IPA、2023年に社会的影響が大きかった上位10位「情報セキュリティ10大脅威 2024」発表

　IPAは、情報セキュリティにおける脅威のうち、2023年に社会的影響が大きかったトピックを「情報セキュリティ10大脅威 2024」として公表した。

　IPAは、情報セキュリティ対策の普及を目的として2006年から、前年に発生した情報セキュリティ事故や攻撃の状況などから脅威を選出し、上位10位を公表している。「情報セキュリティ10大脅威 2024」は、IPAが2023年に発生したセキュリティ事故や攻撃の状況等から脅威候補を選定し、情報セキュリティ分野の研究者、企業の実務担当者など約200名のメンバーで構成する「10大脅威選考会」の投票を経て決定したもの。「個人」の立場と「組織」の立場での「10大脅威」が公開されている。

　「個人」向け脅威は、家庭等でパソコンやスマホを利用する人を対象としており、脅威の順位は、「10大脅威選考会」の投票で社会的影響が大きかった脅威を決定したものだが、危険度を示すものではなく、各脅威の危険度は人によって異なる。しかし、個人ユーザーが順位を危険度と誤って認識してしまうと、下位の脅威への注意が疎かになることが懸念される。そのためIPAでは2024年、「個人」向け脅威については順位表示を廃止し、五十音順での紹介としている。

　「個人」向け脅威の種類は10個とも前年と変化がなかったが、種類が同じであっても脅威を取り巻く環境は前年と同じというわけではない。攻撃の手口は古典的で変わらないとしても、その中で被害者を騙す手口は常に更新されている。IPAは、常日頃から脅威に関する最新情報に注意を払い、手口を知っておくことが重要だとしている。

　「組織」向け脅威の種類も、全て前年と同じとなった。1位の「ランサムウェアによる被害」と2位の「サプライチェーンの弱点を悪用した攻撃」は順位も昨年と変わらない結果となった。また、3位の「内部不正による情報漏えい等の被害」と6位の「不注意による情報漏えい等の被害」は前年から順位を上げていた。これらは、組織内の「人」が原因となる脅威である。2022年にIPAでは「内部不正防止ガイドライン」を改訂し、外部からの攻撃の対策だけでなく、内部の不正やミスといった人に関する対策が必要であることを述べている。

　また、「情報セキュリティ10大脅威 2024」の詳しい解説は、2月下旬にIPAのウェブサイトで公開する予定。