今回の調査では、米国内に拠点を置く企業60社を含む、幅広い業種の合計234社から寄せられた情報を分析した。その結果、1社当たりの平均出費額は年間約1156万ドルにも及ぶことが分かった。

　今回のPonemonの調査報告書では、企業が支払った総額ではなく、サイバー攻撃を受けて企業のコストがどこに（インシデントの検知、調査、復旧、管理など）掛かったのかに焦点を当てている。

　Ponemonの創設者であるラリー・ポネモン会長は「報告書では、例えば“極めて機密性の高い”情報が盗まれた場合の被害額は考慮していない。この種の情報は、価値を金額で示すのが困難であり、企業は大抵、自社のデータの価値を過大評価するからだ」と語る。このような事例の被害を除外しているにもかかわらず、被害額は最低でも130万ドル、最高は5800万ドルにも及ぶと報告書は伝えている。「どんな大企業でも軽視できない額だ」（ポネモン氏）

　サイバー攻撃の対策費用は増加している。企業に対する攻撃が「成功」した事例が前年比で18％増加したことも、その一因だ。2012年は1企業当たり週に約1.8件の頻度で攻撃を受けていたが、2013年は週2件に増えている。Ponemonの調査報告書では、企業の社内ネットワークまたはシステムのいずれか、あるいは両方に侵入した攻撃を「成功」と定義している。ほとんどの多くの企業がウイルスやマルウェア攻撃を頻繁に受けているが、被害額の大きいのはDoS攻撃、悪意のある内部関係者による攻撃、多種多様なWebベースの攻撃だ。

　「成功した攻撃がどれだけ高度なものだったかを測る方法は報告書には記載していない」と話す一方で、集められた証拠から判断すると、攻撃はステルス性が高くなり、またより複雑になっていると、ポネモン氏は推測している。

　「（成功した攻撃には）単純なマルウェア攻撃は少なく、機密情報の流出などをもくろんで集中的に攻撃してくる例が多い」と同氏は指摘する。

　また、成功した攻撃では手口のレベルが上がっていることも、攻撃からの復旧作業を長引かせる一因となっている。復旧作業に要した期間は、2012年の24日間に対し、2013年は32日間と長くなっている。セキュリティ関連のインシデントの対応に掛かったコストの平均は大幅に上昇して55％増、金額で示すと前年が59万1780ドルであったのに対して、2013年は103万5769ドルとなった。対策に要する期間が平均で8日間も多くなったことを裏付けるかのように、企業がセキュリティインシデントを解決するための作業に取り組んだ1日当たりの時間も前年比で増えている。

　データから見る限り、企業はサイバー攻撃への対応に以前にも増して苦戦しているが、この点についてポネモン氏は、費用の増大については前向きなスタンスを見せている。

　「コスト増大の一因として考えられるのは、問題の発見や検知、必要な検証や調査の全てにおいて、企業が以前よりも手の込んだ対応を行っていることが挙げられる。そういった作業に時間と労力を割かざるを得ない企業が増えているのだと思う」とポネモン氏は語る。「このことが全ての企業に当てはまるとは言いたくない。あくまで平均値だ。それでも基本的には、攻撃を検知してその根本原因を理解しようと取り組みを強化している企業は増えている。そのためにはさまざまなリソースが必要であり、それがコストに反映されているのだと思う」（同氏）

サイバー攻撃による損害を抑えるには

　組織に対するあらゆる攻撃を全て防ぐ方法は存在しないことは認めつつも、ポネモン氏は今回の調査報告書を踏まえて、一般企業でもサイバー攻撃の対策費用を抑える方法が幾つかあると指摘する。第一の要素は、企業が取り入れるテクノロジーだ。

　例えば、アプリケーションのセキュリティの脆弱性を突く攻撃による損害がより高額になる中で、企業はネットワークのセキュリティアプライアンスに今後も多額の費用を注ぎ込むだろうと調査報告書は記している。ポネモン氏は、セキュリティ対策のコストの内訳を毎年見直している企業はほとんどないと指摘した上で、「企業のセキュリティ費用は、脅威によってもたらされた最も高額の損害額に合わせるべきだ」と語る。「従来のアンチマルウェア製品の（セキュリティ）コストに占める割合が減少しているのとは対照的に、セキュリティの情報およびイベントを管理する製品とビッグデータのアナリティクスを含むセキュリティインテリジェンスシステムは、21％ものROI（投資回収率）と引き出している」と同氏は付け加えた。

　適切なテクノロジーの選択よりも恐らく重要なことは、サイバー攻撃の被害を受け続けていても被害額を抑えている企業が、人とプロセスを適材適所で配置していることだろう。ポネモン氏は、情報セキュリティ最高責任者（CISO）または同等のポジションを設け、実際に上級幹部と同等の権限を持たせている企業を例に挙げた。「そのような企業は、セキュリティガバナンスが優れていることが多い。主な理由は、CISOを置くことによって、会社として情報セキュリティに真剣に取り組み、（セキュリティの）資格を持つ専門家に積極的に投資するからだ」と同氏は説明する。

　「そのような（CISOまたは同等のポジションの）人物に価値を見いだすのではない」とポネモン氏は語る。「だが、適切な役割と肩書と権限を持つ人物を組織内に置いている企業の方が、セキュリティのガバナンス全般について、より賢く対処している」（同氏）