3月、 Lapsus$ という身代金要求グループに所属するハッカーたちが、通信大手T-Mobileに対して 一連の攻撃 を仕掛けました。 Lapsus$グループは、盗まれた認証情報を購入し、巧みな話術で従業員のアカウントへのアクセス権を得た後、T-Mobileの顧客管理システムなどの社内ツールにアクセスしました。 そこから、ハッカーたちは同組織の最も機密性の高いデータの一部―― 30,000 件以上のソースコードリポジトリ――を盗み出しました。 また、彼らは顧客の携帯電話番号を乗っ取り、多要素認証の コードを傍受することもできました。
しかし、深刻なセキュリティインシデントに見舞われた大手組織は、T-Mobileだけではありませんでした。 その翌月、さらなるハッキング事件が発生し、 （コカ・コーラ）、、 （ネスレ）、、 （エピック・ゲームズ）、、および （スクリップス・ヘルス）といった組織において、極めて機密性の高い専有データが大量に流出する恐れが生じました。
The overall amount of data that hackers can now access is staggering: About 8 billion files are exposed across cloud storage folders, according to Grayhat Warfare’s search tool, and at least 7.2 million databases are exposed online, according to a scan performed for ProPublica.
データ量はそれほど多くないものの、はるかに重要なのが、組織にとって最も機密性が高く、価値のあるデータ、すなわち「至宝」です。 こうしたファイルには、例えば、企業の主要製品のソースコードや暗号化キー、あるいは機密性の高いセキュリティ戦略などが含まれている場合があります。
「企業は、自社の最も重要なデータが何であるか、それがどこにあるか、そしてどのように保護されているかを把握しておく必要があります」と、会計事務所ウォーレン・アヴェレットのセキュリティ・リスク・統制部門リーダーであり、ISACAの新興トレンド作業部会のメンバーでもあるポール・ペリー氏は述べています。
「「もしこのデータがハッキングされた場合、その影響は甚大なものとなる可能性があります。」
専門家によると、企業の最重要資産を保護することは極めて重要ですが、適切な保護策を講じることは必ずしも簡単ではありません。 以下に、組織が最も重要なデータを保護する際に採用すべき5つの戦略をご紹介します。
組織内で最も重要なデータを特定してください
Tanium社のテクニカル・ソリューション・エンジニアであるジェヌ・ホセ氏は、最も重要なデータがどこにある かを特定することは、そのデータを保護するための不可欠な第一歩であり、おそらく最も難しいステップでもあると述べています。
「企業は、自社の最も重要なデータが何であるか、それがどこにあるか、そしてどのように保護されているかを把握しておく必要があります。」ウォーレン・アヴェレット社のセキュリティ、リスク、および統制部門のプラクティスリーダー、ポール・ペリー氏
組織内において、最も重要なデータが明確に定義されていることはめったにない、と彼は述べています。 企業によっては、機密データや機微なデータについて異なる分類を設けたデータ保護方針や分類体系を策定している場合があります。 「しかし、多くの企業は、その作業があまりにも煩雑であるため、何が何なのかを明確にするための取り組みを行っていません」とホセ氏は言います。 「これは、手掛けるのが容易ではないプロジェクトです。」
非常に価値の高いデータを見つけるという作業でさえ、複雑な場合があります。「さっと検索して、そのデータをすべて集めるようなことはできません」と彼は言います。 「クラウドコンピューティング では、データが誰かの OneDrive や Azure、あるいはクラウド上の他の場所に保存されている可能性があるため、そのデータを見つけるのが非常に困難です。」 機密データがどこにあるのか、またどのリソースが最も高いレベルの保護を必要としているのかを正確に把握するには、複数のプラットフォームを調査する必要があります。
想定されるデータ漏洩の影響を評価する
ホセ氏によると、組織は自社の「至宝」を特定した後、次に各資産の重要度を評価すべきだとのことです。 次のように自問すべきです。「特定の資産やエンドポイントが侵害された場合、どのような影響が生じる可能性があるでしょうか？」
「資産の重要度とは、自社のアプリケーション、サーバー、エンドポイントを把握し、データ漏洩の潜在的なリスクという観点から、それぞれに異なる重み付けを行うことです」と彼は述べています。 その重み付けは、企業の サイバーリスク総合評価システムに反映される可能性があります。
ウォーレン・アヴェレット社のペリー氏によると、組織は自社の資産の重要度を特定した後、リスク評価を実施し、脆弱性を特定するとともに、資産を保護するために導入されている既存の統制措置を評価すべきだとのことです。 潜在的な弱点については、 組織内の全員と話し合うべきだと、 彼は述べています。 経理部門は、IT部門が認識していないリスクについて把握している可能性があります。
関連記事：サイバーリスクスコアは単なる数字以上のものあるべきです
「じっくりと腰を据えて、自社のリスクと、それに対してどのような対策を講じているかを把握する必要があります。しかし、それ以上に重要なのは、対策として行っていないことや、導入されていない管理措置について話し合うことです」とペリー氏は述べています。 「リスク評価は継続的に行うべきです。なぜなら、時間の経過とともに、リスクも環境も、そして従業員も変化していくからです。」
セキュリティ対策を強化しましょう
ホセ氏によると、追加される防御策にはさまざまな形態があるとのことです。 その対策には、特定の文書の暗号化、セキュリティ上のリスクがある場所からのデータの削除、個人のUSBメモリを使ってデータをコピーできないよう端末をロックすること、および特定の情報へのアクセスを制限することなどが含まれます。
「特定のデータにアクセスできるユーザーを特定するのは、非常に難しい場合があります。」Tanium社のテクニカル・ソリューション・エンジニア、ジェヌ・ホセ氏
「特定のデータにアクセスできる人物を特定するのは、非常に難しい場合があります」とホセ氏は言います。 「クレジットカード情報が含まれるものはすべて社内で管理しなければならない、という規定があるかもしれません。」 「しかし、そのデータを外部と共有しなければならないというケースもあるでしょう。では、どのようにしてそのデータを保護すればよいのでしょうか？」
成熟した組織では、特定のファイルにアクセスできる人のリストを管理している場合もありますが、一方で、従業員がビジネスパートナーやベンダーにのみ文書をメールで送信できるようにしている企業もあります。 他の受信者への送信は自動的にブロックされます。 組織は資産を保護するにあたり、保護にかかるコストと、特定のリスクレベルに対する経営陣の許容度との間で、どのようにトレードオフを図るべきかについて、戦略的に検討する必要があります。
機密データを継続的に監視する
「王冠の宝石」を特定し、評価し、保護した後は、組織はそれらを監視する必要があります。 「の監視ツール（ ）は、データの観点から、組織内で起きている活動――誰が何にアクセスしているか、どのくらいの頻度でアクセスしているか、そしてそもそもアクセスできるかどうか――を把握するための『目』と『耳』の役割を果たします」とペリー氏は述べています。
「ユーザー名とパスワードを持っていて、何かにアクセスしているなら、それはすでにIT業務を行っていることになります。」ペリー
データモニタリングにより、ファイルへのアクセスや使用状況についてより詳細な情報を得ることができます。これは、 政府の規制を遵守する際、 特に重要となります。 「コンプライアンスを満たすためには、特定のファイルまたは一連のファイルに対して行われるあらゆる変更を記録できる必要があります」と、Tanium社のホセ氏は述べています。 あるいは、人事関連の業務においても役立つ場合があります。 例えば、従業員との間で係争中の人事案件がある場合、会社は当該従業員の端末における機密データへのアクセスを監視したいと考えるかもしれません。
監視ツールを選定する際、組織は、自組織の機密データ（例えば、特定のキーワードやプロジェクト名など）に対するカスタム定義を作成する際の柔軟性を評価する必要があります。 また、ツールには、 の最新のAIを活用したセキュリティソリューション（ ）や、の機械学習（ML）機能が統合されたツール（ ）を導入し、IT担当者を圧倒しかねない誤検知のセキュリティアラートの数を、ますます効果的に最小限に抑える必要があります。
セキュリティを企業文化の根幹に据えましょう
組織のセキュリティ文化によって、その組織が最も重要なデータをどの程度適切に保護できるかが決まります。 しかし、一部の企業では、効果的なセキュリティ対策の導入よりも利便性が優先されています。
「多くの組織では、従業員から『二要素認証などは自分たちや顧客にとって非常に不便だ』といった声が上がるため、必要な管理措置が講じられていないのです」とペリー氏は述べています。 「組織もまた、サイバーセキュリティに対して鈍感になってしまっています。」 「人的資源や資本といったリソースが極めて限られている中で、データをどのように保護するのが最善かを判断しなければならない場合、企業は対応に追われてしまうことがあります。」
ホセ氏は、強固なサイバーセキュリティ文化の構築はトップから始まる、と付け加えています。 組織が最も重要なデータを確実に保護するためには、経営陣が自社のサイバーセキュリティ対策に全面的に協力する必要があります。 「経営陣や事業部門の賛同が得られなければ、保護策は機能しません」と彼は述べています。
こちらもご覧ください：CISOがCEOに真剣に聞いてもらえるようにサイバーリスクについて伝える方法
保護措置や方針を整備し、それらを遵守することは、全社的な「包括的な責任」でもあり、全従業員が責任を負うことになります。 「私はいつも、会社にいる全員が今やITの一員であるということを伝えようとしています」とペリー氏は述べています。 「ユーザー名とパスワードを持っていて、何かにアクセスしているなら、それはある意味でIT業務を行っていることになります。」
何しろ、従業員が日常的に の多要素認証 を迂回したり、 で安全性の低いパスワードを設定したりしていると、IT担当者は手も足も出ない状況になってしまいます。
結局のところ、リーダーは、セキュリティを重視する企業文化のもとで、最も価値の高いデータを特定、評価、監視、保護するための強固な戦略を実行しなければなりません。 極めて機密性の高いデータに対するレーザービーム攻撃の猛攻に対抗する能力がなければ、企業は、評判や顧客、そして最重要資産を喪失するという壊滅的な事態に陥るリスクを負うことになります。
