病院や食肉加工工場へのサイバー攻撃から、水道システムやガスパイプラインに至るまで、国内の重要インフラの不安定さが増していることを受け、世界中のCEOたちが突如として厳しい立場に立たされています。 現在、米国では8分ごとに がランサムウェア攻撃の標的となっており（ ）、警察署やNBAバスケットボール、マーサズ・ヴィニヤード行きのフェリーなどが深刻な打撃を受けています。
サイバー危機を踏まえ、上院国土安全保障・政府問題委員会は先日、コロニアル・パイプライン社のジョセフ・ブラウント最高経営責任者（CEO）を召喚し、国内最大の燃料パイプラインを停止に追い込んだ大規模なセキュリティ侵害について説明を求めました。 コロニアル社は、この情報漏洩が、仮想プライベートネットワーク（VPN）で使用されていた の単一のパスワード が侵害されたことが原因であり、当該VPNにはの多要素認証が導入されていなかったことを認めました。
[関連記事：バイデン大統領の大統領令：サイバーセキュリティ対策の強化。]
「コロニアル・パイプラインで何が起きたのかを調査するにあたり、重要インフラのサイバーセキュリティ上の脆弱性に対処する際に、部門ごとの孤立したアプローチをとってしまうような過ちを犯してはなりません」と、6月に独自の調査を開始した下院国土安全保障委員会の委員長を務めるベニー・G・トンプソン下院議員（民主党、ミシシッピ州選出）は述べました。
経営陣の皆様がこうした困難な時期を乗り切れるよう支援するため、『 Endpoint』（ ）の編集部は、一息ついて、この1年間にセキュリティ情勢を網羅してきた中で得られた専門家たちからの最良のアドバイスをまとめました。 この記事では、現時点で最も役立つアドバイスをまとめています。
パスワードと多要素認証を真剣に考えてください
8文字から 12 文字の、ユニークで覚えやすいフレーズを使って強力なパスワードを設定し、従業員に脆弱なパスワードをわずかに変更させるのではなく、そのパスワードを使い続けることが重要です。
その後は、スマートフォンや認証アプリを利用した多要素認証（MFA）を導入するのが最善の対策です。 効果的な サイバー衛生管理の中核をなす要素であるMFA（多要素認証）では、ユーザーは複数の方法（例えば、パスワードと音声認証、あるいはパスワードと携帯電話などの所持品）を用いて本人確認を行う必要があります。この際、ユーザーがコンピュータネットワークへのログインを試みると、アプリから所持品に通知が届く仕組みとなっています。
「現実として、パスワードは依然として存在しています」と、全米サイバーセキュリティ同盟（NCSA）の事務局長、ケルビン・コールマン氏は述べています。 「私が消費者や企業の方々に伝えているのは、強固なパスワードを設定し、多要素認証（MFA）を有効にし、セキュリティ更新プログラムやパッチを適用する必要があるということです。 「これを行うのに、技術の達人である必要はありません。」
[ぜひお読みください：「なぜ『世界パスワードの日』が今も必要なのか」]
VPNの利用はやめましょう
仮想プライベートネットワーク（VPN）は、複雑さを軽減するどころか、かえって複雑さを増すことになります。 。 従業員からは、社内ネットワークへのログインに時間がかかりすぎることや、接続後のインターネット速度が遅くて不便だと不満の声が上がっています。 ヘルプデスクの担当者は、VPNの維持管理や適切な設定を行う一方で、こうした不満を抱える従業員からの問い合わせに対応しなければなりません。 また、パンデミック中に企業がVPNの容量を10倍に増やした際、同時接続ユーザー数の急増により、パフォーマンスはさらに低下してしまいました。 さらに、VPNは極めてセキュリティが脆弱であるという事実も加わります。サイバー犯罪者が企業のネットワークに直接アクセスできるようになれば、そのネットワーク上のあらゆる情報、機密情報を含むすべての情報にアクセスできてしまうからです。
Google Cloudのセキュリティソリューション戦略責任者であるアントン・チュヴァキン氏は、VPNを好んでいません。 「壊れちゃうんです」と彼は言います。 「よく壊れてしまいます。 「そして、最もつらい時にも。」 その代わりに、チュヴァキン氏は、ログインを試みるすべてのデバイスを潜在的な脅威として扱う、クラウドベースの「ゼロトラスト」システムを推奨しています。 ユーザーは、企業のシステム、アプリケーション、ウェブサイトのいずれかにログインするたびに、複数の方法で本人確認を行う必要があります。
[ぜひお読みください：VPNを捨ててゼロトラストに移行する時が来ました]
横方向の動きを阻止する
SolarWindsのサプライチェーン攻撃では、サイバー犯罪者たちはマルウェアを用いてデジタル認証情報を盗み出し、偽造しました。これにより、感染したセキュリティソフトウェアをダウンロードしていた推定 18,000 の組織へのアクセス権を獲得し、エンドポイントからエンドポイントへと次々と移動することが可能になりました。 The cost to fix this massive breach was an estimated
$100 billion.
こうした攻撃を防ぐための鍵は、攻撃者にとっていわゆる「ラテラルムーブメント」を可能な限り困難にすることです。 つまり、エンドポイントの適切な管理を実践することです。 効果的な運用には、資産管理（ ）、、構成管理（ ）、、およびパッチ管理（ ）の確実な実施が不可欠です。 また、企業はID管理を慎重に行う必要があります。ネットワーク上のアプリケーションやシステムにアクセスするための認証情報を誰が持っているかを常に把握し、ユーザーには業務遂行に絶対に必要なリソースへのアクセス権限のみを、最小限の範囲で付与する必要があります。
[ぜひお読みください：サイバー攻撃における横方向の移動を阻止する方法]
ツールの乱立を防ぐ
「ツールの乱立」とは、社内で承認済みおよび未承認のアプリケーションが制御不能なほど増え続ける現象を指します。 ツールを次々と積み重ねてしまうと、ハッカーにとって壊滅的な被害をもたらす可能性のあるバックドアを開放してしまう恐れがあります。 多くの未承認のツールが、IT部門の知らないうちに無造作にインストールされてしまいます。 それらは、ハッカーに見つけられ、企業のネットワークへの侵入に悪用されるまで、見過ごされたまま、修正されず、脆弱な状態のまま残されています。
中小企業向け給与計算サービスを提供するPaychexの最高情報セキュリティ責任者（CISO）、ブラッドリー・シャウフェンビュール氏は、ツールの乱立がセキュリティチームにとって大きな懸念事項となっていると述べています。 彼のチームは、不正なソフトウェアに起因する新たな脆弱性を毎日発見しています。 「ツールが承認され、資産管理リストに登録されていない限り、セキュリティチームはその存在に気づかないことがよくあります」とシャウフェンビュール氏は述べています。 「そして、セキュリティチームは、その存在を知らないものについては、セキュリティを確保することはできません。」 同氏は、ツールが継続的に強化・更新されるよう、ユーザーにツールの登録のための猶予期間を設けることを推奨しています。もしそれが効果を示さない場合は、社内のシステムから未承認のツールを積極的にブロックまたは削除すべきだと述べています。
[ぜひお読みください：ツールの乱立がパンデミック後のセキュリティを脅かしています]
インシデント対応の演習
企業は、防御的な姿勢から攻勢に転じ、攻撃を成功させるための準備を積極的に進め、被害を最小限に抑える必要があります。 セキュリティチームは、セキュリティ侵害が発生した際に具体的にどのような対応を取るべきかを正確に把握し、その対応を定期的に訓練しておく必要があります。 ハッカーや悪意のあるソフトウェアによってシステムが侵害されていないか、常に注意を払う必要があります。 そのためには、異常な活動を迅速に検知する侵入検知・異常検知システムに加え、人的ミスの可能性を低減するための侵害の兆候（IoC）の自動化が必要となります。 のエンドポイント検出・対応プラットフォーム「 」は、セキュリティチームが必要とするあらゆる情報を迅速に集約することができます。
そこで、経営陣は対応の優先順位を決定しなければなりません。 最も先見の明のある企業は、すでに自社のミッションクリティカルなビジネスプロセスと、その運用を支えるテクノロジーを特定していることでしょう。 これにより、チームはどのインシデントに対して高レベルの対応が必要かを判断しやすくなります。
残念ながら、最近では、こうした事件が頻繁に起きています。
