一言で言えば、適切なコントロールの欠如が原因です。100%安全な組織は存在しません。組織は脅威や悪質な攻撃者をコントロールすることはできません。組織がコントロールできるのは、セキュリティ対策における優先事項と投資だけです。
ITコントロールとサイバー防御策に対して、いつ、どこで、どのように投資すべきかを意思決定するには、人、プロセス、テクノロジのセキュリティ能力をベンチマークで評価し、不足している点と、目標とすべき優先事項を明らかにする必要があります。
特に、サイバーセキュリティ・リスクには人的要素が深く関わってきます。サイバー犯罪者はソーシャル・エンジニアリングの専門家となり、従業員を騙して不正なリンクをクリックさせるために、ますます高度化した手法を使用するようになっています。こうした攻撃への防御力を向上させるために、従業員に情報とノウハウを確実に身に付けさせることが重要となります。