セキュア・バイ・デザインのビデオ会議製品は、顧客からの信頼や事業の継続性を確保するうえで欠かせない存在です。しかし、いくら安全であっても使いやすくなければ、組織にとっては骨折り損に終わってしまいます。
ビデオ会議のセキュリティは、もはやITチェックリストの中の単なる一項目ではなくなりました。
IDCの調査によると、企業がこうした製品を選定する際に最も重視する購入基準は「セキュリティ」(31パーセント)であり、「価格」(26パーセント)や「品質」(25パーセント)を上回っているといいます。詳細な調査結果はこちらで確認できます。
つまり、セキュリティとプライバシーはもはや選択肢の一つではないのです。むしろ、それらは効果的な会議室ソリューションの根幹をなすものであり、安全で統一された共同作業を支える基盤といえます。
Barco社のClickShareでマーケティングディレクターを務めるYannic Laleeuwe氏も、この見方に同意しています。同氏によれば、コラボレーションおよびビデオ会議ソリューションは「ミッションクリティカルな業務システム」へと変貌を遂げました。重要なネットワークやクラウドサービス上で稼働しながら、機密性の高い企業情報を大量に処理しているためです。
Laleeuwe氏は次のように説明します。「過去のセキュリティインシデントに加え、COVID-19パンデミック以降のハイブリッドワークの急速な普及により、こうしたプラットフォームの脆弱性がデータ侵害、業務の中断、規制上のリスク、そして顧客の信頼喪失につながりかねないことが明らかになりました。その結果、セキュリティは単なる技術的な検討事項から、世界中の組織にとっての戦略的な調達・ガバナンス上の優先事項へと進化したのです」
IDCの調査では、企業が抱える最大のセキュリティ上の懸念はサイバー攻撃者にさらされることであり、これはマルウェアの拡散(47パーセント)などのインシデントにつながるとされています。次に多いのが、パッチや更新プログラムの未適用によってデバイスがコンプライアンス基準を満たさなくなること(39パーセント)。3番目には、意図的か否かにかかわらずデータ漏えいを招きかねない従業員のリスクの高い行動(37パーセント)が挙げられています。
こうした問題は、会議室が高度に接続され分散した空間へと進化したハイブリッドワーク環境において、特に深刻な課題となります。従業員は今や、どこで働いていようとも業務アプリケーション、データ、コラボレーションツールへ即座にアクセスできることを当然のように期待しています。
拡大する攻撃対象領域
こうした要求は、会議室テクノロジーの潜在的な攻撃対象領域を押し広げます。ユーザー、デバイス、クラウドサービス、自宅ネットワーク、コラボレーションプラットフォームはすべて、企業ネットワーク上のエンドポイントと化します。その多くはそもそも企業のIT環境で運用されることを想定して設計されていないため、攻撃者にとって格好の侵入口となりかねません。
Laleeuwe氏は次のように指摘します。「コラボレーションソリューションは企業システムに接続されており、知的財産、戦略的な議論の内容、顧客データなど機密性の高い情報を頻繁に処理することから、特に狙われやすい標的となっています」
IT管理の分散化が行き過ぎると、状況はさらに悪化します。
Laleeuwe氏はこう付け加えます。「組織がハイブリッドワークや分散型のITモデルを採用するにつれ、各地域のチームがそれぞれ異なるテクノロジー、構成、プロセスを導入する可能性があるため、一元的な可視性とガバナンスの維持がますます難しくなっています」
同氏は、事業の機動性や地域ごとの要件に対応するため、一部の運用上の責任をローカルレベルで管理すべき場合があることは認めています。しかし、完全な分散化はセキュリティ管理の一貫性の欠如、リスク管理の断片化、そして企業全体にわたるサイバー脅威の検知・対応能力の低下を招くことが多いと警告します。
高まる世界的な規制の圧力
これに加えて、セキュリティおよびセキュリティ技術に対する国際的な規制の圧力は、法規制の状況をますます複雑にしています。政策立案者や業界団体が、サイバーインシデントが重要インフラサービス、国家安全保障、さらには経済の安定性そのものを脅かしかねないと認識するようになったためです。
欧州だけを見ても、立法機関は数多くの法的枠組みを導入しています。その一つが欧州連合(EU)のNetwork and Information Security 2(NIS2)指令であり、18の重要分野にわたる中規模から大規模の組織に対して、厳格なリスク管理とインシデント報告を義務付けています。
その他にも、無線機器をサイバー攻撃から守ることを目的としたRadio Equipment Delegated Actや、ネットワークに接続するハードウェアやソフトウェア製品を購入する企業や消費者を保護するCyber Resilience Actといった法規制があります。
ISO/IEC 27001のような国際標準も、情報セキュリティとリスク管理のベストプラクティスを定義しており、組織に対して業務上の信頼を築くための枠組みを提供しています。
つまり、組織は今やガバナンス、リスク管理、サプライチェーン管理、インシデント対応といった主要な活動全般にわたって、セキュリティへの配慮を組み込む必要に迫られているのです。
また組織は、自社の技術ベンダーが設計・開発から導入、そして製品寿命に至るまでの製品・サービスのライフサイクル全体を通じてセキュリティを統合していることを確認する必要もあります。規制に準拠していないコラボレーション・ビデオ会議技術は、もはや単なる組織的リスクにとどまらず、実用に耐えないものとなりかねません。
事業を行うための前提条件としてのセキュリティ
Laleeuwe氏によれば、その結果としてサイバーセキュリティは「任意のベストプラクティスから、法的・事業上の義務へと進化し、市場参入、顧客からの信頼、業務の継続性、そして長期的な競争力を得るための前提条件」になったといいます。
とはいえ、コンプライアンス遵守と強固なセキュリティ体制の実現は、特にハイブリッドな職場環境において、使いやすさを犠牲にしてまで追求すべきものではありません。コラボレーションツールが複雑すぎる、あるいは制約が多すぎると受け止められれば、従業員は抜け道を見つけようとするようになり、組織のセキュリティリスクはむしろ低下するどころか高まってしまいます。
この問題に対処するため、IT部門はいくつかの要素を慎重に検討する必要があります。人的側面から見た最大の課題は、行動面にあります。
Laleeuwe氏は次のように説明します。「ユーザーは本来、利便性を求めるものです。そのため、生産性を損なうことなく安全な行動を促すには、継続的なセキュリティ意識の向上、トレーニング、そして強固なセキュリティ文化が不可欠となります」
明確で透明性があり、しっかりと定義されたプロセスも同様に重要です。組織全体でセキュリティおよびコンプライアンス要件が一貫して理解され、実行されることを保証するためです。
セキュア・バイ・デザインが重要な理由
技術的な観点からは、境界防御型のセキュリティから脱却し、あらゆるユーザー、デバイス、接続を継続的に検証・保護するゼロトラスト型のアプローチへと軸足を移すことが求められます。
製品設計の観点でも同様に、会議室テクノロジーがセキュア・バイ・デザインの原則に基づいていることが極めて重要です。これにより、規制に準拠した最先端のセキュリティ管理機能が、後付けではなく当初からシステムに組み込まれることになります。
Laleeuwe氏は次のように述べています。「セキュア・バイ・デザインは脆弱性の発生可能性とその影響を低減し、新たに登場するサイバーセキュリティ規制への準拠を簡素化するとともに、顧客からの信頼を強化します。また、設計・開発段階でセキュリティ上の問題を特定し解決するほうが、導入後のインシデント対応、製品回収、セキュリティ侵害への対処に比べてはるかに効率的で低コストであるため、総所有コストの削減にもつながります」
Barco社のClickShareは、ワイヤレスビデオ会議・プレゼンテーション・コラボレーションソリューションであり、まさにこのアプローチを体現する典型例です。Barco社は、セキュアなアーキテクチャ設計とコーディングを基盤として、この製品をゼロから開発しました。
同製品には、新たに公表された脆弱性を継続的に監視し、リスクに基づいたセキュリティ更新プログラムを発行するプロアクティブな脆弱性管理機能も備わっています。このプロセスにより、既知および今後発生しうる脅威の両方に対するシステムの露出を減らすことができます。
こうしたセキュリティ更新プログラムの自動展開により、メンテナンスが簡素化され、組織は大規模なデバイス群を一貫して保護しやすくなります。ユーザーは、何か問題が起きた際に技術管理や専門のサイバーセキュリティ専門家の呼び出しに気を取られることなく、目の前の作業に集中できます。
Laleeuwe氏は次のように指摘します。「その利点は、セキュリティが大部分バックグラウンドで処理されることで、ヒューマンエラーのリスクが軽減され、導入が進みやすくなり、システム管理ではなく生産的なコラボレーションに人々が集中できるようになる点です。つまりClickShareは、エンドユーザーの負担を最小限に抑えながら、効果的な保護を提供しているのです」
変化するセキュリティの状況
これが重要な理由について、同氏はコンプライアンスが今や組織、その技術ベンダー、インテグレーター、そしてさらに広範なサプライヤーのエコシステムにまで及ぶ、共有された責任になっているからだと説明します。
例えば組織は、たとえそれが従来の姿勢からの転換を必要とするものであっても、自らの環境を安全に運用・統治する責任を負わなければなりません。
Laleeuwe氏は次のように説明します。「これがIT部門に意味するのは、単なる運用上のサービス提供者にとどまらず、組織全体で共通のセキュリティ標準、ポリシー、監視、監督体制を確立するガバナンス・調整機能へと進化しなければならないということです」
一方、技術ベンダーは、製品ライフサイクル全体を通じて安全な製品を提供し、維持する責任を負っています。また、自社プラットフォームのソフトウェアコンポーネントに存在する脆弱性を監視し、タイムリーにセキュリティパッチを提供するとともに、関連するセキュリティリスクを顧客や下流のパートナーに透明性をもって通知するという重要な役割も担っています。
最後にインテグレーターは、現行のセキュリティおよびコンプライアンス要件・ガイドラインに沿ってソリューションを導入・構成する責任を負っています。
Laleeuwe氏は言います。「技術スタック全体を単独で完全に掌握できる当事者は存在しません。だからこそ、安全でコンプライアンスに準拠した環境を維持するには、サプライチェーン全体のセキュリティと協力体制が不可欠なのです。したがって最も効果的なアプローチとは、透明性のあるコミュニケーション、脆弱性の開示、そして連携したリスク管理に支えられながら、すべての当事者間で責任を明確に分担することにほかなりません」
セキュリティを成功させるためのもう一つの要素は、明確な説明責任、セキュリティ意識、サイバーセキュリティに対する責任の共有といった組織的な取り組みを、資産、脆弱性、コンプライアンス、セキュリティイベントを一元的に可視化するテクノロジーと組み合わせることです。
Laleeuwe氏は次のように結論づけています。「この統合的な視点によって、組織は現場チームに必要な柔軟性を維持しながら、企業全体にわたるリスクをより的確に理解し、測定し、管理できるようになります。最も効果的なアプローチとは、現場の運用上の自律性と一元的なガバナンスとのバランスを取り、業務効率を損なうことなく、一貫したセキュリティ、コンプライアンス、そして戦略的な統制を確保することなのです」
本記事はBarco社の提供によるスポンサード記事です。
