脅威とは、危害を及ぼす可能性のあるあらゆるものを指します。セキュリティにおいては、脅威は様々な方向からやってきます。サイバー犯罪者は金銭を、国家は諜報活動を、ハクティビストは注目を集めることを、内部関係者は復讐や利益を狙います。自然災害や事故は、意図せずとも被害をもたらします。脅威と脆弱性は同じではありません。脆弱性は弱点であり、脅威はそれを悪用するものです。ハリケーンは脅威であり、海面下に建設されたデータセンターは脆弱性です。これらが合わさってリスクを生み出します。

脅威は時間とともに変化します。ランサムウェアは10年前にはほとんど存在しませんでしたが、今では数十億ドル規模の犯罪産業となっています。サプライチェーン攻撃は稀でしたが、2020年のSolarWindsの情報漏洩事件で経営陣の懸念事項となりました。新しいテクノロジーは新たな脅威を生み出します。IoTデバイスは攻撃対象領域を拡大させ、クラウドの設定ミスは新たな経路を開き、リモートワークは境界を崩壊させました。脅威の追跡はフルタイムの仕事です。脅威インテリジェンスフィード、ベンダーのアドバイザリ、業界団体など、あらゆる情報源から情報を得ることができます。目標は脅威を排除することではありません。それは不可能です。目標は、どの脅威が最も重要かを理解し、それに応じて準備することです。これまで考慮したことのない脅威は、防御できない脅威です。最初のステップは、その脅威に名前を付けることです。

脅威のカテゴリー

• サイバー犯罪者 - 金銭目的の攻撃
• 国家 ― スパイ活動と破壊工作
• インサイダー — アクセス権限を持つ従業員または契約社員
• ハクティビスト ― イデオロギー的動機に基づく
• 環境問題 ― 自然災害および事故

脅威は、脆弱性に到達できる場合にのみ問題となる。脆弱性を取り除けば、脅威は標的を失う。