まず、朗報です。 2021 は無事に終わりました。 これは、ガスパイプライン、食肉加工業者、公益事業、政府機関、医療施設、その他の重要インフラに対する大規模なサイバー攻撃の一つとして、史上最悪の事例の一つとして記録されることになるでしょう。
残念なニュースですが、 2022 はなかなか手強いかもしれません。 2021年初頭にSolarWindsへの攻撃が激化したのと同様に、 2022 年初頭は、歴史上最も危険なソフトウェアの脆弱性のひとつである「Log4j 」の脆弱性が、新年の幕開けを告げています。
連邦取引委員会（FTC）は圧力を強めており、 今週、 において、この脆弱性への修正パッチを適用しない企業に対しては法的措置を講じると警告しました。 It cited its own $700 million settlement with Equifax in 2019 for failing to patch a vulnerability that exposed the personal information of 147 million consumers, as an example of what could happen to other enterprises.
指導的立場にある人は、誰も安心できていません。 とTaniumが最近実施した、サイバーセキュリティ専門家 345 名を対象とした調査（ ）によると、回答者の大多数（64％）が、今後 12 ヶ月以内にサイバー攻撃の被害に遭う可能性は「中程度から極めて高い」と考えているとのことです。 マルウェアは、組織にとって最大のセキュリティ上の脅威となっています（35％）。これに続いて、人的ミス（24％）、内部者による脅威（20％）、ゼロデイ攻撃（11％）が挙げられます。
彼らの具体的な懸念を先取りするため、『 Endpoint』 は、数十名のセキュリティ専門家への取材を行い、今後1年間のセキュリティ上の優先事項について調査しました。
ランサムウェアの猛攻に備える
ランサムウェアによる攻撃（ ）は、攻撃者にとって非常に収益性が高く、リスクも極めて低いため、今後もこうした攻撃は後を絶たず、攻撃者たちは新たな手口を編み出し続けるでしょう。
昨年（別名「 2021」）は、いわゆる「ランサムウェア・アズ・ア・サービス（RaaS）」や二重恐喝攻撃が大幅に増加しました。 「ランサムウェア・アズ・ア・サービス」では、サイバー犯罪者がマルウェアを、利用料を支払う形式で他者に提供しています。
専門家によると、 2022年には、サイバー犯罪者がより多くの人員を雇用したり、業務を外部委託したり、ツールを提携先に貸し出したりするようになるため、企業やその他の組織において、サイバー脅威の「提携型」が増加する見込みです。
「二重恐喝型ランサムウェア」では、攻撃者はまず被害者のデータを盗み出し、その後、身代金を要求するためにそのデータを暗号化します。 そして、被害者がデータへのアクセス権を取り戻すための支払いを拒否した場合、攻撃者は を通じて、最高額の入札者にデータを売却したり 、あるいはインターネット上に公開したりする可能性があります。
このような攻撃を受けた後の初期対応により、CISOや インシデント対応 チームは、特にバックアップと復旧能力に重点を置いて、迅速な対応を行うことができます。 セキュリティ部門の責任者たちは、ネットワークのセグメンテーション（物理的または論理的な構成要素への細分化）、 の資産管理ソリューション、脆弱性管理ツール、事業継続計画、および四半期ごとのインシデント対応演習に、一層注力しています。
多くのリーダーは、ランサムウェアの被害を迅速かつ効果的に軽減するために、机上演習を実施する必要があるでしょう。
ゼロトラストを構想段階から実用化へと進める
If 2021 was the year the security industry talked about zero trust, 2022 will be the year security teams will put it into practice.
“If you haven’t already, 2022 is the time to go all-in on zero trust,” says Amanda Fennell, CSO and CIO at Relativity, a provider of end-to-end legal and compliance software.
彼女は、今日のハイブリッドな働き方のモデルにおいて、組織はユーザーが業務を遂行するために必要な最低限のアクセス権のみを提供しなければならないと述べています。 アクセス制御を行うことで、特にリモートワークの普及により従来型の境界の外側にエンドポイントが増加している状況において、侵害されたデバイスの影響を容易に封じ込めることができます。
“If you haven’t already, 2022 is the time to go all-in on zero trust.”アマンダ・フェネル氏（Relativity社 最高セキュリティ責任者兼最高情報責任者）
セキュリティの専門家によると、競争力を維持するために、組織は業界最高水準のITリソースや、急速に変化するITリソースを求めているとのことです。 警備員も、今日のさまざまな部署で働くすべての従業員と同様、どこからでも仕事ができることを期待しています。
That expectation allows security leaders to shift from traditional network-centric security models and create granular access controls focused on user identity and endpoint trustworthiness.
Spending on zero trust is expected to reach about $39 billion in 2024, up from $16 billion in 2019, according to the B2B research firm MarketsandMarkets.
サイバーセキュリティと事業目標の統合
長年にわたり、セキュリティ担当のリーダーたちは、セキュリティへの投資を、保護対象であるデバイスやデータのビジネス価値とより適切に整合させるよう取り組んできました。 But today’s onslaught of costly attacks and the increased pace of digital business transformation mean that will be more critical than ever in 2022.
「私たちは皆、国家レベルの主体にさらされており、これはもはや素人ごっこをしている場合ではないということです。」ReSource Proの情報セキュリティ担当シニアディレクター、デビッド・エルフェリング氏
「これまでも常に重要な課題でしたが、今では私たち全員が国家レベルの攻撃者にさらされており、これは『素人ごっこ』の時代は終わったことを意味します」と、保険業務向けの生産性プラットフォームを提供するReSource Proの情報セキュリティ担当シニアディレクター、デビッド・エルフェリング氏は述べています。
セキュリティの責任者たちは、最も高度なハッカーたちの能力に太刀打ちできないと感じているかもしれませんが、組織の備えを強化するのに遅すぎるということは決してありません。 「まだ目標をさらに高く設定することは可能です」とエルフェリング氏は述べています。 「セキュリティチームは、ビジネスを理解してこそ、それを守り、真の意味でリスクを管理することができるのです。」
サプライチェーンの確保
SolarWindsへの攻撃から1年余りが経過しましたが、CISOたちは依然として、自社が利用するサードパーティ製ソフトウェアのリスクについて、十分な把握ができていません。 しかし、サプライチェーン向けソフトウェアに対するサイバーリスクは 2021で表面化し、直近では Log4j の脆弱性が明らかになりました。
システムの脆弱性修正を支援するための取り組みがいくつか進められています。その一環として、最近発令されたホワイトハウスの大統領令「 」（ ）では、ソフトウェアのセキュリティ基準の強化、特定の情報漏洩通知の義務化および迅速化、ならびに組織間のサイバーセキュリティ情報の共有促進が図られています。
「ソフトウェア部品表」（SBOM）の導入を求める動きは、ソフトウェアを構成するすべてのコンポーネントを詳細に明示することで、サードパーティ製ソフトウェアのサプライチェーンリスクを軽減することを目的としています。
[関連記事： Log4j の脆弱性を巡るサプライチェーンリスクへの対処]
CISOは真剣に取り組む必要があります。 第三者に責任を果たさせるためには、サービスレベル契約（SLA）を確認する必要があります。
自動化できるものは自動化すること
セキュリティ専門家の多くが「自動化」と聞くと、「セキュリティ・オーケストレーション、自動化、および対応」（SOAR）に関連する機能を思い浮かべます。 そして、これは間違いなく、 のセキュリティ自動化 への投資の大部分を占めています。 とはいえ、資産管理、ID管理、脆弱性管理、そしてもちろん、 のパッチ管理 を含む、日常的なワークフローの自動化も不可欠です。
「CISOは、自らの業務効率と効果を最大限に高めることに全力を注がなければなりません。」451 Researchの情報セキュリティ研究責任者、スコット・クロフォード氏
自動化は、人中心でなければなりません。 各CISOは、ビジネスにとって不可欠な数十ものシステムやツールを管理していますが、脅威、リスク、パフォーマンス、および一貫性について適切な理解を深めるには、常に人手が足りていません。
企業には、どんなに素晴らしいプロセスやダッシュボードがあっても、ワークフローを効率化できず、アナリストの時間を節約できなければ、それは単なる飾り物に過ぎません。 のアラート疲労 や人的ミスを軽減し、復旧時間を短縮できる分野において、自動化を優先すべきです。
基本に焦点を当てる
セキュリティの専門家たちは、企業システムのセキュリティを確保するために、依然として多くの課題に取り組まなければなりません。 また、 のような適切なサイバー衛生管理 といった基本的な手順を確立する必要があります。
「ランサムウェアから組織を守るために必要な多くの基本対策や、サードパーティのリスクを軽減する方法などに焦点が当てられることになるでしょう」と、 451 Researchの情報セキュリティ調査責任者であるスコット・クロフォード氏は述べています。 「これらは、セキュリティチームがこれまで行わなければならなかった基本的な事項であり、ある程度は取り組んできたものです。 「とはいえ、だからといって、これらの作業が簡単だということにはなりません。」
[関連記事：サイバー・ハイジーン――積極的なリスク管理はここから始まります]
実際、アトランタのノースサイド病院で情報セキュリティ担当ディレクター兼CISOを務めるマーティン・フィッシャー氏は、多くのCISOが「 2022 」を通じて、検知やインシデント対応など、サイバーセキュリティの基礎に立ち返らなければならないことに気づくでしょう、と述べています。
「ゼロデイ脅威の増加ペースと、企業がネットワークに新しい技術を導入するスピードが相まって、脅威を迅速かつ効果的に検知し、対応できることが極めて重要になります」とフィッシャー氏は述べています。
上記の問題はすべて、毎年続く困難な課題です。 「これらの課題を解決するための関心や意欲が欠けているわけではありません」と、クロフォード氏は述べています。 「ただ、それらは非常に難しい問題なのです。」 「CISOは、自らの業務効率と効果を高めることに、できる限り注力しなければなりません。」
