結局、死はあっという間に訪れました。 2021年1月1日において、かつてデスクトップやノートパソコン、その他のエンドポイントで広く普及していたメディアプレーヤー「Adobe Flash」の開発元である は、20年以上にわたる提供を経て、不具合の多かったこのソフトウェアへのサポートを終了しました（ ）。
Flashは、その存続期間の大部分において、 に記載されているような深刻なセキュリティ上の欠陥に悩まされていました。 しかし、それにもかかわらず、多くの企業がこの導入が容易なアプリケーションを利用し続けました。
それは、ウェブ開発者たちが、魅力的なユーザーインターフェースを作成したり、企業のウェブサイトにマルチメディア動画を取り入れたりするのに、Flashが使いやすいと感じていたからです。 そのあまりに、彼らはアドビからの警告を無視し、アプリを稼働させ続けたのです――利用のピーク時には、最大で10億ものエンドポイントで稼働していました。
のビル・ペレティエ氏（）のような方々にとって、企業チームがFlashのようなアプリの利便性と適切なセキュリティ対策とのバランスを取ることに消極的であることは、多大なコストを招く恐れがあります。 2010s地区にある全国規模の保険会社でセキュリティアーキテクトを務めていた彼は、ユーザーのブラウザ上でユーザーデータを収集し、保険料の見積もりを提示するためにFlashを使用することに対し、自社に警告しました。 誰も耳を貸してくれませんでした。 「突然、Flashからの移行は、数年にわたる100万ドル規模の取り組みとなってしまいました」とペレティエ氏は述べています。
「突然、[私たちにとって] Flashからの移行は、数年かけて100万ドル規模の取り組みとなってしまいました。」ビル・ペレティエ氏、セキュリティアーキテクト
ペレティエ氏は、今日、企業にはその教訓を肝に銘じておく必要があると述べています。というのも、世界中の企業では、同様のセキュリティリスクをもたらすアプリケーションやその一部が、数百、いや数千もの規模で稼働しているからです。 さらに同氏は、アプリケーションの選定にあたってはリスクとリターンのバランスを慎重に考慮する必要があるとし、アプリケーションのライフサイクル全体を通じて、自然なサポート終了時期を含め、 で監視し、、 でパッチを適用し、 最新の状態に保つ必要があると述べています。
アプリケーションにパッチが適用されず、メンテナンスも行われていない場合、企業がそのアプリケーションを使い続けている限り、遠隔から悪用されることがよくあります。 買収や合併により他社を統合する際、引き継ぐ技術スタックを十分に理解していない企業は、その評価や修正を行う能力の欠如により、最も大きな影響を受けることがよくあります。
今日の労働力の多くがリモートで働いているため、そのリスクはさらに高まっています。 「私たちはもはや、企業のネットワークファイアウォールによる保護の下で仕事をしているわけではありません」とペレティエ氏は述べています。 「私たちは今、自宅のオフィスやソファに座り、自宅のケーブルモデムに接続したり、移動中は公共のWi-Fiを利用したりしています。」
効果的なエンドポイントセキュリティ は「一朝一夕」には実現できませんが、専門家によると、セキュリティチームは以下の5つの基本的なセキュリティ戦略を遵守すべきだとのことです。
5 のセキュリティ対策
従業員にセキュリティ意識を高めるよう研修を行う
第一の防衛線は、エンドポイント、つまり組織がリモートワークを行うために従業員に配布したノートパソコン、PC、タブレット、その他のデバイスの背後にいる人々です。 セキュリティチームは人事部門と連携し、従業員に対し、 のような魅力的なフィッシングメールや へのリンクをクリックしたり、不正なアプリケーションや危険なアプリケーションをインストールしたりしないよう、効果的に教育する必要があります。 「セキュリティ意識向上のための研修は不可欠です」と、イングランド・マンチェスターに拠点を置くセキュリティサービスプロバイダー、NCC Groupのシニアセキュリティコンサルタントであるケン・スウィック氏（ ）は述べています。 「意識向上トレーニングは、ユーザーがそのような有害なものを持ち込まないようにするのに役立ちます。 また、エンドポイントに機密情報を保存することの危険性を、ユーザーに認識させることにもつながります。」
のセキュリティ意識向上および研修プログラム を効果的に実施するには、複雑な内容をわかりやすく説明し、従業員の関与を促進できる専任の研修担当者を配置することから始めるべきであり、従業員にセキュリティ疲れを招くような過度な負担を課してはなりません。 つまり、多くの企業で行われているような一方的なセキュリティ講習を避け、代わりに、従業員をセキュリティ対策のプロセスに巻き込み、関心を維持できるゲーミフィケーションを取り入れたセキュリティ研修やインタラクティブな動画を活用することが、多くの場合、重要となります。
[関連記事：リモートワーカーをセキュリティ推進者に変える方法]
この研修は繰り返し実施する必要があり、長期的な行動の変化に焦点を当てる必要があります。 Forrester Consultingが、電子メールおよびデータセキュリティ企業である （Mimecast： ）の依頼を受けて実施した「2020 」調査（ ）によると、セキュリティ教育だけでは効果がないことが明らかになりました。 セキュリティ意識向上のための研修を受けているにもかかわらず、調査回答者の平均で3分の1がセキュリティポリシーを無視していることを認めており、サイバー行動そのものを変える必要があることが示されています。
ITの可視性を向上させる
侵害を未然に防ぐことができる方が、侵害を検知しなければならないよりも良いのです。 そのため、適切なエンドポイント管理が不可欠となります。 が実施した「Tanium 2020 」調査（ ）によると、IT意思決定者750 名を対象とした調査の結果、CIOの94％が、自社の環境内に存在することを認識していなかったエンドポイントを特定しており、その結果、それらのエンドポイントに関連する潜在的なセキュリティリスクを低減する能力が妨げられていることが明らかになりました。
ビジネス・テクノロジーチームは、従業員がどのデバイスを使用しているか、それらのデバイスがどこにあるか、どのアプリケーションを実行しているか、そしてどのような種類のデータを処理・保存しているかを把握しておく必要があります。 「使用中のエンドポイントに関する正確な情報を把握しておくことは不可欠です」と、市場調査会社S&P Global Market Intelligenceのセキュリティアナリスト、フェルナンド・モンテネグロ氏（ ）は述べています。
ビル・ペレティエ氏は、 のデバイス管理機能（ ）は、もしまだ導入されていないのであれば、すべての組織の優先課題リストに加える必要があると付け加えています。 「セキュリティを維持するために必要なすべてのメンテナンス作業を行えるよう、これらのデバイスがどこに設置されていても、それらをすべて管理できる能力が必要なのです」と彼は述べています。
ITの衛生管理を実践しましょう
エンドポイントへの攻撃者の侵入を防ぐ最善の方法は、侵入経路をできるだけ多く封鎖することです。 ITチームは、構成管理、ポリシーの適用、および効果的なパッチ適用を通じて、これを実現することができます。 「衛生管理とは、物事をきちんと整えておくことなのです」とペレティエ氏は述べています。 「つまり、Javaのような時代遅れのコンポーネントへの依存を減らすということです。」 彼は、「なぜそのデバイスに『Java 1.41 』が必要なのですか？」と尋ねます。
攻撃者やマルウェアを寄せ付けないよう最新のパッチを適用することに加え、不正なアプリを特定するなど、適切なデバイス設定ポリシーを継続的に徹底することも極めて重要です。 「エンドポイント上で、承認されたソフトウェアのみがインストールされ、適切に構成されることを保証する能力は、一貫性、合法性、およびサポートの観点から重要な管理手段となります」とスウィック氏は述べています。
正確なテレメトリを確保してください
ITチームは、各デバイスのビジネス上の背景を理解する必要があります。 これには、デバイスの所有者の役割や、ユーザーが実行するアクションの種類が含まれます。これらは主にテレメトリ（ ）――エンドポイント上で動作するシステムに関する自動収集されたデータや通信情報――に基づきます。 その結果、適切な防御策やセキュリティポリシーが確実に整備されることになります。 CFOのエンドポイントに関しては、セキュリティ対策には、ネットワークトラフィックの流れ、クラウド、およびエンドポイントのプロセスに対する同様の監視に加え、その他の監視も含まれます。 これには、CFOがアクセスする金融システムのアプリケーションの動作状況の監視などが含まれる可能性があります。
「エンドポイントのテレメトリが、世の中で何が起きているかを把握する上でどれほど有用であるかが分かってきました。」 「これは、その端末でVPNが使用されているかどうかを判断する段階をはるかに超えています」とモンテネグロ氏は述べています。 「むしろ、デバイスの状態や、それがどのように使用されているかを把握することが重要です。」 「これには、電子メールシステムやID・アクセス管理システムからのテレメトリデータ、あるいは状況に応じたビジネス情報などが含まれており、これにより、より適切なセキュリティ上の判断を下すことができます。」
エンドポイントのインシデント対応を改善する
いずれにせよ、脆弱性のあるソフトウェアが原因であれ、従業員がフィッシングメール内のリンクをクリックしたことが原因であれ、どの組織もいずれはエンドポイントのセキュリティ侵害に見舞われることになります。 エンドポイントセキュリティを含むセキュリティ対策の不備は、多大なコストを招きます。 According to the 2020 Cost of a Data Breach Report, with research provided by the Ponemon Institute and published by IBM Security, globally the average cost of a data breach was $3.86 million. セキュリティ侵害を発見または封じ込めるまでの平均日数： 280 日。
エンドポイントセキュリティの多くの側面は長年にわたり変わっていませんが、問題の複雑さと規模は増し続けています。 「企業が今必要としているスキルとは、大規模に対応する能力です。というのも、企業は現在、数万台から数十万台ものデバイスという課題に直面しているからです」とモンテネグロ氏は述べています。
インシデント対応は、規制順守の観点からも極めて重要です。この懸念が、ビル・ペレティエ氏が勤務していた保険会社において、最終的にFlashの導入を頓挫させることとなりました。 「彼ら［ウェブ開発チーム］は、Flashを通じて決済情報を処理したいと考えていましたが、私たちは基本的に『それは無理だ』と伝えました」と彼は言います。
とはいえ、Flashが当初普及したのは、機能したうえに、とても使いやすかったからです。 そして、それは、セキュリティの専門家たちが、自社のすべてのエンドポイントの安全性を確保したいのであれば、毎日、それらすべてのエンドポイントにおいて戦わなければならず、管理しなければならないのと同じ戦いなのです。
