Menlo Security の調査から、英国の法律事務所ではサイバー攻撃に対処するためのトレーニングと準備が足りていないことが明らかになりました

英国ブラックネル、2022年5月23日：クラウドセキュリティのリーダーであるMenlo SecurityがIRN Researchに委託して行った調査で、ほとんどの回答者がサイバー攻撃によるレピュテーションへの影響を懸念しており、そのうちの 92% はその影響が悪い、あるいは非常に悪いものになることを認めていることがわかりました。また、法律事務所が業務を継続できなくなること (90%) や、データ流出のリスク (87%) についての懸念も見られます。

調査対象の4分の3以上 (77%) がパンデミック中にリモートワークへ移行しており、そのうちの56% の事務所は、移行のためにサイバーセキュリティ対策を変更またはアップデートしました。これらの法律事務所のうち、この新しい働き方に対応するためにサイバーセキュリティトレーニングをアップデートした企業は少数派 (45%) で、従業員のトレーニングとセキュリティ意識に課題が生じる可能性があります。

さらに、半数弱 (47%) の事務所では、パンデミック中にクライアント向けのデジタルサービスを導入しています。これらの追加サービスを導入した結果として、77% がサイバーセキュリティ対策もアップデートすることになりました。しかしその一方で、新しいサービスに対応するために追加のセキュリティトレーニングを実施したのは 47% のみでした。

英国の法律市場は約370億ポンド [1] の規模があるとされ、これらの法律事務所は大量の機密情報、財務文書、機密性の高いクライアントデータを取り扱い、処理しているため、サイバー犯罪者にとって魅力的なターゲットとなっています。IBMの「Cost of Data Breach Report 2021」[2] によると、プロフェッショナルサービス業界のデータ侵害の全世界の平均コストは465万ドルでした。

法律専門家の4分の1 (26%) が、サイバー攻撃を経験した法律事務所で働いています。回答者のうち、3分の1は攻撃によってサービスと業務が数時間行えなくなったと述べており、ほぼ5人に1人 (18%) が1日以上の遅延を経験しています。大多数の企業 (57%) は攻撃に対処するための準備を整えていますが、かなりの数 (43%) の企業で十分な準備ができていません。

公開された業界向けのガイダンスが活用されていない

過去18か月の間に、Solicitors Regulation Authority (SRA) とThe Law Societyの両方がサイバーセキュリティに関するガイダンスを発行し、適切なポリシーと手順を構築する方法について法律事務所にアドバイスしました。SRAは法律事務所へのコンサルテーションを開始し、法律事務所がサイバー攻撃を受けた場合の専門家保障ポリシーの範囲の明確化についてフィードバックを求め、その結果は昨年10月に公開されました [3]。

10人中6人以上 (64%) がSRAガイダンスの存在を認識しており、3分の2が協議について認識していますが、ガイダンスを読んだことがあるのは35% のみであり、コンサルテーション用ドキュメントを読んだことがあるのは41% でした。

The Law Societyのガイダンスに関しては、半数強(54%)がその存在を認識しているものの、実際に読んだことがあるのは3分の1に過ぎませんでした。

Menlo SecurityのVP Sales EMEAであるMike Eastは、次のように述べています。「私たちは、法律の専門家がサイバー攻撃に対処するために準備し、十分に体制を整えることを期待しています。彼らの仕事は非常に機密性が高く、オンラインでの法的文書の作成、共同作業、共有がますます増えているからです。」

「明らかなのは、新しい働き方への移行が進んでいるということであり、法律の専門家はしばしば複数の相手とやりとりしているという事実です。そのため、サイバー犯罪者にとっては重要な、そしてしばしば狙いやすい標的になります。Menlo Securityは最近、HEAT (Highly Evasive Adaptive Threats：高度に回避的で適応型の脅威) 攻撃が増加していることに注意を喚起しています。これは主に、従業員がクラウドアプリケーションにアクセスするブラウザーで多くの作業を行う、ハイブリッドおよびリモートでの業務が増えたことに起因します。HEAT技術は、攻撃者が企業の従来のネットワークセキュリティソリューションを迂回してネットワークに侵入するために使用されます。」

そして、次のように付け加えます。「法律業界はガイダンスやアドバイスを使って課題に対処していますが、未だに多くの人がそれに従っていないことが懸念されます。法律事務所は、裁定でもポリシーと手順を更新し、スタッフをトレーニングし、セキュリティスタックに潜む問題点を調べて、リモートおよびハイブリッドな業務の潜在的なリスクに対処する必要があります。」

その他の調査結果：

• 回答者のほぼ4分の3 (74%) が、クライアントへのフィッシングメールを法務サービス 業界全体に対する「脅威」または「重大な脅威」と考えており、60%は、これらのフィッシングメールが自身の法律事務所を狙った場合には同様の脅威レベルになると考えています。

• 全体的には、サイバーセキュリティ問題は、個々の法律事務所のレベルでは無く法務サービス業界全体にとっての大きな脅威と考えられています。例外は携帯電話関連のセキュリティ脅威で、60% が自身の法律事務所への「脅威」または「重大な脅威」と見なしているのに対し、法務サービス業界全体の問題と答えたのは54%でした。

• Webサイト上のランサムウェアとマルウェアについては、法務サービス業界にとって大きな脅威ではないと考えているのは回答者の3分の1 (37%) でした。Web サイト上のマルウェアやランサムウェアが個々の法律事務所にとって脅威ではないと考えている回答者はさらに少なく、35% です。

• 3分の1以上 (37%) は、会社のサイバーセキュリティ対策が生産性に影響を与えたことを示唆していますが、約半数 (51%) は影響がないと感じています。

• 回答者の3分の1は、サイバー脅威を特定して報告することに「責任がある」と感じており、28% は「非常に責任がある」と感じています。これらの脅威を特定して報告することは自分の責任ではないと考えているのは、5人に1人 (19%) でした。

• 回答者の半数強 (52%) が、サイバーセキュリティ専任の担当者がいる企業に勤務していますが、38% の企業には専任の担当者が居ません。

調査方法

2022年3月、IRN ResearchはMenlo Securityから委託を受け、英国の150人の法律専門家を対象に独立した調査を実施しました。これらの専門家はオンライン調査で、自身の法律事務所および一般的な法律サービス部門のサイバーセキュリティに関する質問を受けました。調査サンプルは主に英国内の年間売上高が1,000万ポンドから1億ポンドを超える法律事務所の法律専門家で、英国のトップ100からの22社が含まれます。より小さなサブのサンプルには、15人の社内法律専門家が含まれています。

[1] https://www.businesswire.com/news/home/20210429005544/en/United-Kingdom-Legal-Services-Market-Report-2021-Revenue-on-Hold-in-2020-but-Annual-Growth-of-Over-4-Forecast-for-2021—ResearchAndMarkets.com#:~:text=The%20UK%20legal%20services%20market,in%202020%2C%20unchanged%20from%202019.
[2] https://www.ibm.com/uk-en/security/data-breach
[3] https://www.sra.org.uk/globalassets/documents/sra/consultations/combined-responses-pii-cybercrime.pdf?version=4a9ff4

IRN リサーチについて

IRN Research (社名はIRN Consultants Ltd) は、フルサービスの市場調査コンサルタント会社であり、法務サービス業界の市場調査および分析サービスを提供してきました。クライアントには、法律事務所、その他の法律サービスプロバイダー、規制当局、および法律業界へのさまざまなサプライヤーが含まれます。英国を拠点とする小規模な研究プロジェクトや、多国間の大規模な研究プロジェクトが必要な場合は、当社がお手伝いします。机上リサーチ、電話/オンライン調査、対面インタビュー、フォーカスグループなど、さまざまな市場調査手法を使用し、完全な結果分析を提供します。クライアントのニーズに応えて、私たちはデータを超えて、実行可能なインサイトをクライアントに提示します。また、英国の法律部門に関するさまざまな年次市場レポートを発行し、この部門の傾向を監視するための独自のリソースを提供しています。

MenloSecurityについて

Menlo Securityは、Webドキュメントや電子メールを介する脅威を阻止することで、マルウェアサイバー攻撃から組織を保護します。Menlo Securityのクラウドベースアイソレーションプラットフォームは、あらゆる規模の企業を包括的に保護する拡張性を備えています。エンドポイントソフトウェアを導入する必要はなく、エンドユーザーの操作性を損なうこともありません。Menlo Securityは、Fortune 500企業や世界の10大金融サービス機関のうち8社を含む大手グローバル企業の信頼を得ており、Vista Equity Partners、Neuberger Berman、General Catalyst、American Express Ventures、Ericsson Ventures、HSBC、JPMorganから出資を受けています。Menlo Securityは、カリフォルニア州マウンテンビューに本拠を置きます。詳細については、https://www.menlosecurity.com/ja-jp/をご覧ください。