最近、国内外で発生した主要なランサムウェア事故を分析してみると、共通点があります。大部分の攻撃が、すでに知られている脆弱性を介して開始されたという点です。攻撃者たちは、セキュリティアップデートが適切に行われていない仮想プライベートネットワーク（VPN）機器、公開されたリモートアクセスサービス、脆弱な認証体系など、「基本」が守られていない部分を正確に突いてきました。 

企業は、既知の脆弱性にさらされたVPNを、パッチアップデートを適用せずに運用しています。VPNは外部から内部ネットワークへと繋がる関門であるため、最新のセキュリティパッチの適用と継続的なモニタリングが不可欠です。 

企業内の一部管理者アカウントが必要以上の権限を保有している事例が多く見られます。特定のサーバーの管理者権限が、他のシステムにアクセスできる経路となっています。最小権限の原則を再点検する必要があります。   

独立した環境でのバックアップサーバーの運用が機能していません。アクティブディレクトリ（AD）環境でバックアップサーバーがリアルタイム接続されており、攻撃者がアクセス可能なケースが多くあります。こうなると、攻撃者がバックアップにアクセスし、復元すら不可能な状態にしてしまいます。バックアップは物理的・論理的に分離された独立した環境で管理されるべきですが、基本原則が守られていません。 

セキュリティセキュリティ監視サービスの運用が不十分です。企業において外部ログの収集およびモニタリングシステムが正常に動作していないケースが多く見られます。攻撃者が最初の侵入後に、いくつかの段階の疑わしい活動を行っても検知されませんでした。これは、攻撃者が企業内部で絶えず側面的移動（Lateral Movement）を行うのを、そのまま放置したことになります。