ITセキュリティに対してよりポジティブな視点を持つことで、より良い結果が得られることがあります。セキュリティ意思決定者が早急に捨てるべき考え方についてご紹介します。
間違ったセキュリティマインドセットに囚われていませんか？
写真：Paul Craft – shutterstock.com
サイバーセキュリティ分野の仕事が高いバーンアウトの可能性を持つことは、もはや秘密ではありません。セキュリティプロフェッショナルの環境は、主に日々高まる要求に応えなければならないという（感じられる）プレッシャーに満ちています。その原因はさまざまですが、主にセキュリティについての考え方に起因します。良いニュースは、有害なマインドセットを特定できれば、それを変え、自分自身やチームをより成功しやすい状態に導くことができるということです。
サイバーセキュリティは高度に技術的な分野であり、ある意味では厳密な科学です。しかし一方で、心理学や道徳の要素にも大きく影響されます。最終的にITセキュリティがどれだけ効果的かは、この分野の専門家や意思決定者のマインドセットや信念にも左右されます。
もしあなたが以下の6つのマインドセットのいずれかを持っているなら、より健全なセキュリティ環境を育むために、意識的な取り組みが必要です。
1.「セキュリティはゴールである」
特に厄介なセキュリティマインドセットは、セキュリティが始点と終点のある旅だと考えることです。この考えに（できれば）意識的に至ることはないでしょうが、プロフェッショナルはそれが継続的な課題であることを理解しています。しかし無意識のうちに、特定のタスクが完了したときに、一時的な無活動に陥ることがあります。
しかしそれは、チーム全体に不要なストレスを生むだけです。終わりがあると思い込むと、やるべきことがまだあると分かったときに、微妙な失望感や失敗感が生まれます。あなた（とチーム）が落ち着くのは、セキュリティが継続的なプロセスであることを受け入れたときです。
2.「ITセキュリティはプロだけのもの」
セキュリティが専門家だけの手に委ねられているという考えは、2つの不幸な結果をもたらします：
-
他のすべての従業員が、少なくとも感覚的に、責任から解放されてしまう。
-
セキュリティプロフェッショナルが、知らず知らずのうちに孤軍奮闘の役割に追い込まれる。
ソフトウェア開発者は、ライフサイクルのあらゆる段階でセキュリティを意識すべきであり、納品時だけに考えるべきではありません。これは他のすべての従業員にも当てはまります。意識があってこそ、サイバー攻撃のリスクを最小限に抑えることができます。
もちろん、セキュリティの専門家にはリーダーシップや指導的役割が求められます。しかし最終的には、すべての従業員が企業のセキュリティに貢献できると感じるべきです。共同作業は、一体感を強める効果もあります。
3.「セキュリティはどんどん難しくなるだけ」
古典的なシーシュポスの課題ほど、やる気を失わせるものはありません。セキュリティに関しては、この印象を持ちやすいものです。サイバー犯罪者はますます巧妙になり、より高度なツールを使い、守るべきデジタルインフラはますます広範かつ複雑、そして相互接続が進んでいます。
実際には、ホワイトハットとブラックハットの戦いは常に一進一退です。ランサムウェアの現象は良い例です。一時期、暗号化型トロイの木馬が蔓延するかに見えましたが、今ではセキュリティ業界が進化し、目に見える形で反撃しています。
ITセキュリティの循環的な性質を受け入れることで、リラックスと警戒のバランスを取る姿勢を持てるようになります。メンタルバランスこそが、長期的な（セキュリティ）成功の鍵です。
ITセキュリティに関するさらに興味深い記事を読みたいですか？私たちの無料ニュースレターでは、セキュリティ意思決定者や専門家が知っておくべきすべての情報を、直接あなたの受信箱にお届けします。
4.「セキュリティは製品である」
ITセキュリティは、独立した機能や追加製品として、基盤となるインフラの上に「被せる」もの、あるいは最終的に完成して納品される「モノ」として見なされがちです。これは、かつて品質が独立した別個の要素と見なされていたのと少し似ています。アリストテレスの言葉を借りれば「品質は行動ではなく、習慣である」のです。
同様に、セキュリティも品質と同じく完成品ではなく（すでに述べたように）継続的な取り組みです。セキュリティを常に磨き続けるべき実践と考えることで、そのためのエネルギーが生まれます。成長の余地が継続的にある分野で働き、自分のスキルを存分に発揮できることを幸運だと捉えるべきです。このマインドセットを身につけたら、全社で共有しましょう。
セキュリティは決して製品のように納品されるべきではありません。それは付随するものや補助ツールではなく、むしろ文化と意識的な行動の推進力であるべきです。要するに、ITセキュリティは日々の業務の一部であるべきなのです――個人レベルでも組織レベルでも。
5.「犯罪者がセキュリティを主導している」
常に火消しに追われているセキュリティプロフェッショナルは、サイバー犯罪者が主導権を握っていると感じがちです。このような受け身のITセキュリティ観は、フラストレーションや無力感を生みます。
実際には、企業が主導権を握っています。なぜなら、犯罪者にとって魅力的な資産を持っているのは企業だからです。攻撃者を過小評価してはいけませんが、セキュリティを推進するのはビジネス側なのです。
6.「100パーセントでやっと十分」
良いセキュリティには測定可能な要素が必要です。「Mean Time to Detect（MTTD）」のような指標は、状況のモニタリングやプログラムの有効性の測定を可能にします。しかし、すべての指標が常に良い方向――あるいは「完璧」な領域――に向かうべきだという考えに囚われると、現実を歪めた指標になってしまいます。
むしろ、指標はゴールに導く道しるべと考えるべきです。重要なのは、必要なステップを踏み、物事を正しい方向に導くための対策を講じることです。測定結果と真摯に向き合うことが不可欠です。（fm）
ニュースレターを購読する
編集部からあなたの受信箱へ直接お届け
まずは下にメールアドレスを入力してください。