サイバー犯罪を包括的に理解することは、進捗と、この問題への対策活動の影響を測定するうえで不可欠です。
サイバー犯罪の定量化は、基準値を設定することで、サイバー犯罪対策の取り組みがどれほど効果的かを把握し、成功率を高めるうえで、すべての人に利益をもたらします。
この基準値の作成は困難です。犯罪の種類の幅広さ、企業ごとに価値を置くデータの違い、そしてデータへのアクセスのしやすさがその理由です。
単一の視点ですべての側面を定量化することはできませんが、質の高いデータは、サイバー犯罪の測定という全体像を把握するうえで大いに役立ちます。
サイバーセキュリティ・コミュニティのリーダーやステークホルダーは、共通の基盤を見いだし、共通の定義と統計の報告方法の標準を確立する必要があります。主要業績評価指標（KPI）と、標準化およびデータの正規化を伴う共通言語によって、何が起きているのかについてより深い洞察を得ることが可能になります。
問題は、サイバー犯罪を定量化するための、単一で再現可能な統計基盤が必要であるとしても、そのようなものは実現可能なのか、という点です。どのような課題があるのでしょうか。
サイバー犯罪の防止に向けて講じられた措置の価値を定量化するための共通言語は、どのように構築できるでしょうか。既存の報告書や統計の信頼性と正確性を、どのように高められるでしょうか。また、新たな分類体系や指標との整合性を、どのように確保できるでしょうか。
世界経済フォーラムはサイバーセキュリティに関してどのような取り組みを行っていますか。
サイバーセキュリティセンターは、リーダーが一堂に会し、進化するサイバーリスクとその システミックな影響を理解するための信頼できるプラットフォームを提供しています。相互接続が進むデジタル社会において、理解と信頼の構築に注力しています。
センターは、セクターを超えた協力と知見の共有を可能にすることで、パートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組めるよう支援しています。
サイバー犯罪による被害
現在存在する情報の概要は以下のとおりです：
Fortinet Global Threat Landscape Report（グローバル脅威環境レポート）。このレポートは年2回発行され、重大な攻撃の動向と、組織が脅威に備え、身を守るための提言を掲載しています。
IBM Cost of a Data Breach Report（データ侵害のコストに関するレポート） は、データ侵害の財務的およびブランドへの影響に関する情報を提供し、重要インフラの脆弱性、セキュリティシステムの複雑さ、人材不足など、データ侵害コストの増加につながる要因についての情報を含んでいます。
Verizon Data Breach Investigations Report（データ侵害調査報告書） は、確認された侵害に関するデータと知見を含んでいます。
FBI インターネット犯罪苦情センター（IC3）Internet Crime Report（インターネット犯罪報告書） は、FBIに報告されたサイバーインシデントに基づいています。
既存の報告書や情報の限界は、主に何が起きたかという結果に焦点を当てている点にあります。攻撃や犯罪の種類に関する情報はありますが、サイバー犯罪による直接的な事業活動を測定することは、はるかに困難です。
サイバー犯罪ビジネスの実態を検証する
サイバー犯罪をより適切に測定するには、これらの犯罪の範囲を十分に理解することも必要です。出発点となるリストとして、サイバー犯罪のビジネスには、以下が含まれますが、これに限定されるものではありません：
犯罪サービス（CaaS）の例：
– ランサムウェア・アズ・ア・サービス（RaaS）
– インストール単位または購入単位の成果報酬型モデル
– ボットネットのレンタル
– マネーロンダリングサービス収益と利益（サイバー犯罪における暗号資産の役割を含む）
アフィリエイト・ネットワークと手数料
事業全体の構造と拡張された事業運営
サイバー犯罪者の事業運営を詳しく検証することは、サイバー犯罪を定量化するうえで極めて重要な側面です。ランサムウェア・アズ・ア・サービスが存在することは多くの人が知っていますが、現時点では、このサイバー犯罪リスクを定量化するための十分なツールがなく、それに対抗するために必要なサイバーセキュリティへの投資を見積もることもできません。
米国では、特定のグループに関する数値を得るために、司法省による起訴状を参照することが可能です。たった1つのランサムウェア・グループが、数億ドル、あるいは数十億ドルもの利益を生み出すことさえあります。また、これらの集団は、アフィリエイト・プログラムや手数料を伴う複雑な拡張型の事業構造を持つことが多くあります。しかし、裁判記録や捜査文書の精査には非常に多くの時間がかかります。これらの文書を読み込むだけでは、企業が直面しうるリスクのバランスをどのように取るべきかについて、経営層がより深く理解することにはつながりません。
サイバー犯罪アトラス イニシアチブは、世界の主要リーダーを結集し、サイバー脅威と闘うとともに、犯罪組織の活動、構造、ネットワークを含むサイバー犯罪の全体像を描き出すことを目指しています。現在、同組織は、サイバー犯罪のエコシステムを地図化し、サイバーセキュリティ上のグループ、手口、暗号資産のアドレスを世界規模で区別する取り組みを進めています。
サイバー犯罪グループに関する情報が増えるほど、その収益の流れや利益の上げ方の全体像を把握することが可能になります。数値を集約し、測定に構造を持たせることで、より有意義な知見が得られます。統計を統合、検証、集約することで、サイバー犯罪の事業活動の全体像が見え、その運営コスト、利益、損失を定量化できます。
サイバー犯罪組織がどのように機能しているかという全体像を把握することは、妨害活動をはるかに効果的にすることにもつながります。サイバー犯罪者が何をしているかについての詳細な手引きがあれば、その企てを阻止する方法を見つけることが容易になります。
組織ごとに必要なデータは異なります
サイバー犯罪を定量化するもう一つの課題は、誰もが同じデータを必要としているわけでも、同じデータに関心を持っているわけでもないことです。サイバー犯罪への対策に大きな利害関係を持つ組織は多いため、必要とするデータも同一ではありません。
収集される情報の用途は、組織ごとに異なります。例えば、支払われた身代金の平均額に関するデータは、保険会社にとって有用です。一方、法執行機関が関心を持つKPIは、資金の回収、資産の凍結、インフラ、そして事業の拡大に関連するものです。
法執行機関の視点から見ると、報告に関しては、何が効果的で何が効果的でないかについて、明確で公表された証拠が乏しいのが現状です。法執行機関のコミュニティは、サイバー犯罪者に明確なメッセージを送る成功事例を示す、より多くのデータや統計を求めています。
成功した結果を示す組織におけるサイバー犯罪の共通点について、データに基づく視点を持つことは有益ですが、現時点ではそうしたものは明確に存在しません。
セキュリティベンダーと法執行機関は、犯罪組織、ダークウェブ、フォーラムの追跡など、調査を共同で行う必要があります。脅威ハンターがサイバー犯罪者を装って組織に潜入することがあり、法執行機関が関与する場合には、ハードドライブから得られた情報が裁判文書に含まれることがあります。
サイバー犯罪に対する統一的なアプローチの推進
サイバー犯罪の定量化は、途方もない課題に思えるかもしれません。しかし、他の大規模なプロジェクトと同様に、関係者が一つの考えのもとに集まり、プロセスをより小さな作業に分割することから始まります。
ベンダー、法執行機関、その他の専門家を含むすべてのサイバーセキュリティ関係者は、データの収集と報告について、標準化された統一的な手法を確立するために協力する必要があります。
次のステップとして、以下が考えられます：
Partnership Against Cybercrime（PAC）の専門家による小規模なワーキンググループを招集し、本議論の範囲を、PACの独自の強みに特化した、実行可能で現実的な計画に絞り込む。
PACメンバーの一部によるデータに基づく貢献について、データ共有と統合の取り組みを議論する。
測定の標準と定義を決定し、サイバー犯罪を定量化するための統一的なアプローチがどのようなものになるかを明らかにする。
サイバー犯罪の定量化は、すべての人に利益をもたらします。基準値を設定することで、サイバー犯罪対策の取り組みが実際にどれほど効果的かを把握し、その取り組みをどのように調整すれば、摩擦を増やし成功率を高められるかを見極めることができます。
