役員会議ではサイバーリスクに関する議論が激化しているというが、グローバル企業によるサイバーセキュリティへの投資額は増えているのだろうか。また、適切なセキュリティ管理に投資が行われているのだろうか。「先週、当社のCIO（最高情報責任者）から同じ質問を受けた」と米Equinixでグローバル情報ディレクターを務めるジョージ・ドゥー氏は話す。Equinixは15カ国で事業を展開するInternational Business Exchangeデータセンターとコロケーションのプロバイダーだ。

　問題は、このような質問に対して適切に回答できる情報セキュリティの担当者がいないことだ。データ漏えいに伴うコストは共有される情報量が限られているため、サイバーリスクには推測困難な領域がある。また、情報セキュリティ業界には、どの程度適切なセキュリティ管理が行われているかについて共通の見解がない。米GartnerのITセキュリティ／リスク管理部門でリサーチディレクターを務めるアントン・チュバキン氏は次のように述べている。「ウイルス対策ツールで検出されるウイルスの正確な件数を出すことはできない。『分からない』という回答がほとんどだ。10％や90％などという数値を出す人もいるが、その場しのぎのなんとか絞り出したもので、正確な値ではない」

　ほとんどの情報セキュリティの専門家は、テクノロジーが万能でないことを知っている。従業員、プロセス、テクノロジーを適材適所に配置すると、企業は悪意のある活動に対する早期警告に対処可能になる。また、脅威インテリジェンスやリスクアセスメントを導入すると、さらに効果的に対処できるようになる。このような悪意のある活動は、企業のインフラ、評判、ブランド、法的地位に悪影響を及ぼす恐れがある。

　「米Verizonの『2013年度データ漏えい／侵害調査報告書』では一般的な状況に合致する結果が報告されている。78％の侵害は、あまり複雑ではなく、既知の脆弱性や問題を悪用した攻撃に起因している。また、よく知られているにもかかわらず、これらの脆弱性や問題に対して修正措置や保護対策が取られていなかった」と米SANS Instituteのディレクターを務めるジョン・ペスカトール氏は指摘する。

　脅威インテリジェンスは、リスクに優先順位を付けて、セキュリティチームが優先的に取るべき行動を判断するのに役立つ有用なサービスだ。ただし、このサービスを活用するには、組織の脆弱性の状態を正確に把握している必要がある。「OpenSSLを使用していないことを把握していれば、Heartbleedへの対応は行わない。Heartbleedの攻撃を受けることはないからだ。Heartbleedの脅威情報を確認しても得るものはない」とペスカトール氏は話す。

　「2014年度データ漏えい／侵害調査報告書」によると、被害を受けた組織ではなく、サードパーティーによって大半のデータ漏えいが検出されているという状況が続いている。また、攻撃者も暗号化を回避するためにより多くの手段を使用するようになっている。侵害したシステム内に長期間とどまることが可能で、侵害していることを外部から検出されないようデータを内密に不正利用している。