2023年、米国経済が直面する逆風がどれほど厳しいものになるかは、誰にも予測できません。 経済学者の間では、この国が景気後退に向かっているという点で、広く一致した見解が示されています。 もちろん、一部の予測専門家は米国経済のソフトランディングを予測していますが、そうした見方は主流ではありません。
経済学者たちは景気後退の予測をしばしば外してしまいますが、今月初めには、はるかに信頼性の高い指標が明らかに危険信号を発していました。 イールドカーブ、つまり長期債と短期債の利回りの差です。 10年物国債利回りと3カ月物国債利回りの差は、 2000以来の最大幅となり、今後の成長ペースが現在よりも大幅に鈍化することを示唆しています。
こうした不確実性のすべてが、経営陣を苦境に追い込んでいます。 サイバーセキュリティ分野でさえ予算削減に直面する可能性がありながらも、 規制上の圧力 や サイバー犯罪 が増加し続けている中、企業は機動性を維持する必要があります。 景気後退期は、セキュリティ関連の支出を削減するのは難しい時期である一方、組織の備えを弱めてしまうようなミスを犯しやすい時期でもあります。
CISOの皆様が今後1年間に起こりうるあらゆる事態に備えられるよう、『 』のフォーカルポイントである は、これまでのキャリアを通じて経済の好不況を数多く経験してきたベテランのセキュリティリーダー数名に取材を行い、厳しい状況下でセキュリティ幹部が犯しがちな過ちについて尋ねました。
以下は、彼らが組織に対して避けるよう助言したよくある間違いです。
間違いその1：うっかりセキュリティ機能を削ってしまうこと
IT部門の人員削減が行われる際、セキュリティ運用部門も不必要に削減の対象となることがよくあります。 被害に遭う原因となるのは、定期的なバックアップの実行や、各ユーザーに適切なリソースが割り当てられていることを確認するといった、不可欠な作業である場合があります。
「多くの企業がセキュリティ予算をIT予算の一部として計上しており、その意味で、セキュリティの一部には打撃が及ぶことになるでしょう」と、Damovo Security Services EMEAのマネージング・ディレクター、ウィム・レメス氏は述べています。
「盲目的に予算を削減し、現場の人々にその余波を処理させるのは大きな間違いです。」マーシュの上級副社長兼サイバーセキュリティ専門家、デビッド・エルフェリング氏
こうした削減は、無差別で、対象の選定が不十分な場合があります。 「やみくもに予算を削減し、現場の担当者にその余波を処理させるのは大きな間違いです」と、サイバーセキュリティの専門家であり、世界的な保険ブローカー兼リスクアドバイザーであるマーシュ社のシニアバイスプレジデント、デビッド・エルフェリング氏は警告しています。
人員削減や組織再編に直面した際、セキュリティ責任者は、影響を受けるスタッフがどのようなセキュリティ業務を担当しているかを把握し、変更後もそれらの業務が引き続き遂行されるよう確保する必要があります。
Mistake 2: Continuing to spend on outdated tools
セキュリティへの投資には、しばしば最悪の「慣性」が伴います。かつてのような価値を提供できなくなったレガシーツールは、時代遅れのライセンスやサブスクリプション、保守契約という形で、何年も経っても帳簿上に残ってしまうことがよくあります。 ツールには、外部サービスに取って代わられた旧式の脆弱性スキャナーや、新しいセキュリティスイートが提供するポイントソリューションなどが含まれます。
グローバルな市場調査会社であるフォレスターは、セキュリティおよびリスク計画ガイド『 2023 』（）の中で、単一機能のセキュリティ製品やレガシーのオンプレミス型ツールを削減することは、常に有益であると述べています。 このアプローチは、市場が低迷している時期には特に賢明なものです。 フォレスターは、組織に対し、データ漏洩防止、ユーザー行動分析、マネージド・セキュリティ・サービス・プロバイダー、その他のレガシーなセキュリティ対策といった単機能ツールの導入を削減するか、あるいは回避することさえ推奨しています。
[関連記事：時代遅れのツールが乱立する状況は忘れてください――経営幹部はサイバーセキュリティにおける統合ソリューションをますます求めています]
Set SolutionsのCTOであるマイケル・ファーナム氏は、予算が厳しい時期こそ、プロバイダーとの契約を打ち切るべきではないと付け加えています。 むしろ、今こそベンダーに連絡を取り、彼らの製品ロードマップが自社の戦略とどのように整合しているかを確認する絶好の機会です。 「パンデミックによる景気後退の最中、ベンダー各社は開発に注力し、より多くのプラットフォームの開発に乗り出したことがわかりました」と彼は述べています。 「これは、CISOにとってセキュリティスタックを統合する好機となります。」
よくある間違いその 3：内部者による脅威への対策を怠ること
インフレの進行、経済情勢の不透明感、そして解雇者の増加に伴い、従業員が不満を抱くリスクが高まっています。 実際、内部からの脅威は、解雇された従業員が復讐を企てる場合に生じることがよくあります。
「不況時には人員削減が行われることが多いため、今こそ確認すべきです。従業員が退職した際、その従業員のアクセス権はすべての場所で取り消されているでしょうか？」SANSインスティテュートの新興セキュリティ動向担当ディレクター、ジョン・ペスカトーレ氏
9月、ハワイに拠点を置く金融サービス会社から解雇されたIT管理者が、元勤務先のシステムを数日間、違法に妨害した罪で有罪を認めました。 米国司法省によると、元管理者である 氏は、以前の認証情報 を使用して設定にアクセスし、同社のウェブサイトや電子メールへのアクセスを遮断したとのことです。
このような内部からの脅威は、景気後退期に限らず、いつでも発生する可能性があり、甚大な被害をもたらす恐れがあります。 例えば、 に掲載されているように、Twitter社の社員である 氏が、サウジアラビア王国にTwitterユーザーの個人情報を提供した見返りとして賄賂を受け取った罪で有罪判決を受けた事例や、に掲載されているように、元米陸軍ヘリコプターパイロットであり民間請負業者でもあった 氏が、自身が勤務していた防衛関連企業に関する情報を提供した見返りとして中国政府から賄賂を受け取った事例などが挙げられます。
景気後退期における内部脅威の軽減は、ユーザーの活動を監視し、勤務状況に変化があった際にアクセス権限を解除する体制が整っているかどうかに大きく左右されます。 「景気後退期には人員削減が行われることが多いため、今こそ確認すべき時です。従業員が退職した際、VPNや外部のクラウド、モバイルアプリを含め、 のあらゆる場所でのアクセス権限が適切に削除されているでしょうか？」 SANS Instituteの新興セキュリティ動向担当ディレクター、ジョン・ペスカトーレ氏はこう問いかけます。
[関連記事：怒りや恨みだけが原因とは限りません――善意からサイバーセキュリティポリシーに違反してしまう従業員もいるのです]
また、取材に応じた専門家によると、組織はシステムの異常な動作を検知し、 機密データ の流れを追跡する能力を強化する必要があるとのことです。
Mistake 4: Spending on hot security trends while neglecting security basics
限られたリソースの中で、セキュリティ担当者は、最新の目新しい技術を用いてセキュリティ上の脆弱性を解消しようとすることがよくあります。 「景気低迷期には、CISOや組織が本筋を見失ってしまうリスクがあります」と、アトランタのノースサイド病院で情報セキュリティ担当ディレクター兼最高情報セキュリティ責任者を務めるマーティン・フィッシャー氏は述べています。
「実際のところ、ここ5年間、ほとんどの企業がセキュリティへの投資を——かなり——不足させてきました。」Damovo Security Services EMEA 代表取締役、ウィム・レメス氏
「プログラムに必要な主要な機能――それらはたいてい基礎的で、退屈で、魅力に欠けるものの、極めて重要である――に焦点を当てる代わりに、彼らはなぜか『今話題の新しいもの』に注力することで、予算上の問題を乗り越えられると考えているのです」とフィッシャー氏は述べています。 例えば、付加価値をもたらす新機能を備えた新しいオープンソースのソフトウェアパッケージを導入する一方で、机上演習や のインシデント対応レビューといった本質的な取り組みに費やす時間を削ってしまうのです。 フィッシャー氏は、景気後退期は、組織が知らず知らずのうちに誤った意思決定をしてしまう傾向が強まる時期であると考えています。
SANSのペスカトーレ氏は、厳しい経済状況下では、基本がしっかりと整っていることを確保する必要があると主張しています。 異常なネットワーク動作の監視や、リソースへのアクセス権限の効果的な付与・解除に加え、その他の重点分野としては、 のエンドポイントセキュリティ、 の構成管理、 のデバイス脆弱性管理、および の攻撃対象領域管理などが挙げられます。これらはいずれも、組織が直面するリスクを低減することができます。
Mistake 5: Losing focus on security strategy
セキュリティ担当のリーダーたちは、日々の緊急対応に追われるあまり、全体的なセキュリティ戦略をおろそかにしてしまいがちです。
「組織は、自社のセキュリティ関連支出を常に把握していないという大きな過ちを犯しがちです」と、マーシュ社のエルフェリング氏は述べています。 「彼らは、予算がどこに使われているのか、何に充てられているのか、そして何が不可欠で、事業戦略に沿ったものなのかを把握していません。」
改善策を講じるよう求められるのはいつになるか分からないため、予算を迅速に調整できることが重要です。 「何があれば、なくても生きていけますか？」 とエルフェリング氏は尋ねます。 「それは、いつでも下せるように準備しておかなければならない決断です。」
フォレスター社によると、たとえ緊縮財政の時期であっても、もちろんすべてが経費削減ばかりというわけではないとのことです。 同調査会社は、 のサプライチェーンセキュリティ、 のエンドポイント検知、 のインシデント対応、および の攻撃対象領域管理 への投資拡大を推奨しています。
[あわせてお読みください：最近はサプライチェーンの問題についてよく耳にしますが、ソフトウェアのサプライチェーンには特別な保護が必要です]
同社の報告書では、組織に対し、収益の源泉となる の顧客向け領域 のセキュリティ確保に特に注意を払い、のゼロトラストなどの取り組みを通じて、セキュリティプログラムを継続的に最新の状態に保つよう助言しています。
多くの組織において、セキュリティへの予算は当然ながら削減されるべきではありません。 「残念ながら、実際のところ、ここ5年間、ほとんどの企業がセキュリティへの投資を——かなり——不足させてきたというのが実情です」と、Damovo Security Services EMEAのレメス氏は述べています。 「現在、例えば毎年 15％の予算未達を数年にわたって重ねてきた企業が見られ、その多くがさらに支出を削減しています。」 レメス氏は、こうした不運な企業にとって、その結果は比較的予測可能だと述べています。「彼らはハッキングされることになるでしょう。」
景気後退が起きた場合、セキュリティ関連の支出が予算削減の全負担を背負う可能性は低いとはいえ、セキュリティ部門の責任者は、厳しい決断を下す覚悟をしておくべきです。 結局のところ、企業がセキュリティへの投資を惜しむことは、将来の成功に不可欠な重要な分野を犠牲にすることになります。
