米Microsoftは23日(現地時間)、最新のセキュリティ動向についてまとめた調査報告「Microsoft Study on Data Protection and Role Collaboration Within Organizations」を発表した。これは、現在英国ロンドンで開催されている「RSA Conference 2007 Europe」に合わせて、3600以上の企業や組織のセキュリティ担当エグゼクティブを対象としたアンケートをまとめたもの。その中では、個人情報獲得を狙ったフィッシングサイトやダウンローダと呼ばれる技術の拡大のほか、個人情報の取り扱いを巡って企業組織内部での見解の相違に苦労している様子が浮かび上がってくる。

同調査によれば、2007年前半だけで3160万件のフィッシング詐欺が発見され、2006年後半の6カ月間との比較で150%以上の増加がみられるという。また同時期に、"ダウンローダー"と呼ばれるより強力な攻撃プログラムをダウンロードして実行する悪意あるコードの報告が500%増加している。これらダウンローダーは一度クライアントPC上で実行された後、さらに強力な感染プログラムやパスワードを抜き取るソフトウェア、キーロガーなどの新たなコードをインターネット上からダウンロードし、ユーザーの個人情報を奪うべく活動を開始する。Microsoft Malicious Software Removal Toolが発見して削除したこれらプログラムが主な目的としていたのは、データやバンキング情報などの盗難だった。

最近の攻撃がマシンの破壊や技術力を誇示する愉快犯的性格から、より金銭や利益に直結した個人情報盗難へとシフトしていることは、今年初めにIBMのISSレポートやSymantecのセキュリティレスポンスで紹介されていたケースに合致している。また攻撃方法が洗練されてきているのも特徴となる。企業や個人を問わず、まずユーザーが守るべき資産はこれら攻撃のターゲットとされている個人情報だといえるだろう。

だが、ひとたび現状の企業のセキュリティ対策に目を向けたとき、問題の取り組みで四苦八苦する担当者らの姿が浮かび上がってくる。一般に、企業内にはデータ保護や活用に際して複数の部門が存在し、互いに異なる目的や責任範囲で動いている。もしこれら部門間での連携がうまくいった場合に、セキュリティ上のリスクが軽減されるのはもっともな話かもしれない。実際、これら連携に問題があると認識している組織の74%が過去2年間にデータ漏洩に関する重大な問題を経験したと報告しており、一方で連携がうまくいっていると報告した企業のうち、データ漏洩に関する問題が発生したのはわずか29%にとどまるという。

連携の難しさは別のデータにも表れている。例えば、個人情報を活用する側のマーケティング担当者がそれらデータを実際に活用する場合、事前にセキュリティの担当者に相談すべきだとセキュリティ部門側の代表の78%が考えている。だが、マーケティング担当者が実際にそうした行動をとると考えているケースはわずか30%に過ぎない。

今回の報告書の中でEnderle Group主席アナリストのRob Enderle氏は「問題を理解し、セキュリティを高めることで、セキュリティとビジネスの2つの部門の代表が違いに密に連携し合うことが、よい一歩につながる」とアドバイスしている。