メインコンテンツへスキップ
リスク管理とは何かというブログ投稿の画像
Q&A

CIO成功事例：サードパーティリスクの裏側を見る

ハッカーが、あなたのクライアントを狙うためにあなたを標的にしてきたら、どうなるでしょうか？ セキュリティリーダーとの一対一インタビューシリーズの第2弾として、Focal Pointは建築設計事務所Leo A Dalyのスティーブン・ヘルド氏を招き、サイバー攻撃の加害者にならないための方法について話し合いました。

で報じられたSolarWindsへの大規模なハッキング事件（ of 2020 ）――ハッカーが一般的に使用されているソフトウェアに悪意のあるコードを埋め込み、数万もの政府機関や企業のネットワークに侵入した――は、重要な教訓をもたらしました。それは、自社のインフラを保護するだけでは不十分であり、サプライヤーからなるエコシステム全体を監視しなければならないということです。

パリッとした青いシャツと灰色のブレザーを着た、笑顔の白人のハゲた男性の画像です。

実際、 ベライゾンの報告書 2022 によると、ネットワークへの侵入の62％ は第三者から始まっているとのことです。また、KPMGの調査 では、回答した組織の73％が、過去3年間に第三者によるサイバーインシデントによって少なくとも1回の重大な業務中断を経験したと回答しています。

従業員 800 名、主に米国に32 カ所の拠点を構えるグローバルな建築・エンジニアリング企業、レオ・A・デイリー（Leo A Daly）のサイバーセキュリティ担当最高情報責任者（CIO）として、スティーブン・ヘルド氏（右）はこうした統計情報を常に把握しています。 また、彼は、サードパーティ・リスクに関して、おそらく最も尋ねられることの少ない質問が何であるかについても認識しています。

第三者やソフトウェアのサプライチェーンに起因するリスクが高まっています。 脆弱性を把握しましょう――ほんの数秒で。

もし自分が第三者の立場になったら、どうなるのでしょうか？

サードパーティ・リスク（ ）については、ほとんどの場合、内部の視点から外部に向けて議論されます。 のソフトウェア提供元である や、貴社のサイバーエコシステム内に存在するその他の第三者の中で、意図せず貴社に損害を与える可能性があるのはどの企業でしょうか？ これは非常に重要な問いですが、その逆の側面についてはどうでしょうか。つまり、 、つまり貴社の 担当会社が、クライアントに何らかのリスクをもたらしている可能性はないでしょうか？

規模が大きく影響力のあるクライアント、あるいは 膨大な量の消費者データを保有しているクライアント は、サイバー犯罪者にとって格好の標的となります。 そうなると、あなたも標的になってしまうのです。

「こういうことが、ヘルド氏を夜も眠れなくさせているのです」と彼は語り、自身の事務所がパートナーが襲われる原因となるような事態を絶対に防ぐと決意しています。

『Focal Point』の は、ヘルド氏と対談する機会を得て、同氏の組織が今日の脅威情勢にどのように対処しているかについて詳しく伺いました。

[このインタビューは、読みやすさと分量を考慮して編集されています。]

建築設計事務所がサイバー攻撃の標的になりやすいとは、通常は考えにくいことですが、明らかにその可能性についてご懸念をお持ちのようですね。 それはなぜですか？

私も、この会社でCIOとして働き始めて数年が経った頃、同じことを思いました。

しかし、攻撃手法がますます進化していく様子を目の当たりにするにつれて、状況は変わっていきました。 ハッカーは、必ずしもあなた自身を狙っているわけではないかもしれませんが、あなたとつながりのある人物に近づこうとして、あなたを標的にしている可能性があります。 クライアントがどのような組織であるか、あるいは の政府機関と業務を行っているかによって、攻撃を受けやすくなる可能性があります。

「クライアントの属性や、政府機関と業務を行っているかどうかによっては、攻撃に対してより脆弱になる可能性があります。」

今日では、どの業界に属しているかはほとんど問題ではありません。官民を問わず、パートナー各社から、サイバーセキュリティ、データ保護、および復旧に関する基準の強化が求められています。 そうした理由から、私たちが最も狙われやすい標的にならないよう、万全を期さなければなりませんでした。

それ、どうやってやっているんですか？

私たちは、攻撃の状況をいくつかの異なる観点から考察しています。 例えば、私たちの環境には約 1,200 台のコンピュータがあります。 誰かがそれらを利用して、 分散型サービス拒否（DDoS） 攻撃を仕掛けようとする可能性は十分にあります。 必ずしも、私たちの事業とは関係がないかもしれません。 おそらく彼らは建築図面を盗もうとはしないでしょう。ただ、他の誰かを標的にするために、それらのデバイスを掌握したいだけなのです。 ですから、こうしたあらゆる事態からお客様を守るために、全力を尽くさなければなりません。

クライアントがハッキング被害に遭う原因とならないよう、他にどのような対策をお取りになっていますか？

さて、DDoS攻撃以外にも、世の中に存在するあらゆる種類の攻撃経路について検討し、それらを防御するために適切な技術やプロセスを導入する必要があります。

その多くは、「 」のソフトウェア・サプライチェーンのセキュリティ（ ）や、当社が使用しているソフトウェア製品に関連しています。 SolarWindsや 、MOVEitのように、ニュースの見出しで脆弱性が報じられている製品がある場合、当社でそれらを導入しているかどうかを確認する必要があります。また、導入している場合は、適切に パッチを適用し、 しているかどうかも確認しなければなりません。 すべてのソフトウェアには脆弱性が含まれていることを私たちは承知しておりますので、これは当社のすべてのソフトウェアに当てはまります。

[関連記事：サプライチェーンを強化するための米国政府の戦略]

セキュリティの専門家として、夜も眠れなくなるほど気にかかることは何ですか？

何が私の眠りを妨げないのでしょうか？ 私が最もよく考えるのは、主に2つのことです。1つは、外の世界に対して何を伝えるかということです。

「」AIが活用され、「文法的に完璧な」フィッシング攻撃が生成されています。 つまり、これまで不正を見抜くために頼りにし、訓練を重ねてきた指標は、もはや有効ではないということです。”

私たちは、 サイバーセキュリティのベストプラクティス や意識を共有し、互いに助け合えるよう、このような対話を続けています。その一方で、私たち自身もまだ成長の途上にあることを認識しています。 セキュリティは常に変化するものです。 防御が強化されるにつれて、攻撃もより巧妙になっていきます。 最近、 の人工知能（AI） が、「文法的に完璧な」フィッシング攻撃 を生成するために利用されているという話を耳にしました。 つまり、これまで不正を見抜くために頼りにし、訓練を重ねてきた指標は、もはや有効ではないということです。

もうひとつ――私にとっては、おそらくこちらの方がより恐ろしいことなのですが――、当社よりもはるかに規模が大きく、リソースも豊富な他社でさえ、 依然としてセキュリティ侵害に遭っているのです。 が、に攻撃を受けた際に費やしている時間と労力を見ると、その凄さに圧倒されてしまいます。 情報漏洩についてクライアントに通知を送らなければならないような事態は、誰しも避けたいものです。 私はいつも、その事態に先手を打とうと努めています。

ネットワークのセキュリティ確保のために、どのような技術を採用されていますか？

弊社では、セキュリティインシデント・イベント管理（SIEM）、侵入検知、侵入防止、および のエンドポイントソリューション など、さまざまなセキュリティ技術を組み合わせて導入しております。 弊社では、 の多要素認証（MFA） を、のパスワードよりも多く利用しています。 管理者権限を分離しております。 また、当社はネットワーク接続型ストレージ（NAS）およびファイルサーバー統合プラットフォームを採用しており、これにより地理的に分散した環境を実現するとともに、組み込みのセキュリティ機能を活用しながらファイルの同期を行うことが可能です。

また、当社の全従業員には、毎年「 」のセキュリティ研修（）を受講してもらっており、その研修内容の一部には、「 」の内部脅威に関するセクション（）が含まれています。

[関連記事：従業員の注意散漫が増加傾向にあります――デジタル・エンプロイー・エクスペリエンス（DEX）プラットフォームが解決策となります]

従業員が詐欺に遭いそうになったという、危ない目に遭ったことはありますか？

ええ、最近見受けられるのは、従業員がCEOやCFOを名乗る人物から、「ねえ、ちょっとプレゼントを配ろうと思っているんだけど」といった内容のテキストメッセージやメールを受け取るケースです。 「外に出て、100 ドルのAmazonギフトカードをたくさん買って、私に送ってください。」

実際にそのギフトカードを購入した従業員が1人いましたが、その従業員がCFOのところへ行き、「これ、どうすればいいですか？」と尋ねてくれたおかげで、幸いにもその事実を把握することができました。

[関連記事：フィッシングだけでも十分厄介なのに、サイバー犯罪グループはますます大胆になっています――「ヴィッシング」の世界へようこそ]

当社には、そうした事柄をしっかりと管理するための、かなり体制が整った経理部門がありますが、同時に、従業員に対しても、そのような詐欺に警戒するよう教育を行っています。 また、当社の従業員は、ソーシャルエンジニアリングの手口が見られた際に、私たちに報告してくれるという点で、かなり協力的です。

ゼロトラストは、御社のサイバーセキュリティ戦略の一部となっていますか？

これまでは、 のゼロトラスト という考え方を取り入れることについてお話ししてきました。 しかし、それはかなり負担が大きいですし、協力体制が重視される職場環境とは正反対のことです。 私たちはそれを実現したいと思っています。 私たちはゼロトラストを採用したいと考えています。 しかし、まだそこまで至っていません。 これにはネットワーク管理の大幅な転換が必要となり、それには時間がかかります。

詳細はこちら

「サクセスストーリー」シリーズで、セキュリティリーダーとの他の独占インタビューもご覧ください。