謎を超えて：ITRCの69%「原因不明」データ侵害問題を解決するデータコントロールの重要性
Identity Theft Resource Center（ITRC）の2025年レポートで最も衝撃的なのは、わずか6カ月間で1,732件のデータ侵害が発生し、1億6,574万5,452人が被害を受けたという事実ではありません。最も深刻なのは、これらの侵害の69%（1,191件）が、攻撃者がどのようにアクセスしたのか説明がなかったことです。
これは単なる統計の問題ではありません。組織のセキュリティにおける根本的な危機です。侵害を受けた企業の多くが、規制当局や顧客、さらには自社自身に対しても、防御がどのように破られたのか説明できないのです。厳格なデータ保護規制と巧妙化する脅威が存在する現代において、この「見えない状態」は、規制コンプライアンス上の悪夢であり、セキュリティ上の大惨事でもあります。
自社のセキュリティは万全だと信じていませんか。 その確信、証明できますか？
69%の謎：知らないことが組織を危険にさらす
ITRCの2025年上半期データ侵害レポートは、現代のサイバーセキュリティにおける不都合な真実を明らかにしています。それは、「見えない敵」と戦っているということです。侵害通知の69%に攻撃経路の詳細が記載されていないということは、組織が自社のセキュリティインシデントを理解するための基本的な可視性を欠いていることを意味します。
これは必ずしも無能や怠慢によるものではありません。現代のIT環境は複雑で、データは複数のシステムやベンダー、通信チャネルを通じて流れています。あらゆる潜在的な入口で包括的な監視や監査証跡がなければ、組織が存在すら認識していなかった隙間から侵害が発生する可能性があります。
その影響は深刻です。前回の侵害がどのように発生したのか分からなければ、次の侵害をどう防ぐのでしょうか。脆弱性に対処したと規制当局にどう説明できるのでしょうか。実質的に「暗闇の中で」戦っている状態で、防御をどう改善できるのでしょうか。
分かっていること：特定された31%から見えるパターン
大半の侵害が未解明のままですが、攻撃経路が特定された31%からは懸念すべきパターンが見えてきます。ITRCの2025年アイデンティティトレンドレポートによると：
- アイデンティティ侵害の43%は、被害者が詐欺でPIIを共有したことが原因
- なりすまし詐欺は前年比148%増加
- アイデンティティ悪用の53%はアカウント乗っ取り詐欺（ATO）が関与
- サプライチェーン攻撃は、わずか79件の初期侵害で690の組織に影響
これらの既知の攻撃経路には共通点があります。通信チャネルを悪用し、信頼関係を利用し、データが組織間や個人間で移動する際に発生することが多いのです。PowerSchoolの侵害では、1つのシステムが侵害されたことで7,190万人が被害を受けたことがその典型例です。
アカウント乗っ取りの多発は特定の傾向を示しており、当座預金口座が22%、ソーシャルメディアが19%、クレジットカードが17%を占めています。個人のテックアカウントは754%という驚異的な増加を記録しました。これらの既知の侵害から得られた統計は、未知の69%にも同様の傾向が潜んでいる可能性を示唆しています。
主なポイント
-
69%の未知は根本的な可視性危機を示す
ITRCのレポートによると、1,732件中1,191件の侵害通知で攻撃経路が特定できず、組織が基本的な監視や監査機能を欠いていることが明らかになっています。この「見えない状態」は、効果的なインシデント対応、規制コンプライアンス、将来の侵害防止を妨げます。
-
既知の攻撃パターンは通信・信頼関係の悪用を示唆
特定された31%の侵害のうち、43%は被害者が詐欺でPIIを共有し、なりすまし攻撃は148%増加しています。これは、犯罪者がデータ交換ポイントを狙っていることを示唆します。未知の69%も同様の傾向とは限りませんが、既知の経路から、すべての通信チャネルのセキュリティ確保が重要であることが分かります。
-
サプライチェーン攻撃は可視性の欠如による連鎖的影響を示す
79件のサプライチェーン侵害が690の組織と7,830万人に影響を与えたことから、ITRCのデータはベンダー関係の可視性不足がリスクを指数関数的に拡大させることを示しています。組織は自社の枠を超えて、第三者とのデータ交換も含めた監視・制御能力の拡張が必要です。
-
包括的なデータ管理は予防と検知の両立を実現
完全な監査証跡、リアルタイム監視、行動分析を提供する最新プラットフォームは、セキュリティとコンプライアンスの双方のニーズに対応します。これらの管理策を導入することで、組織は受動的な侵害対応から、積極的な脅威検知と規制対応へと転換できます。
-
未知から制御へ：根本的な変革が不可欠
69%の未知問題の解決は、単なるセキュリティツールの追加ではなく、すべてのデータ移動を横断した統合的な可視性の確立です。組織は侵害が起こることを前提に、フォレンジック機能や包括的な監視を従来の予防策と並行して優先し、管理策を構築する必要があります。
可視性ギャップ：なぜ組織は自社の侵害を把握できないのか
69%の謎は、組織がデータを監視・制御する仕組みに根本的なギャップがあることを示しています。
システムの分断：データはメール、ファイル転送、クラウドストレージ、APIなど無数のチャネルを通じて移動します。多くの組織は、これら異なるシステムを横断した統合的な可視性を持っていません。各システムでログはあっても、中央集約型の監視がなければ、システムをまたぐ攻撃は見えなくなります。
第三者の死角：79件のサプライチェーン侵害が690の組織に影響を与えたことは、ベンダーにデータを共有した時点で可視性が失われることを示しています。データが自社の直接管理を離れると、従来のツールでは追跡がほぼ不可能です。PowerSchoolの事例は、1つのベンダーの脆弱性がエコシステム全体に連鎖するリスクを浮き彫りにしています。
ログの不十分さ：多くのシステムは基本的なアクセスログしか提供せず、フォレンジック調査に必要な詳細な監査証跡がありません。誰かがファイルにアクセスしたことが分かっても、何をしたのか、どこに送ったのか、行動が通常と一致していたかまでは分かりません。
受動的 vs. 能動的監視：組織は多くの場合、内部検知ではなく外部からの通知で侵害に気付きます。これは、監視が既知の脅威に偏っており、異常検知が不十分であることを示唆します。外部の兆候が現れた時点では、侵害のタイムラインが既に失われていることもあります。
より良いデータ管理による可視性の構築
69%の未知に対処するには、データライフサイクル全体を通じた可視性を提供する包括的なデータ管理が必要です。これは単一のソリューション導入ではなく、複数の管理策を連携させたエコシステムの構築です。
統合監査証跡：すべてのデータアクセス、移動、変更を中央集約型かつ改ざん防止のシステムで記録する必要があります。最新プラットフォームは、誰が何にアクセスしたかだけでなく、時刻、場所、デバイス、具体的な操作内容まで含めた完全な文脈を記録し、正確な侵害タイムラインの再構築を可能にします。
リアルタイム監視：静的なログだけでは不十分です。組織は、フォレンジック調査の何カ月も後ではなく、異常行動が発生したその瞬間に検知できる能動的な監視が必要です。パターン分析やベースラインとの比較、疑わしい活動へのアラート発報が求められます。
エンドツーエンド追跡：データ管理は、作成から削除まで、外部共有時も含めて情報を追跡する必要があります。データが自社環境を離れた後も可視性を維持できる技術の導入が不可欠であり、サプライチェーン攻撃の傾向を踏まえると特に重要です。
行動分析：AIによる攻撃が高度化する中、正規の認証情報を使った場合でも異常なパターンを検知できる管理策が必要です。これにより、セキュリティは受動的な対応から、能動的な脅威特定へと進化します。
セキュアなデータ交換の役割
セキュアなデータ交換だけですべての侵害を防げるわけではありませんが、Kiteworksのような最新プラットフォームのプライベートデータネットワークは、ITRCレポートで指摘された多くの可視性ギャップに対応しています。
完全な監査証跡：すべてのファイルアクセス、ダウンロード、共有が、ユーザー、時刻、場所、操作内容とともに記録されます。これにより、これらのチャネルを通じて移動するデータの「未知」要素が排除されます。従来型システムと異なり、フォレンジック調査に必要な完全な文脈が記録されます。
サプライチェーンの可視性：ITRCが報告する79件のサプライチェーン攻撃が690の組織に連鎖した事実は、ベンダーとの通信管理の重要性を示しています。セキュアな交換プラットフォームは、共有後も可視性と制御を維持し、侵害検知時には即時のアクセス取り消しや組織間をまたぐ監査証跡の提供が可能です。
異常検知：データアクセスのベースライン行動を確立することで、外部攻撃者や内部脅威による異常な活動を検知できます。この能動的な検知は、従来型セキュリティの弱点を補います。
コンプライアンス文書化：規制で具体的な侵害通知が求められる中、包括的な監査証跡により、組織は通知要件を満たし、適切な対応を証明できます。この自動記録により、調査時間や規制罰則のリスクが低減します。
コンプライアンスの必然性
ITRCの調査結果は、規制面でも重大な影響をもたらします。GDPRは72時間以内の詳細な侵害通知を義務付け、CCPAは関与した情報カテゴリの開示を求め、HIPAAは保護対象保健情報の侵害経路の文書化を要求しています。
69%の組織がこれらの詳細を提供できない場合、以下のリスクに直面します：
- 規制当局による調査や監視の強化
- 不十分な侵害通知による罰金の増加
- 調査期間の長期化（数週間から数カ月に及ぶ）
- 無能と見なされることによる評判リスク
- 被害者からの訴訟リスク
侵害の説明ができないこと自体が、訴訟において不十分なセキュリティ管理の証拠となります。原告側の弁護士は「知らない＝無関心」と主張し、陪審員や規制当局に強い印象を与えます。
包括的な可視性を提供する最新のデータ管理は、単なるセキュリティ対策ではなく、コンプライアンス維持のための生命線です。適切な監査証跡を持つ組織は、規制当局からの問い合わせにも数日で対応でき、技術的対策の妥当性や脆弱性特定後の明確な是正措置を示すことができます。
未知から制御へ
現在の69%の未知から包括的な侵害可視化へと進むには、従来型のセキュリティアプローチの限界を認めることが必要です。組織は「攻撃は見えるもの」と想定して防御を構築してきましたが、ITRCのデータはその前提が誤りであることを証明しています。
解決には、データセキュリティを根本から見直すことが求められます。
- 侵害は必ず起こると想定し、それに応じた可視性を構築する
- 予防だけでなくフォレンジック機能を提供する管理策を導入する
- すべてのデータ交換を監視が必要な潜在的脆弱性とみなす
- すべてのデータ移動・アクセス箇所を横断した統合的な可視性を確立する
この変革には技術だけでなく、組織としての可視性へのコミットメントが不可欠です。セキュリティチームはIT、コンプライアンス、事業部門と連携してデータフローを把握し、包括的な監視を実装する必要があります。経営層も、侵害発生経路が分からない状態は現代の規制環境では許されないことを理解しなければなりません。
結論：明確な解決への道筋
69%の侵害が未解明のままですが、解決への道筋は明確です。組織はデータライフサイクル全体を通じて可視性を提供する包括的なデータ管理を導入しなければなりません。これには、最新のセキュア交換プラットフォーム、統合監視システム、そして可視性を予防と並んで重視する組織文化が含まれます。
ITRCの2025年レポートは、「見えないものは守れない」という警鐘です。データ管理の強化によって可視性危機に対処することで、組織は「未知だらけの受動的な侵害通知」から、「状況を完全に把握した積極的なセキュリティ」へと進化できます。
問題は、自社が69%の「説明できない」組織に含まれるかどうかではありません。統計的には、ほとんどの組織が該当します。重要なのは、31%の「見える・理解できる・最終的に防げる」組織に加わるために必要な管理策を導入するかどうかです。
未知の69%の謎は、解決不能なままである必要はありません。これらの暗部に光を当てるためのツールや技術は既に存在します。今必要なのは、来年のレポートで新たな統計の一部となる前に、それらを実装する意志です。
よくある質問
ITRCの2025年上半期データ侵害レポートによると、1,732件中1,191件の侵害通知で攻撃経路の詳細が欠落しており、組織がIT環境全体で包括的なログ、監視、監査証跡を持っていないことが示されています。この可視性ギャップは、システムの分断、データ管理の不十分さ、外部共有後の追跡不足などが主な要因です。
特定された侵害の中で、ITRCは43%が被害者による詐欺でのPII共有、なりすまし攻撃が148%増加、アイデンティティ悪用の53%がアカウント乗っ取り詐欺（ATO）に関連していることを発見しました。さらに、79件のサプライチェーン攻撃が690の組織に連鎖しており、通信チャネルや第三者関係が重要な脆弱性となっていることを示唆しています。
ITRCは、79件のサプライチェーン攻撃が690の組織と7,832万240人に影響を与えたことを記録しており、PowerSchoolのような事例では、1件の侵害で7,190万人が被害を受けています。こうした連鎖的な失敗は、組織がベンダーにデータを共有した時点で可視性と制御を失い、下流の侵害を検知・防止できなくなることが主な原因です。
攻撃経路を特定できない組織は、GDPR（72時間以内の詳細通知）、CCPA（開示要件）、HIPAA（文書化義務）などの規制下で重大な法的リスクに直面します。ITRCの調査で69%が情報を欠いていることは、広範なコンプライアンス不備を示唆しており、罰金増加、調査長期化、評判リスクにつながります。
追加リソース