政府系サイバー
セキュリティ
現状レポート2023年に取り組むべき行動と変化の推進の指針となる 4 つの重要なポイント

Ivanti のサイバーセキュリティ現状レポート シリーズの一部

タイミングは今です

昨今、病院ネットワーク、
グローバルな物流システム、
さらには民主的な選挙に対する攻撃があり、公共の安全とガバナンスに対する根本的な脅威となっています。

世界中の政府も注目しています。バイデン大統領からの新たな指令や欧州委員会からの指令により、重要な資産やインフラをサイバー攻撃から保護することが世界的に急務となっています。

Ivantiは、全世界の 800 人以上の政府職員を対象に調査を実施し、次の点を把握しました。
サイバーセキュリティに対する従業員の行動と意識

しかし、これはまだ序の口です。

Generative AI（生成AI）と「ディープフェイク」の急速な進化により、ランサムウェアはさらに巧妙化し、より危険なものになろうとしています。

公共部門における柔軟なハイブリッドワーク環境の影響

サイバーセキュリティの専門家から見た新しい脅威とセキュリティテクノロジー

政府系サイバーセキュリティ現状レポート

2

新しい攻撃モードや注目される政府の指令だけではありません。わずか数年で、政府機関の業務の本質が大きく変わなぜ全力で緊急性をもってりました。
このような劇的な変化の前に、一般的に行われるような事前の計画はまったくありません。ハイブリッドワーク
環境によって、脆弱性の新しい領域が生じました。
取り組むべきなのでしょうか。

新しい現実

新しいリスク

政府職員の 70% が、少なくとも一部の時間帯でオンライン勤務しているQ:

働く場所の柔軟性、デバイス、ユーザーの急増が複雑さを増し、新たな脆弱性を生むあなたの組織でデスクワークをしている人の働き方について、最も当てはまる
回答はどれですか。

グローバル

30%

20%

米国

31%

19%

29%

オーストラリア
英国

20%

ドイツ

20%

17%

0%

完全に
オフィス勤務

25%

23%

13%
20%

ほとんど
オフィス勤務

52%
40%

60%
五分五分の割合

10% 3%

36%

29%

80%

ほとんど
オンライン勤務

4%
8%

19%

30%

44%
12%

13%

22%

22%

フランス
オランダ

32%

8%

45%

5%

28%

5%

19%

3%
100%

47%
34%

世界中のセキュリティ専門家が、ネットワーク上のすべてのユー

ザー、
デバイス、
アプリケーション、
サービスに対して高い可視性がないと回答しています。

調査対象の政府職員が、複数のデバイスで同じまたは類似のパスワードを使用しています。

完全にオンライン勤務*国別の結果は、四捨五入の誤差により100％にならない場合があります。

政府系サイバーセキュリティ現状レポート

3

•

目次:
01

説明責任という文化がない

02

パスワードの（誤った）管理:
セキュリティの「ゼロ地点」

03

全員を対象としたトレーニング:
政府におけるサイバーセキュリ
ティの人為的なギャップ

04

調査方法
Ivantiは、2022年第 4 四半期に 6,500 人以上の経営陣、
サイバーセ

キュリティ担当者、一般の従業員を対象に、今日の脅威を理解し、未知の将来の脅威に対して組織がどのように備えているかを明らかにするために調査を実施しました。
このデータは、Press Reset: 2023

年サイバーセキュリティ体制の現状レポート で発表されています。

この調査で集められた見識は、この調査のサブセットである、世界中の政府機関で働く職員（合計 803 名）、
および複数の業界のサイバー
セキュリティ担当者の回答に基づいて考察されています。

調査対象の政府職員（n=803）

将来を見据えた政府機関

英国

17%

米国

17%
この文書は厳密に指針としてのみ提供されています。いかなる保証をも提供するものではありません。
この文書には、Ivanti Inc.およびその関連会社（総称して「Ivanti」）の機密情報および専有財産が含まれており、Ivanti が事前に書面で同意していないかぎり、開示または複製が禁止されています。

Ivantiはこの文書または関連する製品の仕様ならびに説明について、
いつでも予告なく変更を行う権利を有します。Ivantiは、この文書の使用に関する一切の保証を行ないません。
また、
この文書に瑕疵があったとしても一切の責任を負わず、この文書の情報を更新することも約束しないものとします。最新の製品情報については、ivanti.com をご覧ください。

オランダ

13%

中国

3%

ドイツ

11%

フランス

16%

日本

5%

インド

4%

オーストラリア14%

政府系サイバーセキュリティ現状レポート4

01「説明責任という文化」がない

現在の問題「私の仕事ではない」という態度が、政府のサイバー
セキュリティを危険にさらしている
従業員の無関心は、組織にとって現実のセキュリティリスクです。
Partnership for Public Serviceによると、公共部門のエンゲージ

職員は自分の行動を重要視しているのでしょうか？
Q:
60%

40%

また、
エンゲージメントが低いということは、従業員が組織全体とのつ30%

ながりや説明責任を感じていないことを意味します。

Ivanti の調査データがこれを裏付けています。
世界中の政府職員の多くが、セキュリティに関して自分の行動は重要でないと考えています。

英国では、27% の政府職員が、自分の行動がサイバー攻撃から組織を守ることに影響しないと回答しており、ドイツではその比率が 53%に
上ります。

53%

50%

メントと満足度のスコアは、民間部門の従業員に比べ 15 ポイントも1
遅れをとっています。

自身の行動がサイバー攻撃から組織を守ることに影響すると考えていますか。

44%

41%

34%

19%

20%

25%

27%

10%
0%

グローバル

米国

オーストラリア

英国

ドイツ

フランス

オランダ

「私の行動はサイバー攻撃から組織を守ることに影響しません。
」

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

6

すべての政府職員が不審なアクティ
ビティを報告するわけではない。

17%

業務上のセキュリティの過失をサイバー
セキュリティチームに安心して報告できない。

36%

業務中に受信したフィッシングメールを報告しなかった。

21%

組織がハッキングされても気にしないと回答している。

政府職員がフィッシング攻撃の対象になる - サイバー攻撃の序章

30%

フィッシング攻撃の対象になったと回答している。

5%

リンクをクリックしたり、送金してしまったりして、フィッシング攻撃の被害に遭った。

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

7

複数の効果的な脅威ベクトル

重要な理由

公共部門は、
ターゲットの規模や価値が大きいため、特に攻撃を受けやすくなっています。昨サイバーセキュリティの最悪の状況がすべての政府機関に迫る

年、APT29 のような国家が支援する持続的脅威のハッカーは、いずれも手ごわく、急速に進化し2ている敵であることが証明されました。

急速に進化する「合成」
デジタルコンテンツ

生成系 AI により、フィッシングメールが個々のターゲットの脆弱性に合わせてパーソナライズさ
3
れ、
フィッシングメールが「完璧な理想」になりました。

さらに憂慮すべき点は、
ディープフェイクが、世界中のジャーナリズムと民主的な選挙の信頼性4を脅かすということです。

予算の制約と組織のサイロ化により、セキュリティへの取り組みが弱まる

米国会計検査院（GAO）は、過去 10 年間にサイバーセキュリティに関する勧告の 60% が実施

5
されていないと述べています。

無関心な職員の割合が深刻化

72%

米国連邦政府職員の平均エンゲージメントは 100 点満点中 64.5 点で、民間企業に 14 点もの6差をつけられています。

政府職員がセキュリティ担当部署に質問したり、懸念を表明したりするために連絡したことがありません。

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

8行動に移すセキュリティは全職員の間の共有責任とする
セキュリティのリーダーは、
サイバーセキュリティに関心を持つように職員に強制することはできませんが、前向きなセキュリティ文化に投資し、その文化を醸成することで、長期的に従業員の態度に影響を与えることができます。

好ましい
セキュリティ文化の要素

オープンである

職員が安心してセキュリティ
チームに質問できる

安全である

統合されている

セキュリティの説明責任を共有し、職員一人ひとりが役割を果たす

反復的である

トレーニングが頻繁に行われ、職員が安心してインシデントや繰り返され、説得力がある

ミスを報告できる

戦略的である

セキュリティは組織の成功にとって非常に重要な資産である

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

9

次のステップ

好ましいセキュリティ文化のために、職員の経験を監査し、関与し、最適
化する

1

2

監査

職員にアンケートを実施し、ベースラインを定義し、現在の行動や態度を記録します。この調査結果は、組織の具体的な弱点を特定し、変革のための実践的なロードマップを策定するために必要な情報源となります。

関与

組織のリーダーと関係し、サポートと同意を得ます。リーダーは、方向性を決定するだけではなく、最大のリスク領域の 1 つでもあります。

リーダーのサイバーセキュリティに対するリスクについては、19

ページ「政府組織機関を対象としたホエールフィッシング 101」）をご覧ください。

3

最適化

文化の変革は、決して「1 回で終わる」ものではありません。
主要な
業績評価指標を監視し、従業員の声に耳を傾け、必要に応じて軌
道修正を行う必要がある、継続的なプロセスです。

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

10

02

パスワードの（誤った）管理:
セキュリティの「ゼロ地点」

現在の問題悪いパスワードの習慣を含むサイバー衛生の不備が政府機関を悩ませている

セキュリティ担当者は、10年以上前からパスワードのリスクについて警鐘を鳴らしてきましたが、政府機関を含むほとんどの組織では、
いまだにパスワード管理に対して緩いアプローチを取っている場合があります。Ivanti の調査では、政府の回答者からさまざまな悪い習慣が明らかにされました。

政府のパスワードアクセス不正行為

12%
政府職員が、職務上必要のない機密情報にアクセスしたことを認めています。

3 人に 1 人

前職のパスワードがまだ使えると考えていると回答しています。

同じ業務用パスワードを 1 年以上使用している政府
職員の割合
40%

グローバル

32%

米国

35%

オーストラリア

47%

英国

35%

ドイツ

41%

フランス

33%

オランダ

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

12重要な理由セキュリティと利便性の押し問答「デジタルネイティブ」の神話

若手従業員はパスワードのセキュリティに精通していると思いますか。

データによる裏付けはありません。

いわゆる「シャドー IT」などの回避策は、安全な組織の敵でQ:す。従業員は、セキュリティ対策が非効率的であったり、負担が大きいと感じると、明らかに安全ではない回避策を見つけるものです。

パスワードは、従業員のセキュリティ対策のゼロ地点です。あらゆる業界の従業員が、付箋、ペットの名前、誕生日、そして誰もが好きな解読不可能なコード「12345」を使い続けています。

政府機関は、職員がいわゆるソリューションを回避する方法を探さないような、便利で簡単なセキュリティソリューション
を必要としています。

職場でログインパスワードの作成を求められたとき、
この 2 年間で次のうちのどれをしたことがありますか。

Z 世代（ 1995-2012 生まれ*）35%

ミレニアル世代（ 1981-1997 生まれ）

26%

X 世代
（ 1965-1980 生まれ）

16%

団塊の世代
（ < 1965）

8%
0%

10%

48%
40%

31%

22%
20%

30%

40%

50%

政府系サイバーセキュリティ現状レポート

13

複数のデバイスやログインで同じパスワードや類似のパスワードを使用する
自宅と職場でパスワードを再利用する*18 歳以上の回答者のみ。

説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

解決するための行動

デジタル従業員体験 (DEX)に投資し、セキュリティを高める

セキュリティチームは、
デジタル従業員体験 (DEX) というレンズを通して新しいポリシーやテクノロジーを評価し、「エンドユーザー体験

は、利便性のために回避策やその他の好ましくない行動を促すだろうか、もしそうなら、そのリスクはそれに見合うものだろうか」と自問するべきです。

次のステップ

セキュリティを確保しながら、使いやすい体験を実現

1
2

危険度の高い回避策に的を絞る• 従業員は利便性の名の下にセキュリティを回避する• 上級幹部がセキュリティ規則の適用除外を要請する

DEX に特化したテクノロジー
を優先• ユーザー中心の体験を実現する (摩擦が少ない＝コンプ

ライアンスが高い)• 可能な限り、人の手を介さない• 免除のロックダウン

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

14

実世界への影響

ゼロトラストアーキテクチャ（ZTA）の実装と DEX の考慮点
二要素認証、
トークン、生体認証データのいずれを使しかし、ZTA では日々の運用（従業員）や保守（IT 担クチャ（ZTA）戦略に従って、すべての従業員に対してし、ZTA の利点を損ねてしまう可能性があります。

用するにしても、組織や機関は、ゼロトラストアーキテ

最小特権アクセスモデルを優先させ、それを約束する必要があります。

ZTA では、セキュリティと IT ソリューションが連携し、従業員に対して必要な範囲のアクセス権のみを提供することで、セキュリティ態勢とコンプライアンスを継続的に検証します。

この限定されたアクセスは、セキュリティ上の利点のほか、組織のセキュリティを確保しつつ、柔軟な勤務形態を可能にします。

結局のところ、従業員がフィッシング攻撃に屈した場
合でも、脅威主体は従業員が利用できる限られた選ZTA と DEX に関する
その他のリソース

NIST Special Publication 800-207

当者）が過度に煩雑になり、シャドー IT の利用を促「ゼロトラストアーキテクチャ」()

このため、ZTA を検討している組織は次の方法を活NISTサイバーセキュリティの フレームワーク（CSF）：

用してください。

IvantiのソリューションのCSF 統制へのマッピング• 不明なデバイスの通知、疑わしい行動のアラー

2022年版レポート：従業員のデジタル体験を向上させ

ト、
ユーザー権限のアクセスタイムアウトを戦略る必要性

的に自動化する。

• アクセス許可要求や一般的な問い合わせのための IT プレイブックと意思決定ツリー。

DEX（従業員のデジタル体験）から始めましょう• エンドユーザーが IT チケットを送信する前に、
直感的で簡単にアクセスできる「セルフサポート」

Everywhere Workplace の従業員体験 ITが企業をリ手順。

ードすべき理由

択肢にしかアクセスできません。

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

15

03

全員を対象としたトレーニング:
政府の人間規模のサイバー
セキュリティギャップ

現在の問題サイバーセキュリティのトレーニングにムラがあり、政府の防御に負担がかかる

セキュリティおよび自動化技術は、最前線で強力な保護を提供します

が、セキュリティの目となり耳となるように従業員をトレーニングすることは、重要な二次防御策です。Ivanti の調査によると、公共部門におけるトレーニングは、単にすべての人に行き渡っていないだけであることがわかりました。

全員を対象としたトレーニング まったく違います。
Q:

あなたの組織では、義務付けられたサイバーセキュリティトレーニングが実施されていますか?
いいえ / 不明

グローバル

39%

米国

英国
ドイツ

61%

22%

オーストラリア

27%

はい

78%
29%

71%

16%

84%
46%

フランス

76%
50%

オランダ

職場でマルウェアやフィッシングなどの脅威を認識し、報告するための準備が「非常に整っている」と感じている政府職
員はわずか 27% でした。

54%
24%
50%

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

17

重要な理由政府職員および請負業者は、義務付けられているにもかかわらず、ほとんどトレーニングが行われていないか、
トレーニングが効果的ではないと報告しています32%

セキュリティ担当者が、効果的でなかったり不完全であったりする従業員トレーニングが組織のサイバーセキュリティの卓越性にとって重大な障壁であると回答しています。

2023 Press Resetでの調査では、かなりの割合の組織でサイバーセキュリティリスクおよび報告プロセスに関する

従業員の教育とトレーニングがまったく足りていないことが明らかになりました。

29%

また、1 人がたった 1 回の過失をするだけで、予想外の壊

滅的な損害を引き起こしてしまいます。
政府機関の場合、そのような損害はサービスを受けるすべての国民や住民に影響を及ぼします。

世界中の組織がパートナーやベンダーはサイ
バーセキュリティトレーニングを完了する必要がないと考えています。
しかし、第三者の請負業者を利用している政府機関はリスクにさらされています。
分析結果
Press Reset: 2023サイバーセキュリティ体制の現状レポート
政府系サイバーセキュリティ現状レポート

説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

18

実世界への影響

政府機関をターゲットにした「ホエールフィッシング 101」

ホエールフィッシングは、高価値でリスクの高いターゲット、すなわち「クジラ」に対して、
ソーシャルエンジニアリングのコ

ミュニケーションを実行します。
一般的なホエールフィッシン
グのターゲットは、事業部のリーダー、公人、財務責任者、
あ

るいはそのアシスタントや攻撃者にとって望ましい事業部内の管理職などです。

脅威アクターは、標的を騙してコミュニケーションが本物であると信じ込ませることで、認証情報や機密情報、さらには不リーダーレベルの従業員は、他の従業員よりも安全でない
セキュリティ行動を実践する可能性が高くなっています。
リーダーの 3 人に 1 人以上がフィッシングリン

リーダーの約 4 人に 1 人が覚えや従業員の平均の 4 倍もの割合になります。

使用しています。

クをクリックした経験があります。
これは一般正な送金許可を得ることができます。

多くの場合、
このようなアクセスは、検出、報告

すい誕生日をパスワードの一部にされるまでに長い時間がかかり、高度な持続的脅威（APT）

が数か月、場合によっては数年間も、政府のネットワーク内に
7潜んでいる可能性があります。

また、調査によると、機密情報やネットワークに最も高いレベ

ルでアクセスできる人ほど、セキュリティ習慣の意識が最も低いことが多いようです。

リーダーは、他の従業員よりもパスワードを何

リーダーは、パスワードを社外の人と共有する

年も利用する可能性が高くなっています。
実際

確率が 5 倍も高くなっています。

に調査対象の 4 人に 1 人がそうしていました。

*この統計は、公共部門を含む、あらゆる業界のリーダーに適用されます。
（プレスリセット: 2023年度サイバーセキュリティステータスレポート）

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

19

行動に移す全職員を対象としたトレーニン
グの実施により、セキュリティリ
スクの低減と意識の向上を図る
ことができます。

「ホエール」（または特権ユーザー）がアクセスできる機密情報に到達するための最良の方法の 1 つは、業務上そのような人物と近くつながっている従業員を通すことであると考えられます。
たとえば、次のような従業員です。
• 影響力のある重役補佐

最良のセキュリティトレーニングでは次の両方を提供します。

?

• 受付を担当する新入社員• 1 日中訪問している専門家の第三者の請負業者

このような人物は、正式には個人情報やストレージに直接アクセスできないものの、利便性から生まれた悪いセキュリティ慣行、そして価値の高いターゲットに近いことから、機関の最も重要な情報や資料に簡単にアクセスできる場合が何を特定の攻撃の種類、およびそれらを認識して撃退する方法なぜ

役職、役割、場所に関係なく各従業員が担う
重要な役割

多くあります。

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

20

次のステップ

画一的なマインドセットがない全員を対象としたトレーニング

1
2
3

アンバサダーのトレーニング

高度なトレーニングを受けた「セキュリティアンバサダー」（セキュ

リティ業務に携わっていないが、セキュリティに関心のある人）を育成します。

リスクが高い従業員には特別な注意を払う

最近の脅威をもとに、特定の政府機関の現実的なシナリオに焦点を当て、リスクの高いセグメントを特定して、それぞれにカスタ

ムカリキュラムを開発します。

肯定的に接する

トレーニング内容を覚えていられるようにします。講義形式のトレーニングもありますが、競争的な活動や「ゲーム化」
されたシナリオプ計画も考慮してください。

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

21

04

将来を見据えた政府機関

現在の問題レガシーシステム、技術ス
タックの複雑さ、
データサイロ、人材不足など、まだまだ続くのでしょうか。

多くの人は、政府（大都市、連邦政府機関、軍事機関、公共事業など）

は、
サイバーセキュリティをすべて把握しているに違いないと思い込んでいます。

（結局のところ、最も高度なサイバーセキュリティの人材と技術の一部は、軍の部署やアプリケーションに存在しています。
）

現実には、ほとんどの政府機関では、次のような項目に投資するための持続的な資金が不足しています。
•

人材

•

トレーニング••

最も多く報告されたグローバルセキュリティの卓越性に対する障壁Q:

次のうち、組織のサイバーセキュリティの卓越性を阻む
大きな障壁はどれですか。

37%

技術スタックの複雑さ
セキュリティスキルのギャップ

36%

不十分なサイバーセキュリティ
技術/システム33%

非効果的/不完全な
社員研修

32%

信頼や人への
過度の依存

新しい技術

30%

不十分なサイバー
セキュリティ予算

文化

29%
21%

リーダーの関与/賛同の欠如

Press Reset: 2023サイバーセキュリティ体制の現状レポート

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

23

重要な理由脅威アクターは、古い防御に対して武器を進化させ続けている

セキュリティの脅威に対するセキュリティの準備
高 + 重大な脅威

は 2010 年以降、GAO の勧告の半分以上をいまだに実行し8ていません。

Q:
Q:

あなたの組織は、ここに挙げた各種類の脅威に対処するために、どの程度準備が整っていますか。

逆の脅威

フィッシング

米国会計検査院（GAO）の報告書によると、米国連邦政府

あなたの業界における 2023 年の脅威のレベルを、次の項目ごとに評価してください。

!

十分に準備ができている

ランサムウェア

!

ソフトウェアの脆弱性!

DDos 攻撃!

API 関連の脆弱性
資格情報の侵害!

サプライチェーン
脆弱な暗号化
悪意のある従業員

30%

40%

50%

60%

70%

Press Reset: 2023 サイバーセキュリティ体制の現状レポート

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

24

実世界への影響

公共部門は、依然として国家が支援するハッカーにさらされている
公共部門は、国家が支援するサイバー犯罪者からの攻撃に特に脆弱です。
このような攻撃者は、（どれほど物理的な距離があっても）関連する機関に対して攻撃を実行するでしょう。

右の 3 つの脅威のほか、その方法、悪用された脆弱性、公的に確認されている

特に注目すべき世界各国政府を攻撃する高度な持続的脅威（APT）やサイバーギャングは次のとおりです。
ALPHV「サービスとしてのランサムウェア」
モデル（RaaS）の開発、販売、展開を担当するサイバー犯罪組織 。このような既製品のハッキングソリューションは、さまざまな脅威主体の能力を助長します。

政府の攻撃など、より詳細な情報については、2023 年サイバー戦略ツールキットをお読みください。

APT29

スパイ活動や諜報活動に特化したロシアの対外情報機関に「エネルギー、医療、金融の各システムは[...] すべて悪意のある主体によるサイバーリ
スクに直面しています。このような攻撃は、
人々、環境、国家安全保障、そして最も重要な経済に対して深刻な被害をもたらす可能性があります。
」8
Marisol Cruz Cain
GAO 情報技術・セキュリティチーム責任者

つながる国家支援型ハッカー。

Conti

プレイブックが流出して解散したロシア系の脅威主体。
しかし、Conti系のハッカーやコードは現在でも不正な脅威となっています。Conti 型ランサムウェアの手口は、昨年も複数のサイバー犯罪者集団で顕著でした。

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

25

行動に移す戦略的な技術と文化で、偽情報や加速する攻撃と戦う

私たちが生きている世界は、次のような偽情報が蔓延しています。
ボットによる大規模なソーシャルメディアの偽情報キャンペーン
個人の嗜好に合わせた、信憑性の高いフィッシング攻撃
独立したジャーナリズムを弱体化させ、選挙を混乱させるディープフェイク

これらはすべて、公共の安全、
グローバルな商取引、外交に大打撃を与え、さらには人命を奪う可能性があります。政府機関は悪意ある主体が破壊して悪用しようとするシステムやメッセージの鍵を握っているため、政府機関は特に脆弱です。

セキュリティリーダーは、戦略、
システム、
ツール、
トレーニング、ガバナンスを開発することで、悪意のある主体を排除し、精度の高い運用を行うことで自らのポジションを守る必要があります。

そして、
これらの防御を比較的に「平時」に構築することが重要です。
あまりにも多くの組織が、壊滅的な攻撃を受けた後に重要な措置を講じています。

タイミングは今です。

世界的な物流や医療の提供を妨害するランサムウェア

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

26

次のステップ

技術スタックの将来を見据える

1

レジリエンス

停止時間を短縮し、影響を最小限に抑えるための対応、復旧計画を策定します。

2

自動化

自動化を導入して資産の可視性を高め、リスクに基づいた優先度を設定してパッチを適用します。
どちらも 2023 年の安全な組織にとって重要な課題です。

3

エンパワーメント

サイバーセキュリティチームに、セキュリティ

4

総体的なリスク管理場所にとらわれない働き方（WFE）やハイブの課題を設定するための独立性と予算を与リッド社員、
サードパーティの請負業者やベすることはやめましょう。

について考えます。

えます。
最新の脅威のニュースに軽率に反応

ンダーなど、政府の壁を越えたセキュリティ

このような状況の中で、政府機関はサイバーセキュリティをチームの取り組みとして捉え、職員に負担をかけない技術でその取り組みを強化することが求められています。

職員全員がサイバーセキュリティを理解し、関心を持ち、説明責任意識を持てるようになり、よ

り良い従業員体験を可能にする能動的なセキュリティ対策が導入されれば、政府や機関のセ

詳細:

Press Reset: 2023サイバーセキュリティ体制の現状レポート

キュリティ態勢は強化されるでしょう。

政府系サイバーセキュリティ現状レポート
説明責任という文化がない

パスワードの（誤った）管理

全員を対象としたトレーニング

将来を見据えた政府機関

27

参考

1. Partnership for Public Service: “Engaging employees at federal agencies,”
July 14, 2022. https://ourpublicservice.org/blog/engaging-employees-atfederal-agencies/

2. Ivanti: “2023 Cyberstrategy Tool Kit for Internal Buy-in.” October 2022.
https://www.ivanti.com/resources/v/doc/ebooks/ivi-2702-cybersecurity-toolkit-internal-buy-in-budget-influence-non-infosec
3. Sharon Ben-Moshe, Gil Gekker, Golan Cohen / Check Point Research:“OPWNAI: AI That Can Save the Day or Hack It Away.” Dec. 19, 2022. https://
research.checkpoint.com/2022/opwnai-ai-that-can-save-the-day-or-hack-itaway/

4. VOA: “Research: Deepfake ‘News Anchors’ in Pro-China Footage.” Feb. 8,2023. https://www.voanews.com/a/research-deepfake-news-anchors-in-prochina-footage/6953588.html
5. U.S. Government Accountability Office: “Cybersecurity High-Risk Series:
Challenges in Protecting Privacy and Sensitive Data,” Feb. 14, 2023. https://www.gao.gov/products/gao-23-106443

6. Partnership for Public Service: “Employee Engagement,” July 13, 2022.
https://ourpublicservice.org/our-solutions/employee-engagement/
Federal News Network: “Return-to-office plans a major cause for decline in
2021 Best Places to Work results,” July 13, 2022. https://federalnewsnetwork.
com/workforce/2022/07/return-to-office-plans-a-major-cause-for-decline-in2021-best-places-to-work-results/

7. Ivanti: “2023 Cyberstrategy Tool Kit for Internal Buy-in.” October 2022.
https://www.ivanti.com/resources/v/doc/ebooks/ivi-2702-cybersecurity-toolkit-internal-buy-in-budget-influence-non-infosec
8. U.S. Government Accountability Office: “Cybersecurity High-Risk Series:
Challenges in Establishing a Comprehensive Cybersecurity Strategy and
Performing Effective Oversight,” Jan. 19, 2023. https://www.gao.gov/assets/
gao-23-106415.pdf

政府系サイバーセキュリティ現状レポート

28

政府系サイバー
セキュリティ現状レポート
2023年に取り組むべき行動と変化の推進の指針となる 4 つの重要なポイント

ivanti.com/ja

03-6432-4180

contact@ivanti.co.jp

Copyright © 2023, Ivanti. All rights reserved. IVI-2747 ARS/KF