データ侵害とは

データ侵害がどのように発生するかを理解するには、単一のイベントを見るだけでは不十分です。侵害の多くは、脅威アクターが悪用できる脆弱性、手順ミス、または見落とされたリスクが連鎖した結果です。

サイバー攻撃者は通常、最も侵入しやすい場所を見つけてアクセスします。その多くは、純粋な技術的弱点ではなく、人的な、またはプロセスの抜け穴です。一般的な例には次が含まれます。

• フィッシングとソーシャル エンジニアリング。 フィッシングは、依然として最も一般的な侵入経路の 1 つです。悪意のある攻撃者は、IT チームやベンダーなどの信頼できる組織になりすまし、ユーザーをだまして資格情報の共有やアクセス要求を承認させます。音声フィッシング (ビッシング) などの同様の手口では、電話を使って同じ目的を達成します。
• 資格情報の侵害。 弱いパスワードや使い回しのパスワードは、依然として大きなリスクです。多要素認証 (MFA) のような強力な認証制御がなければ、サイバー攻撃者は即時のアラームをトリガーすることなくアクセスできます。
• 未修正の脆弱性。 古いシステムやソフトウェアは、既知の脆弱性をさらす可能性があります。脅威アクターによりこうした弱点が積極的にスキャンおよび悪用され、侵入につながります。
• 設定ミスのあるサービス。 クラウド環境では、ストレージやサービスが適切に構成されていない場合にリスクが生じます。一般に公開されているデータストアは、セキュリティ侵害の頻発の原因となっています。
• サードパーティへの露出。 ベンダーやパートナーは、多くの場合、顧客関係管理 (CRM) ツールなどの内部システムと共有プラットフォームにアクセスできます。セキュリティ態勢が弱い場合、間接的な侵入経路になることがあります。
• 内部関係者の行動。 すべての侵害が外部からとは限りません。従業員や委託先が意図せずデータを公開してしまう場合もあれば、悪意を持って行動することもあります。

ほとんどのサイバー攻撃者は、検出を回避しながら、影響を最大化するように設計された一連のステージを計画的に移動します。これには次のものが含まれます:

• リサーチと偵察—脅威アクターは、システム、ユーザー、潜在的な脆弱性に関する情報を収集し、価値の高い標的を特定します。

• 初期アクセス—サイバー攻撃者は、セキュリティ侵害された資格情報、フィッシング、またはその他の脆弱性を通じて侵入します。

• 永続化—最初の侵入経路が標的に見つかっても、アクセスを継続できる仕組みを確立します。

• ラテラル ムーブメント—悪意のある攻撃者は、1 つの侵害されたアカウントからシステム全体へアクセスを広げようとします。可能な限り特権アカウントを標的にします。

• データ持ち出し—機密データが収集され、環境外へ転送されます。検出を避けるために少量ずつ行われることもあります。

• 収益化または脅迫—盗まれたデータは、販売、公開、またはランサムウェアや脅迫の手口に使用される可能性があります。

データ侵害のライフサイクルは、強力な ID 制御と早期検出が被害を最小限に抑えるために重要であることを示しています。

組織は、いくつかの異なる種類のデータ侵害に直面します。それぞれに固有のリスクと軽減策があります。これらのカテゴリは重なることが多いものの、個別のイベントとして理解することで、チームはサイバー防御の優先順位を付けやすくなります。

外部サイバー攻撃者は、マルウェア、ランサムウェア、クレデンシャル スタッフィングなどの手法を使用してアクセスします。クレデンシャル スタッフィングでは、悪意のある攻撃者は盗まれたユーザー名とパスワードの組み合わせを使って、複数のアカウントへのアクセスを試みます。こうしたサイバー攻撃は自動化されていることが多く、一般的に発生する脆弱性を標的にします。

インサイダーによる侵害は、悪意のあるものも偶発的なものもあります。たとえば、従業員が個人的な利益のために意図的にデータを持ち出す場合や、誤った共有設定やソーシャル エンジニアリングの被害を受けることで、機密情報を意図せず公開する場合などがあります。

ラップトップ、外付けドライブなどのデバイス、または紙の文書は、紛失や盗難に遭う可能性があります。適切に保護されていない場合、組織の管理外で機密データが公開されるおそれがあります。

組織がクラウド サービスを採用する際に、設定ミスのあるストレージやアクセス許可により、データが一般公開される場合があります。これらの問題は、多くの場合、継続的な監視なしでは検出が困難です。

組織は、パートナーやベンダーへの依存を強めています。サード パーティに影響する侵害は、自社のシステムがセキュリティで保護されていても、共有データを公開してしまう可能性があります。

資格情報の侵害は、フィッシング、パスワードの使い回し、総当たり攻撃などを通じて発生し、サイバー攻撃者が正当な資格情報を使ってシステムやデータにアクセスできるようにするため、ID ベースの侵害の最も一般的な要因の 1 つです。

データ侵害は、即時の技術的修復を超える広範囲に及ぶ影響を与える可能性があります。多くの組織では、最も大きな影響は侵害そのものではなく、その後に続く連鎖的な影響です。

データ侵害のコストには、複数の対応と復旧の段階が含まれます。侵害によってデータ漏洩が発生した場合、組織はインシデントの調査、脅威の封じ込め、影響を受けた個人への通知を行う必要があります。また、クレジット監視などの修復サービスを提供することも少なくありません。

運用面では、侵害によってビジネス プロセスが中断され、プロジェクトが遅延し、戦略上の優先事項からリソースが割かれる場合があります。

組織は、地域や業界によって異なる 規制コンプライアンス関連の要件も満たす必要があります。これには、厳格な侵害報告の期限や、データ処理アクティビティおよびデータ マップの記録保持が含まれます。

一般的な規制フレームワークは次のとおりです。

• 一般データ保護規則 (GDPR) では、迅速な侵害通知と厳格なデータ処理の実践が求められます。
• カリフォルニア州消費者プライバシー法 (CCPA)/カリフォルニア州プライバシー権法 (CPRA) は、消費者のプライバシー権と透明性に重点を置いています。
• 医療保険の携行性と責任に関する法律 (HIPAA) は、医療情報の保護を規定しています。
• ペイメント カード業界データ セキュリティ基準 (PCI DSS) は、決済カード データのセキュリティに適用されます。

コンプライアンス違反は、罰金、法的措置、規制当局からの監視強化につながる可能性があります。

金銭面や法的な影響を超えて、侵害は信頼を損なうことがあります。顧客、パートナー、関係者からの、組織の機密情報保護能力に対する信頼が失われる可能性があります。シャドー データ、ID ベースの攻撃、または内部脅威のようなリスクが侵害の範囲と影響を拡大している場合には特にその傾向があります。この影響は数値化が難しいことが多いですが、時間の経過とともに大きくなる場合があります。

強力な予防措置を講じていても、侵害が発生する可能性があると想定しておく必要があります。影響を最小限に抑えるには、迅速に検出して応答する能力が重要です。

最新の検出は、次を含むシステム、ユーザー、データ間のシグナルの関連付けに依存しています。

• セキュリティ情報イベント管理 (SIEM)、セキュリティ オーケストレーション、自動化、応答 (SOAR) プラットフォームを通じてアクティビティを監視します。
• エンドポイントと ID テレメトリを使用して異常を検出します。
• データ損失防止 (DLP) ポリシーを適用して、通常とは異なるデータ移動を特定します。

これらの機能は、多くの場合、複数のツールとデータ ソースを組み合わせる、より広範な IT セキュリティ戦略の一部です。

効果的な インシデント応答 計画は、セキュリティ チームが常に迅速かつ一貫した行動を取れるようにサポートします。

主な要素には次が含まれます。

• 明確に定義された役割とエスカレーション パス
• 一般的なシナリオ向けの事前構築済みの手順書
• 法務およびコンプライアンスのワークフロー
• 社内チーム、顧客、外部の関係者向けのコミュニケーション プラン

侵害が特定されたら、拡大を抑えるために直ちに対応する必要があります。

組織は通常、次の手順を実行します。

• 影響を受けたシステムまたは ID を隔離します。
• アクセスを取り消し、資格情報を更新します。
• 調査用の証拠を保存します。

封じ込め後は、システムの復旧と再発リスクの低減に重点を置きます。回復には多くの場合、次が含まれます。

• クリーンなバックアップから運用を復元します。
• システムの整合性とアクセス制御を検証します。
• ギャップを特定し、防御を強化します。
• 定期的なテストを通じて応答力を向上させます。

データ侵害を防ぐには、ID、データ、インフラストラクチャ、人間の行動に対処する、予防的で多層的なアプローチが必要です。次のセキュリティのベスト プラクティスの実装を検討してください。

• ゼロ トラスト モデルを採用する: ゼロ トラスト は、「決して信頼せず、常に検証する」という原則に基づいています。つまり、アクセス要求を継続的に検証し、最小特権を適用し、侵害はいつでも発生し得ると想定します。
• ID セキュリティを強化する: ID は多くの場合、主要な攻撃経路です。組織は、MFA を適用し、ID リスクを監視し、特権アクセスを制限し、シークレットを定期的に更新して、露出を減らす必要があります。
• ガバナンスによってデータを保護する: データは機密性に基づいて分類され、不正アクセスや共有を防ぐための制御を備えておく必要があります。データ セキュリティ態勢管理 (DSPM) に対応したソリューションは、機密データがどこに存在し、どのように使用されているかを組織が把握するのに役立ちます。
• クラウド環境を保護する: クラウドの導入には、新たなリスクが伴います。クラウド セキュリティ態勢管理 (CSPM)、クラウド ワークロード保護プラットフォーム (CWPP)、クラウドネイティブ アプリケーション保護プラットフォーム (CNAPP) のようなソリューションは、悪用される前に構成ミスと脆弱性を特定するのに役立ちます。
• 脆弱性を管理し、攻撃面を縮小する: 継続的なファイルの部分置換と 脆弱性の管理は、既知の弱点が悪用される前に対処するのに役立ちます。
• 人的リスクを低減する: 従業員は、引き続き重要な防御の最前線です。定期的なトレーニングにより、フィッシングやビッシングのようなソーシャル エンジニアリングの手口をユーザーが見分け、侵害につながるよくあるミスを回避できるようにサポートします。
• サード パーティのリスクを軽減する: ベンダーやパートナーを定期的に評価し、セキュリティ要件を満たしていて、追加のリスクをもたらさないことを確認する必要があります。
• インシデントに備える: 強固な防御でも突破されることはあります。組織は、シミュレーションや机上演習を通じてインシデント応答計画を定期的にテストし、万全の準備をしておく必要があります。

データ侵害のリスクに対処するには、単にデータを保護するだけでは不十分です。ID、データ、エンドポイント、クラウド環境、セキュリティ ソリューション全体で、連携した可視性と制御が必要です。Microsoft Security ソリューションは、このアプローチをサポートするために連携して機能するよう設計されています。

主なソリューション領域は次のとおりです。

• ID 保護—Microsoft Entra は、MFA、条件付きアクセス、ID リスクの検出により、資格情報ベースの攻撃からの保護を支援します。
• データのセキュリティとガバナンス—Microsoft Purview は、組織がライフサイクル全体で機密データを分類、保護、管理できるように設計されています。
• 脅威に対する保護—Microsoft Defender は、エンドポイント、メール、クラウド アプリケーション全体の拡張検出と応答を提供します。
• クラウド セキュリティ態勢—Microsoft Defender for Cloud は、CSPM および CNAPP の機能を使用して、クラウド ワークロードの保護と構成ミスの特定を支援します。
• セキュリティ オペレーション—Microsoft Sentinel では、高度な脅威の検出、調査、自動対応がサポートされています。