メインコンテンツへスキップ
CISO成功事例：Zoomがサイバーリスクスコアリングでサイバーセキュリティ2.0を達成した方法
視点

CISO成功事例：Zoomがサイバーリスクスコアリングでサイバーセキュリティ2.0を達成した方法

主要なCISOの方々への一連の1対1インタビューの第1弾として、Focal PointはZoom社のマイケル・アダムス氏と対談し、サイバーリスクスコアリングが真に成果を上げた瞬間について話し合いました。

パンデミックが発生した当時を振り返ってみてください。まるで一夜にして、世界中がビデオ会議を取り入れ始めたかのようでした。 あらゆる種類の会議のために、あらゆる人々をつなぐという点ではまさに天の恵みでしたが、企業、学校、政府機関、そして、まあ、ほぼすべての人がビデオ会議やその他の のコラボレーションソフトウェアに依存するようになるにつれて、プラットフォームの脆弱性も増していきました。 のユーザーは、 のような多要素認証 といった基本的なセキュリティ対策を実施しておらず、暗号化の導入も不十分であったため、プライバシーが危険にさらされていました。 ビデオ会議の増加に伴い、サイバーセキュリティ上のリスクも高まりました。

ダークスーツに赤い柄のネクタイを合わせた男性の、プロが撮影したポートレート写真

ビデオ会議ブームの先駆けとなったZoomの最高情報セキュリティ責任者（CISO）であるマイケル・アダムス氏にとって、パンデミックは同社に、一見問題には見えない予期せぬ課題をもたらしました。それは、顧客基盤の急激かつ指数関数的な拡大でした。 CEOたちはそのようなことを夢見るかもしれませんが、アダムス氏は、Zoomの成長には、サイバーセキュリティについてこれまでとは異なる新しい考え方が必要であることを理解していました。

そして、その新しいアプローチにおける重要な一歩は、 のサイバーリスクスコアリング機能（）を強化することでした。

御社の組織が実際にどれほど安全か、あるいはどれほど脆弱なのかを把握しましょう。わずか 5 日で包括的なリスクスコアを取得できます。

パンデミック以前、Zoomは小規模なセキュリティチームを擁していました。 「彼らは素晴らしい仕事をして、会社の基盤を築いてくれました」と、 2020年8月 年に最高執行責任者（COO）および最高情報セキュリティ責任者（CISO）の顧問としてZoomに入社し、昨年CISOに就任したアダムス氏は述べています。

リモートワークの普及に伴い、同社は、彼が「サイバーセキュリティの 2.0 バージョン」と呼ぶ段階へと前進しました。 これは、すでに導入されているセキュリティシステムを構築・強化し、Zoomの既存のセキュリティプログラムを拡充して、将来的に発生しうるリスクに対処するための機会となりました。 そのためには、新たなリスクが何であるかを把握し、特にそれらのリスクが時間の経過とともに変化してきた（そして今も変化し続けている）ことを踏まえ、プログラムやアプローチをそのリスクに合わせて調整する必要がありました。

「脅威の状況やリスクの状況について包括的な視点で捉え、そこからさらに掘り下げて、顧客に対する具体的な義務を[把握]する必要があります。」
ZoomのCISO、マイケル・アダムス氏

具体的には、リスクスコアリングは、 の脆弱性管理 や、特定のコンプライアンスや顧客への義務を遵守しなければならない分野、そして のサードパーティリスク管理 といった分野において、同社のセキュリティ体制に大きな変化をもたらしました。特にサードパーティリスク管理は、ビデオ会議の利用が拡大していたこの時期、さまざまな理由から他の分野ほど優先度が高くなかった分野でした。 リスクスコアを活用することで、Zoomは、そうでなければ見過ごされてしまい、ブランドが のサイバー犯罪グループ、いたずら目的の の10代のハッカー、および の内部脅威にさらされることになっていた潜在的な問題を特定することができました。 その代わりに、Zoomは、さらに包括的なセキュリティ体制を構築するために投資を振り向けたのです。

「投資を行い、リソースを投入する必要があることはわかっていました」とアダムズ氏は述べています。 また、実際のリスクを特定し、そのリスクに対処するために主要な要素にどのように焦点を当てるべきかを決定するためには、さらに深く掘り下げる必要があったと、彼は付け加えています。

The results of this cyber-risk analysis became the basis for a new security posture and set of program priorities for the fiscal year 2020.

[関連記事：サイバーリスクスコアは単なる数字以上の意味を持つべきものです。ですから、数字そのものを見るだけでなく、その数字が何を示しているのかに注目してください]

これは、あらゆる企業に通用する教訓です。 多くの組織は、自組織が直面しているリスクについてある程度理解していますが、そうしたリスクを特定し、監視するための正式な体制を整備していない組織があまりにも多いのが現状です。

サイバーリスク評価プログラムの立ち上げ方法

リスクスコアリングは、まず御社に関連するリスク指標を特定することから始まります。 考慮すべきサイバーリスクの指標は数多くあります（成功した、あるいは未遂に終わったサイバー攻撃の件数、パッチ管理のスピードやスケジュール、サイバーインシデントへの対応時間などです）。 アダムス氏は、 のNISTサイバーセキュリティフレームワーク（CSF） およびのISO 27001 に準拠し、セキュリティチームが四半期ごとに特定のリスクに対する自社のリスク状況を把握するのに役立つ一連のリスク指標を策定しました。

「守るべきものが何であるかを知らなければなりません。」
アダムス

例えば、アダムズ氏は、CSFには 5つの機能があると説明しています。 その中でも、「identify」機能は、組織が物理資産やソフトウェア資産を把握し、 の包括的な資産管理ソリューションの基盤を確立するのに役立ちます。

「資産管理は、あらゆるサイバーセキュリティプログラムにおいて重要な要素です」とアダムス氏は述べています。 「守るべきものが何であるかを知っておく必要があります。」 さらに詳しく見ていくと、アダムズ氏は以下の懸念点について答えを出そうと試みました：

[関連記事：資産の特定と、それを迅速・完全・正確に行うための inventory—9 の方法]

「これは一例に過ぎませんが、脅威の状況やリスクの全体像を包括的に把握した上で、それを掘り下げて分析し、お客様に対する具体的な義務について、状況に応じた理解を深める必要があります」と彼は述べています。 どちらの見方も、2つの異なる領域について洞察を与えてくれるため、必要不可欠です。1つは「脅威」であり、これは脆弱性の悪用によって発生する悪意のある事象を指します。もう1つは「リスク」であり、サイバーインシデントが発生した場合に生じうる損失や損害を指します。

今後、リスクスコアリングのベンチマーク――つまり、自組織の環境を競合他社の環境と比較する指標――は、アダムス氏とそのセキュリティチームがすべての重要な分野を網羅していることを確認し、リソースの優先順位付けを行う上で役立ちます。 主要リスク指標は、どの資産が標的とされているかを特定し、異常を検知するために必要な指標を提供します。 リスク指標は機能分野ごとに整理され、追跡されています。

[関連記事：ベンチマーキングの価値――自社のサイバーセキュリティの水準を把握することにはメリットがあります]

「成功するセキュリティ戦略とは、最先端のセキュリティフレームワークを活用するとともに、ビジネスの実情に合わせたリスクスコアリングも活用すべきだと私たちは考えています」とアダムス氏は述べました。 「この組み合わせによって、私たちはリソース、時間、そしてエネルギーを最大限に集中させ、お客様や当社がZoomに期待するセキュリティを提供することができるのです。」

また、アダムス氏は、同社の 取締役会のメンバーで構成される3名からなるサイバーセキュリティリスク委員会とも緊密に連携しています。。 このような委員会の設置は、米国証券取引委員会（SEC）が昨年提案し、現在最終調整が進められている 一連の新規則 において概説された、のような良きガバナンス戦略 の実現に向けて大きく寄与するものです。 Zoomのリスク委員会は四半期ごとに会合を開き、次年度の戦略について協議しており、アダムス氏はこの機会を利用して、NISTおよびISOのガイドラインに沿った、サイバーセキュリティプログラム全体の最優先事項と目標について説明を行っています。

サイバーリスクスコアリングの最も重要な（そして予想外の）メリット

サイバーリスクスコアリングの最大のメリットは、おそらく最も目立たない点にあると言えます。それは、自分がリスクだと気づいていなかったリスクを明らかにする能力であり、そうしなければ存在に気づかなかったであろう問題に気づかせてくれるのです、とアダムズ氏は述べています。 その情報を手元に持つことが、より堅牢で効果的なサイバーセキュリティ戦略の基盤となります。 Zoomの場合、アダムス氏とそのセキュリティチームは、目標の優先順位をより適切に設定できるようになりました。

「 という強力なセキュリティチーム や、信じられないほど才能があり、献身的で、自分の仕事を愛し、その分野で並外れたスキルを持つ人々に恵まれていることは、私にとって大変幸運なことです」とアダムス氏は述べています。 また、取締役会を含む経営陣が、 や といった声に耳を傾けていることも役立っています。Zoomの意思決定者たちは、サイバーセキュリティの改善やリソースの投入を含め、この分野に積極的に取り組んでいます。

「リスクに関する問題には適切に対処する必要があります」とアダムズ氏は付け加えます。 そのためには、戦略的なセキュリティプログラムが必要であり、ある単純な事実を認識しなければなりません。それは、すべてを一度に解決することはできないということです。 リスク評価は、アダムス氏とそのチームに指針を示しました。それは、パンデミックによって引き起こされた予期せぬ問題を特定し、組織がセキュリティ上の課題を新たな視点で捉えるよう支援することでその問題を解決し、将来に向けたカスタマイズされた戦略とロードマップを提示したのです。

詳細はこちら

「サクセスストーリー」シリーズで、セキュリティリーダーとの他の独占インタビューもご覧ください。