英国を代表するサイバーセキュリティ機関が警告を発しています。セキュリティチームは、ますます不安定化する世界を生き抜くために、連携を強化しサイバーレジリエンスを高めなければならないと言います。
6月2日にInfosecurity Europeで講演したNCSC（国家サイバーセキュリティセンター）の作戦部長ポール・チチェスター氏は、現在の脅威状況についての見解と、激動の時代においてリスクを管理するために組織が取るべき行動を語りました。
30年以上にわたって「サイバーセキュリティの軌跡」を見守ってきたチチェスター氏ですが、「今ほど、この先どうなるか見当がつかないと感じたことはないかもしれない」と率直に認めています。その背景には、技術変化、地政学的不確実性、そして脅威の進化が複合的に絡み合っています。
「サイコロも変数もあまりにも多く、最近はどんな予測もなかなか当たりません」と同氏は述べています。「仕事の面では、これまでで最も厳しい状況です」
関連記事：Infosecurity Europe: サイバーリスクの進化とともに、英国企業がAI脅威への備えを優先
チチェスター氏のこの発言と時を同じくして、ManageEngineが発表した新たなデータが公開されました。それによると、英国の組織の77%が過去1年間にサイバーインシデントを経験しており、これはヨーロッパ平均を11ポイント上回る数字です。
脅威の現状
チチェスター氏は、情報セキュリティの専門家には馴染み深いものの、早急な対処が求められるいくつかの懸念領域についても説明しました。
その一つが「超接続性」（ハイパーコネクティビティ）です。急速な勢いで拡大しており、防御側がIT環境全体を把握・管理することがますます難しくなっていると同氏は指摘しています。
もう一つはテクノロジーの変革スピードです。これが「社会的・文明的な大変革」を引き起こし、さらなる「膨大な不確実性」を生み出すとチチェスター氏は語っています。
「物事の速度を落とそうとしているという意味で、テクノロジー・セキュリティの専門家はかなり孤独な立場に置かれています」と同氏は付け加えました。「テクノロジストとして、それは本意ではありません」
チチェスター氏はまた、サイバーが「公然・秘密の国家行動」ツールとして活用される場面が増えていることにも警鐘を鳴らしました。ウクライナでロシアが展開しているようなハイブリッド戦争から、北京が在外コミュニティの特定グループに向けて行う越境弾圧まで、その範囲は多岐にわたります。
こうした課題に拍車をかけているのが、企業のIT環境の複雑化だとチチェスター氏は述べています。コードベースの寿命はわずか数週間から数か月程度になり、アプリは自律的に書き換えられ、AIがあらゆるものを変革しつつあります。
「アプリからハードウェアまで、自社のテックスタック全体を本当に理解している人がどれだけいるでしょうか？」と同氏は聴衆に問いかけました。「これは難しいことです。この不確実性をなんとか管理していかなければなりません」
ともに立ち向かう
チチェスター氏は参加者に向けて楽観的なメッセージも伝えました。攻撃的な手法を用いて「敵対勢力にコストを負わせる」ことを政府が受け入れるようになってきていると説明しました。
また、まもなく成立予定のサイバーセキュリティ・レジリエンス法案（CSRB）についても好意的なコメントを述べました。「法案の最終的な方向性について、私たちは非常に満足しています。非常に強力な基準が設けられようとしていることを楽観視しています」と語っています。
しかし、今後において鍵を握るのは官民の連携です。
「政府にできることには限界があります。これは集団的な取り組みです」とチチェスター氏は述べました。「今回は本気で申し上げています。今こそ行動すべき時です。私たちは力を合わせて取り組まなければなりません」
NCSCが訴える：今こそ行動のとき
脅威は日々変化・拡大していますが、ネットワーク防御者の助けとなる基本的なベストプラクティスはいくつか存在すると同氏は説明しました。
- 攻撃対象領域の縮小：「プラットフォームにアクセスできなければ、[攻撃者が]フロンティアAIモデルを利用することは難しい」とチチェスター氏は述べています
- レガシーシステムとシャドーITへの対処：すべての組織向けに高性能なペネトレーションテストやレッドチーミングを「民主化」するうえで、フロンティアAIが貢献できる領域です
- アクセス制御：ゼロトラストアプローチやアクセス管理の徹底。「今後、アイデンティティがすべての根幹となります」とチチェスター氏は述べています
- インシデント発生前の備え：インシデント対応訓練は特に重要であり、特に取締役会レベルで組織の対応態勢を「一変させる」可能性があるとチチェスター氏は語っています
「不確実性は行動を大きく阻み、確実性が訪れるのをただ待たせてしまうものです」とチチェスター氏は締めくくりました。「しかし今こそ行動すべき時です。しっかりと準備を整えてください。防御者として、私たちはまったく異なる世界に生きることになります。確実性を待ってはいけません。なぜなら、それは決して訪れないのですから」
翻訳元: https://www.infosecurity-magazine.com/news/ncsc-resilience-certainty-is-never/
