昨今、多くの組織がデジタルトランスフォーメーションの取り組みについて絶えず話題にしたり、本格的に取り組んだりしています。 それなら、どうしてダメなんでしょうか？ こうした取り組みは、効率性の向上、俊敏性の向上、顧客体験の向上など――これらはほんの一例に過ぎませんが――さまざまなメリットをもたらす可能性があります。
問題は、多くの企業が、こうした取り組みがサイバーセキュリティや規制遵守に及ぼす影響を十分に考慮せずに、変革に飛び込んでしまうことです。
確かに、組織ではさまざまなセキュリティツールやサービスを導入しています。そして、それはセキュリティおよびコンプライアンスプログラムを構築する上で重要な要素の一つです。 しかし、彼らはプロセスや手順、組織体制をどのように変える必要があるかについて、十分に考えていません。 企業が真に変革を成し遂げ、その変革を定着させるためには、企業文化を変える必要があります。
変化というのは決して容易なことではありません。特に、現状のやり方に満足している場合などはなおさらです。 これは、CISO、CIO、CTOをはじめ、サイバーセキュリティやコンプライアンスのリーダーシップに携わる方々、そしてエンドユーザーにも当てはまります。 しかし、プロセスや手順、組織体制に必要な変更を加えることなく、利用可能なすべてのセキュリティ技術を導入しても、防御やコンプライアンスの観点からは、不満を招くだけでなく、最悪の場合、失敗に終わる可能性が高いでしょう。
ここでは、これらの分野において組織が検討すべき変更点の一部をご紹介します。
プロセス／手順
セキュリティを強化するためには、多くの業務プロセスやセキュリティ手順を変更する必要があります。
調整が必要な大きな課題の一つは、ユーザーの身元確認の確保です。 これは、最も悪用されている攻撃経路の一つです。 のユーザーがフィッシング攻撃（）に引っかかるだけで、攻撃者は侵入の足がかりを得ることになります。 そこから、彼らは権限の昇格を試みることができるとわかっています。
ここで、 の多要素認証（MFA） は、ネットワークやその他の資産へのユーザーアクセスにおいて、最低限必要な措置であるべきです。 これらの方法は完璧ではありませんが、攻撃者にとって十分な障壁となるため、攻撃者が諦めて別の標的を探す可能性もあります。
MFAを導入することで、アカウントが乗っ取られるリスクを大幅に低減できます。 また、毎月パスワードの変更を義務付けたり、ユーザーに過度に複雑な負担を強いたりすることもやめるべきです。 少なくとも、セキュリティチームは「パスフレーズ」の使用を推奨すべきです。パスフレーズは、基本的には一文であるため覚えやすく、推測やハッキングがはるかに困難です。
また、組織は管理者権限を持つアカウントの数を減らし、特権アクセス管理システムを活用すべきです。このシステムでは、ユーザーが特定の目的と期間に限り、権限の昇格を申請でき、その期間が終了すると自動的に権限が解除される仕組みとなっています。
多くの人は、本来は一時的なものだったはずなのに削除されずに残っていたため、管理者権限を持つアカウントが何百もあることに驚いています。
作成や管理にかなりの時間を要する「ゴールデンイメージ」を作成する代わりに、ベースラインとなるオペレーティングシステムイメージとアプリケーションパッケージを使用することで、更新やメンテナンスの負担を軽減できます。 変革を完了させるには、ソフトウェアカタログとセルフサービスクライアントを導入し、ユーザーがアプリケーションをインストールする際にローカルの管理者権限を必要としないようにしてください。
プロセスの観点から見て、もう1つの良い実践例として、多くの組織がすでに取り組んでいることがあります。それは、可能な限り多くの業務を自動化することです。 日常業務の自動化により、人的ミスが減り、スタッフはより高度なプロジェクトに取り組む時間を確保できるようになります。
また、ソフトウェアのパッチやアップデートは、できるだけ早く適用してください。 システムに悪影響がないことを確認するために、アップデートの「検証」に 90 日以上も待つのは理にかなっていません。特に、脆弱性が発見されてからその脆弱性が悪用されるまでの期間が約22 日である場合はなおさらです。 サービス停止の可能性と情報漏洩のリスクにはトレードオフがありますが、多くの場合、リスクを最小限に抑えつつ検証期間を短縮することが可能です。
プロセスや手順に変更を加えると、一部の人々を不快にさせてしまう可能性があることを念頭に置いておいてください。 例えば、教育分野では、多くの教師が、生徒が決して受け入れないだろうと主張し、IT部門による多要素認証（MFA）の導入を望んでいません。 実際には、学生たちはログイン手順の一部としてMFAを受け入れています。というのも、オンラインバンキングやFacebookのアカウントにログインする際にもMFAに慣れているからです。
既存のやり方に固執している人々は、変化に抵抗します。 ITチームとセキュリティチームは、否定的な意見に耳を貸さず、必要な場所であればどこでも、協力して変革を推進すべきです。
組織構造
また、新しい文化を支えるためには、組織体制にも微調整が必要です。 まず第一に、企業は、連携すべき異なる部門の間に存在するあらゆる情報の壁を取り除く必要があります。
CSOやCISOは、情報漏洩の防止に役立つ脅威や脆弱性に関する貴重な情報や知見を得るために、IT部門や運用部門、あるいは組織内の他の部署が対応するのを待っている余裕はありません。
組織の面では、多くの企業において依然として部門間の壁が存在しており、セキュリティやコンプライアンスの問題について、さまざまなステークホルダーが本来あるべき形で連携することが妨げられています。 さらに――そしておそらくそれ以上に深刻な問題として――依然として縄張り争いが存在しており、それが原因で、組織全体を守るために各派閥が一致団結して活動することが妨げられているのです。
優れた組織では、各部門間で頻繁に話し合いを行い、情報を共有しています。 しかし、セキュリティとコンプライアンスの観点から真に最適な体制を実現するため、先見の明のある組織の多くは、組織構造をフラット化し、サイロ化や縄張り争いを解消するとともに、さまざまな技術部門や事業部門が一体となって機能するよう努めています。
前述のサイロ化の一因となっているもう一つの重要な要素は、CISOなどが報告先とする、セキュリティおよびコンプライアンスのトップリーダーたちの報告体制です。 理想的には、最高セキュリティ責任者は、CEO、CFO、CTO、あるいはその他の経営幹部に対して報告を行うべきです。 これにより、特に予算承認などの分野において、官僚的な手続きの煩雑さを解消するのに役立ちます。
CISOやその他のセキュリティ担当幹部が経営陣の一員として参画し、トップ経営陣に報告を行う体制を整えることで、サイバーセキュリティとコンプライアンスが組織にとって最優先事項として確実に位置づけられることになります。
強力なリーダーの存在は不可欠ですが、最終的にはサイバーセキュリティは全員の業務の一部であるべきです。 セキュリティを確保することと、革新を行う自由を確保することの間には、常に多少のトレードオフが存在します。 しかし、セキュリティに対する新たな考え方を確立することで、組織はデジタルトランスフォーメーションを真に成功させることができます。
Taniumが、デジタルトランスフォーメーションに向けたサイバーセキュリティおよびコンプライアンスの要件を優先順位付けする上で、どのように役立つかをご確認ください。 今すぐ、Taniumの の威力を体験してください （新しいタブで開きます）。
