サイバー攻撃が激化する中、企業は情報システムのセキュリティ対策に注力するとともに、社内ではセキュリティポリシーやルールを定め、従業員に遵守を促しています。しかし、個々の従業員がセキュリティの重要性を意識していなければ、効果は期待できません。
そこで、従業員の「セキュリティアウェアネス（意識をセキュリティに向けること）」が重要となります。標的型メール攻撃訓練は、従業員に対して、セキュリティ事故が誰にでも起こり得る脅威であることを認識させ、自社のセキュリティ全般に意識を向けさせる効果があります。企業は、従業員に対してセキュリティアウェアネスを通じて、サイバー攻撃から自社を守る防衛線を形成することが求められます。

詳細（全文）を読む
http://www.nri.co.jp/news/2013/130710.html