IT調査会社のガートナージャパンが発表した最新の調査結果から、国内企業の多くがランサムウェアの脅威に対し、十分な備えができていない実態が明らかになっている。
今回の調査は、国内の従業員500人以上の企業でセキュリティを担当するリーダーを対象に行われたもの。
対策は進まず… 最も多い「バックアップ復旧」ですら準備できているのは3社に1社
ランサムウェアに感染してしまった後を想定した準備状況についての調査によると、最も多くの企業が「準備している」と答えたのは「バックアップからの復旧体制」となっている。
その割合はわずか36.0%で、10社のうち6社以上は最後の砦ともいえるデータ復旧の体制すら整っていないことが明らかになっている。
さらに、「感染時の対応マニュアル」を整備している企業は33.5%、「顧客への説明や連絡体制」に至っては13.5%と極めて低く、多くの企業が有事の際に場当たり的な対応を迫られる可能性が高いことがうかがえる。
ガートナーの専門家は、「多くの企業が『対策はしている』と考えているかもしれないが、いざ感染してみると『あれもやっておけばよかった』と後悔するケースが後を絶たない。事前の準備が決定的に重要だ」と警鐘を鳴らす。
身代金、払う？払わない？ 企業の半数が「感染後に考える」
ランサムウェア攻撃の最大の特徴は、データを人質に取って身代金を要求してくる点で、この身代金要求に対し、企業はどのような方針を立てているのか。
調査によると、「身代金は支払わない方針で、ルール化もしている」と明確に定めている企業は、全体のわずか22.9%にとどまっている。
一方で、「支払わない方針だが、ルール化はしていない」(29.9%)、「状況を見て判断する」(合計36.4%)、「決めていない」(10.9%)を合わせると、実に4分の3近くの企業が、対応方針を明確なルールとして定めていない状況にあることがわかる。
特に、「状況を見て判断する」「決めていない」と回答した企業は合計で約半数（47.3%）にのぼり、まさに「感染が起きてから考える」という姿勢が浮き彫りとなっている。
専門家は、「身代金を払うか否かは、事業停止の損失なども含めて総合的に判断すべき経営マター。それを現場任せにしたり、パニック状態で判断したりするのは極めて危険。経営陣が主導して、事前にあらゆる事態を想定したルールを策定しておくべきだ」と指摘している。
「バックアップがあるから安心」はもう古い
近年、ランサムウェアはますます巧妙化しており、データを暗号化するだけでなく、バックアップデータまで破壊、盗み出したデータをネットに公開すると脅迫する「多重脅迫」などが主流となっている。
こうした状況下においてガートナーは、「単にバックアップを取っているだけでは、ランサムウェア対策にはならない。攻撃者がバックアップを破壊できないような特別な仕組みや、被害に遭っても迅速に業務を再開できる復旧計画が不可欠だ」と強調。
企業のサイバーセキュリティ対策の遅れは、その企業だけの問題ではなく、取引先への被害拡大や、個人情報の漏えいなど、社会全体に影響を及ぼす可能性が懸念される。
今回の調査結果は、すべての企業経営者に対し、ランサムウェア対策を「コスト」ではなく、事業継続に不可欠な「投資」として捉え、今すぐ行動を起こす必要性を突きつける結果になっている。