次世代セキュリティを実現する、揺るぎない基礎力

リスク管理は昔から難しい仕事でしたが、現在の脅威環境はその難易度を新たな次元へと引き上げています。私はHyattやユナイテッド航空をはじめとする大企業でサイバーセキュリティを長年率いてきましたが、その間にサイバー犯罪者たちが創造性を高め、革新的な手口や技術を駆使して攻撃を仕掛けてくる様子を目の当たりにしてきました。同時に、セキュリティ専門家たちが「新しく登場した手口に対応するには、最新のツールが必要だ」と思い込んでしまう過ちも数多く見てきました。しかし実際に成果を左右するのは、基本的な統制策を確実に使いこなすことなのです。

新しいツールが魅力的で革新的に見えるのは無理もないことです。しかし、そうしたツールは、基礎をしっかり固めることに比べれば効果が薄いことが少なくありません。例えばAIの活用は組織に本当の価値をもたらしますが、それが効果を発揮するのはセキュリティの基本という揺るぎない土台の上に構築されている場合に限られます。四半期ごとに高額な新しいセキュリティツールを次々と導入することに予算を費やすのはやめましょう。攻撃者の成功率に実際かつ測定可能な影響を与える基礎的なセキュリティ能力を強化することで、投資に対する本当のリターンを得られます。

ここでは、その条件に当てはまる5つの領域を紹介します。

1. 資産の発見・管理を強化し、可視性を確保する

現代の企業を悩ませる最も厄介な問題の一つが、可視性の欠如です。デジタル環境内で資産がどこに存在しているかが分からなければ、それを保護することはできません。そもそもその資産の存在自体を把握していなければ、問題はさらに深刻になります。

今日の企業は、オンプレミスのサーバー、クラウド(およびマルチクラウド)環境、個々のデバイスやエンドポイント、サードパーティ製アプリケーション、そのほか数え切れないほどの潜在的な攻撃対象を保護する必要があります。これらのシステム内に存在するすべての資産について、最新かつ継続的に維持されるインベントリを持っていなければ、企業を不必要なリスクにさらすことになります。

つまり、すべてのデジタル環境を網羅する包括的な発見プロセスに取り組むことが、より高いセキュリティを実現するための重要な第一歩となります。大企業で働いてきた経験から、私は資産管理の重要性をより深く理解するようになりました。物理資産・デジタル資産のインベントリは、組織内のあちこちに散在していることが多いものです。私が挙げた最大の成果の一つは、(1)どのプラットフォームを唯一の信頼できる情報源とすべきかを特定し、(2)それらのデータポイントを統合し、データの正確性を確保しながら適宜更新していくことで、これらを一つにまとめ上げたことです。

2. IDをより効果的に管理する

セキュリティリーダーたちは「IDが新たな境界線である」と、もう10年近く言い続けています。それでもID管理は依然として見過ごされたり、当然のものとして軽視されたりしています。これは実に深刻な問題です。というのも、今日の一般的な組織は、数万から場合によっては数十万にも及ぶ人間のID、マシンID、アプリケーション、AIエージェント、そのほか数え切れないほどの種類のIDを管理しているからです。

私がHyattで働いていた頃、常勤スタッフやパートタイム労働者、契約社員などに加えて、絶えず入れ替わる訪問者のIDまで管理することがいかに困難であるかを、身をもって経験しました。この規模になると手作業での管理は不可能であり、効果的なIDプラットフォームが不可欠になります。

私はチームに対して、まず最も基本的なセキュリティ対策を確実に導入するよう指示しています。例えば、多要素認証(MFA)がIDの侵害の可能性を大幅に下げることは、何十年も前から分かっています。MFAはすべての問題を解決する魔法の杖ではありませんが、研究によればMFAを導入したアカウントは 99%侵害されにくくなることが分かっています。私個人としては、さらに一歩進めてパスキーを導入することをお勧めします。パスキーは さらに高い効果を持つことが実証されており、パスワードを記憶し入力する手間も解消してくれます。セキュリティ強化策の中には、かえって余計な手間を生んでしまうものもありますが、これはその逆であり、双方にとって望ましい結果をもたらします。

3. セキュリティへの取り組みを適切な規模に調整する

多くの組織が「最先端」のセキュリティ技術を追い求めることに躍起になっていますが、自社の事業が本当に必要としているものを見極めることが重要です。それには、まず自社のリスク許容度を定めることから始める必要があります。

自社の「クラウンジュエル」と言える製品やサービスは何でしょうか。アクセスを失うことが決して許されないデータは何でしょうか。それらの領域への影響を防ぐことを最優先事項とし、注意の大半をそこに集中させるべきです。そこから段階的に下位のレベルへと進み、個々のリスクに優先度のランクを割り当て、どれが許容範囲内で、どれがそうでないかを判断していきます。

組織の規模の大小は問題ではありません。組織内のあらゆる階層で理解し、消化できる共通のセキュリティフレームワークを構築することが不可欠です。これにより、自社のセキュリティプログラムがどの程度うまく機能しているかを明確に把握できるようになります。まずは小さく始め、CIS CSCのような広く使われているフレームワークを活用して議論の出発点としましょう。そこから、うまく機能している部分とそうでない部分を見極めながら、基盤を強化していきます。

どの組織も、事業のリスク許容度に基づいてリスクを取っています。私たちに必要なのは、何を優先すべきかについて情報に基づいた判断を下すためのデータです。

4. レジリエンスと復旧を優先する

セキュリティとリスク管理はかつて防御に重点を置いていましたが、今日の脅威環境ではそれだけでは不十分です。今日の複雑で広範囲に及ぶデジタル環境の性質を考えれば、十分な時間とリソースがあれば、決意を固めた攻撃者は必ず突くべき脆弱性を見つけ出してしまいます。だからといってセキュリティチームが防御を放棄すべきというわけではありません――攻撃者にとってできる限り攻めにくい状況を作ることは常に有効です――しかし、それは同時にレジリエンスと復旧も優先すべきであることを意味します。

それには、侵害に対応するための適切なシステムとプロセスを整えることから始める必要があります。進行中の侵害を早く見つけられれば、それだけ早く食い止めることができます。しかし最悪の事態が発生し、組織が深刻な侵害を受けてしまった場合には、復旧計画を備えていることも欠かせません。システムとデータの両方について安全なバックアップを用意することは必須ですが、技術だけでは十分ではありません。適切なプロセスを整え、それを実際に実行してみる練習を積んでおく必要があります。あまりに多くの組織がこの重要なステップを見落としており、危機に際して従業員が何をすべきか分からなくなってしまうのです。

5. 共通のセキュリティ言語を作る

少し抽象的に聞こえるかもしれませんが、これはおそらく最も重要なステップです。組織がリスクをより効果的に管理する上で最大の障害になっているのは、多くの場合、セキュリティ側とビジネス側とのコミュニケーション不足です。ビジネスリーダーは特定のセキュリティリスクの詳細を理解するための技術的専門知識を欠いていることが多く、一方でリスク管理の専門家も必ずしも事業の言葉を十分に理解しているとは限りません。このコミュニケーションのギャップを埋めることが不可欠です。

セキュリティおよびリスク管理チームにとって重要なのは、リスクを意味のある形で定量化することであり、可能な限り金額換算した価値を示すことです。実際に発生していない侵害やセキュリティインシデントのコストを見積もるのは確かに難しいものですが、想定される事業損失、規制上の罰則、レピュテーションへの損害といった要素に基づき、リスクに価値を割り当てるための説得力のある指標は存在します。

セキュリティの基礎という強固な土台を築く

AIの急速な普及は、あらゆる業界において前例のない可能性を切り開いていますが、どれほど最先端の技術であっても、それ単独ではすべての問題を解決することはできません。サイバーリスクを本当に意味のある形で低減したいのであれば、セキュリティの基礎という強固な土台を築く必要があります。それは、可視性のギャップを特定し、レジリエンスを優先し、部門間のコミュニケーションを改善するといった、セキュリティの最前線における「地味な」作業を積み重ねることを意味します。

長年CISOを務めてきた者として言わせてください。セキュリティは決して華やかなものではありませんし、そもそも華やかであるべきものでもありません。露出を減らし、デジタル環境の安全を維持するために取るべき最も効果的な行動は、実際の攻撃者が日常的に悪用している脆弱性に、地道に取り組むことなのです。