2020年、FBIの は、 （新しいタブで開きます） サイバーセキュリティに関する苦情を過去最多件数受け付けました。 Reported losses from hackers exceeded $4 billion. At the same time, ransomware attacks in the U.S. jumped (opens in a new tab) some 300%, with the cost of those attacks more than tripling (opens in a new tab) to about $29 million. Globally, ransomware costs are expected to hit $20 billion this year, up from $325 million in 2015.
私たちがサイバー犯罪の危機の真っただ中にいると言っても、決して大げさではありません。 これまで自らが標的になるとは考えてもいなかった中堅企業を含め、あらゆる規模の組織が、今や標的となっています。 そのことを踏まえると、今こそ、御社のサイバーセキュリティ対策を見直す良い機会です。
10月は のサイバーセキュリティ啓発月間です。。 今年で18年目を迎えるこの取り組みは、ナショナル・サイバーセキュリティ・アライアンスと米国国土安全保障省によって創設され、各組織のサイバー衛生状態を見直し、セキュリティ対策を強化するよう呼びかけることを目的としています。
今年のキャンペーンでは、 のいくつかの重要な分野に焦点を当てます。具体的には、デジタル資産の追跡といった基本対策の実践、リスクスコアリングを活用した脆弱性の特定、ゼロトラストなどのツールを活用した フィッシング攻撃への防御、そしてネットワーク構成やソフトウェア更新の管理といったセキュリティプロトコルのネットワークへの組み込みなどです。
ここでは、 のサイバー衛生管理を強化し（ ）、組織がニュースの見出しに載る事態を防ぐための6つの対策をご紹介します。
すべての資産を棚卸しする
IDG ConnectがTaniumの依頼により、企業のIT運用およびセキュリティ部門の意思決定者 300 名以上を対象に実施した調査によると、44％が、自社のネットワークに接続するエンドポイントに関する 可視性 の不足を指摘し、エンドポイントの 85％以上を把握できると自信を持っていると答えたのはわずか 30％にとどまりました。 要するに、ハッカーの手口が進化したというよりは、組織が運用するネットワークが膨張し、それに伴って脆弱性も拡大してしまったということです。
多くの組織では、ネットワークの状況を十分に把握できておらず、脆弱性を理解してネットワークを保護することができていません。 買収した事業を統合すると、新たなソフトウェア、プラットフォーム、セキュリティツールが追加されますが、それらはしばしばサイロ化され、相互に連携しないままになってしまうことがよくあります。 基本的なサイバー衛生管理 は、 による包括的なアセット検出 およびインベントリ管理――つまり、組織のネットワークに接続されているハードウェア（およびそのハードウェアに搭載されたソフトウェア）を一覧化するプロセス――を中心に据えています。
サイバーリスクスコアを評価してください
サイバーリスクスコア（ ）は、組織のセキュリティ対策によってサイバー防御のどの程度の割合が満たされているか、またどのような残存脆弱性が残っているかを示します。 スコアは、クレジットスコアと同様に数値で表すことができ、複雑なデータセットを分かりやすい概念に変換することで、経営陣からITチームに至るまで、組織のあらゆるレベルの人々が自社のセキュリティ状況を把握できるようになります。
のリスクスコア評価ツール（ ）をインストールする前に、組織全体のリスク評価を実施する必要があります。 また、スコアの正確さは、ツールに入力される情報の質や範囲に左右されるということを念頭に置いておくことが重要です。 リスク評価ツールを導入すれば、難しい部分はひとまず完了したことになるため、組織はサイバーセキュリティの状況を常に把握することに、より一層力を入れるようになることがよくあります。
[関連記事：サイバーリスクスコアとは何か、なぜ重要なのでしょうか？]
ゼロトラストを徹底する
リモートワークが定着するにつれ、組織のネットワーク内にあるすべてのエンドポイントのセキュリティ状況を管理・監視することは、ほぼ不可能になってきました。 ゼロトラスト とは、ネットワークへのログインを試みるすべてのデバイスを潜在的な脅威として扱う手法であり、 悪意のある侵入からコンピュータネットワークを保護することを目的としています。 これは、拡張が難しく、障害が発生しやすいことが判明している仮想プライベートネットワーク（VPN）よりも、よりシンプルな解決策です。
[関連記事：VPNを捨ててゼロトラストに移行する時が来ました]
インシデント対応を見直してください
あらゆる規模の企業は、攻撃による被害を軽減し、ダウンタイムを最小限に抑えるために、インシデント対応計画（ ）を策定しておく必要があります。 ハッカーはわずか数時間でシステムを乗っ取り、ネットワーク内を横方向に移動し始める可能性があります。そのため、ハッカーの滞在時間を短縮し、データの流出を最小限に抑えるための迅速な対応手順を策定することが不可欠です。
各チームは、模擬のデータ侵害に定期的に対応し、対応目標をどの程度効果的かつ迅速に達成できているかを評価することで、計画の有効性を検証すべきです。
そして、ランサムウェアの身代金交渉について一言。 ハッカーに対して強硬な態度を取りたくなるかもしれませんが、すぐに手に負えなくなってしまう可能性があります。 万が一、身代金の要求を受け取った場合は、専門家に相談してください。 この取引には、ある種の「 」的な芸術性があります。。
設定の管理
多くのIT運用チームは、オンプレミス、リモート、クラウド環境で構成されるハイブリッドシステム全体において、構成ポリシーを一元的に管理することのコストや複雑さに頭を悩ませています。 しかし、こうした方針を無視したり、軽視したりする人にとっては、その代償はより大きくなります。 設定ミスのほか、望ましい設定から逸脱した「設定のドリフト」は、組織をデータ漏洩やサイバー攻撃のリスクにさらす可能性があります。
高レベルの管理者権限は、どの組織においても最大のセキュリティリスクの一つとなっており、プログラムやシステムへの管理者レベルのアクセス権は、それを必要とする者にのみ付与することが重要です。 一般ユーザーには、より限定的な権限を与えるべきであり、管理者の許可なしに、自分のコンピュータやモバイルデバイスにアプリケーションをインストールすることは許可されるべきではありません。
ソフトウェアを更新してください
堅牢なパッチ管理システムは、データ漏洩やその他のセキュリティインシデントに対する最善の防御策の一つです。 パッチが適用されていないソフトウェアは、サイバー犯罪者にとって格好の侵入経路となり、組織をマルウェア感染やデータ漏洩、その他の脅威にさらします。これらはいずれも、貴重な時間、資金、リソースを浪費することになります。 マルウェアによるネットワークへの攻撃リスクを軽減するためには、オペレーティングシステムやアプリケーションのパッチを、定期的かつ速やかに適用する必要があります。
の自動化 パッチ管理 により、企業はネットワーク環境をスキャンし、パッチが適用されていないデバイスやアプリケーションを特定することができます。 ただし、あらゆる自動化管理ツールと同様に、 のパッチ適用システム（ ）の完全性については、侵害されていないことを確認するため、常に監視を行う必要があります。
