ランサムウェア攻撃は、企業の大小を問わず標的にする可能性がある。これは、カルガリー大学に対して最近行われた攻撃を踏まえて、多くの人が真っ先に思い浮かべる攻撃でもあった。この攻撃によって、カルガリー大学は、ハッカーに1万6000ドルを支払うことを余儀なくされた。その一方、病院も厳しい攻撃にさらされている。

　「多くの顧客がランサムウェアの攻撃を受けている。（身代金の）支払いをした顧客もいれば、支払っていない顧客もいる。中小企業の予算はさまざまだが、ネットワークの安全を確保するには、かなりのコストが掛かる」とセキュリティサービスプロバイダーのAkuity Technologiesで会計部門の責任者を務めるガイル・プランケビシウス氏は話す。

　ランサムウェアは大きな問題だ。パネルディスカッションでそう発言したのは、Best Doctorsで情報セキュリティ部門の統括責任者を務めるグレッグ・ネビル氏だ。Best Doctorなどの企業は、予防対策を立てて、フィッシング攻撃を回避する方法を社員に教育することで、その脅威を軽減できる。

　参加者の1人である、Blue Cross Blue Shield of Massachusettsで上級情報リスクコンサルタントを務めるジョージ・モルガン氏は、医療業界においてランサムウェアが懸念事項の1つであることを認めている。同氏は自宅でLinuxを運用することで予防策を講じている。ハッカーの行動について理解する必要がある場合は、そのマシンでテストをしている。

　多くの被害者は、手遅れになるまで、ランサムウェアによってデータが侵害されていることすら認識していない。その場合、問題は深刻になる可能性がある。

　プランケビシウス氏は参加者に次のように問い掛けた。「被害者はランサムウェア被害に遭ったことをどのように把握するのだろうか。中小企業は、完全に受身になっているのが実情だ」

　参加者は、ランサムウェアの攻撃に支払うべき金額、さらにはハッカーによるランサムウェアの脅威に屈する必要があるかどうかについて議論した。マサチューセッツ大学で最高情報セキュリティ責任者（CISO）を務めるラリー・ウィルソン氏は、次のように話す。「（身代金を）支払うかどうかの判断は、データによる。ランサムウェア被害を受けた全てのデータに対してデータ返却のために支払う必要はない。

　「企業は適宜バックアップを作成するべきだ。企業がバックアップを作成していない状態でハッキングされた場合は、データ奪還のために支払わざるを得なくなる。また、バックアップは、攻撃者がアクセスできないように保管しておく必要がある。マサチューセッツ大学は、5年以上前からサイバーセキュリティ対策をしている。また、データのバックアップも継続的に作成している」（ウィルソン氏）

　RSAでCISOを務めるジャネット・レベスク氏は、「オンラインマルウェアの流行」と題したパネルディスカッションで次のように述べている。「データを分類して資産周辺を管理すればハッカーからの脅威を軽減できる可能性はある。だが、そのためには企業がビジネスへの影響を分析しなくてはならない」

　一部の参加者からは、盗まれたファイルについて支払うべきか否かについて、FBIが被害者を混乱させていることを指摘する声が聞かれた。2015年にランサムウェアが話題になり始めたとき、FBIのボストン支部情報部で特別捜査官補佐を務めるジョセフ・ボナボロンタ氏は次のように語っていた。「『CryptoWall』で使われている暗号化技術は非常に強力なため、FBIは身代金を支払うようにアドバイスしている」

　だがWestfield Bankでセキュリティと詐欺調査部門の統括責任者を務めるリンダ・シュワルツ氏は次のように述べている。「2016年には、FBIは態度を一転させ、奪われたファイルに対して支払わないことを被害者に勧めている。身代金の支払いは銀行強盗と似ているというのが、その理由だ」

　一部のビジネスでは、身代金を支払わなければ、重要なデータを失って攻撃者がデータを売り飛ばされたり、悪用したりする危険性があり、企業は窮地に追い込まれる恐れがある。データの漏えいを防ぐ1つの方法は、ハッカーについて理解して、彼らの考え方を学ぶために闇のフォーラムに参加することだ。ただし、Mass Bay Community Collegeからの参加者の1人は、「多くの人にとって、自分の視点をハッカーの視点に切り替えるのは難しい」と指摘した。ランサムウェアの攻撃を阻止するもう1つの手段は、全てのデータのバックアップを確実に作成することだ。ただし、業界はこのデータバックアップがハッカーに狙われることも懸念している。

　マサチューセッツ州立大学付属病院（UMass）のウィルソン氏は、基調パネルディスカッションで、NISTサイバーセキュリティフレームワークに従ってデータとインベントリを保護し、全てのアプリケーション資産を管理して、リスクを下げることを参加者に促した。ウィルソン氏は同院でCISOとして働いているのに加えて、サイバーセキュリティ対策の実装方法についても指導している。