この新しい在宅勤務の文化は、現代の組織にとって非常に複雑な課題を生み出しています。
パンデミックの初期に、従業員が業務を遂行するために慌てて自宅に持ち帰った、あるいはその後、対応に追われていたITチームが急いで調整を行い、従業員に郵送した、ノートパソコン、タブレット、PC、プリンター、スキャナーなど、数十億台ものデバイスについて考えてみてください。 これらのエンドポイントを管理し、セキュリティを確保することには、数え切れないほどの課題があります。 その多くはもはや組織のネットワーク内に限定されているわけではなく、制限のない市販のブロードバンドやWi-Fi接続を通じて広く分散しています。
この広大なネットワークの全貌を把握するには、サイバーセキュリティ専門家の団体である(ISC)2が毎年実施している「 サイバーセキュリティ人材調査」（ ）をご覧ください。 3,790 人のセキュリティ担当者を対象とした世界規模の調査によると、回答者の30％が、所属組織がたった1日でリモートワーク体制に移行したと回答した一方、 47％は1週間という比較的余裕のある期間をかけて移行できたとのことです。 報告書が指摘しているように、この急激な変化により、「サイバーセキュリティの専門家たちは、リモート環境への移行とセキュリティ確保において、かつてないほどの負担を強いられました」。
私のようなCISOの間では、ネットワークの複雑化が進むにつれて、エンドポイントの管理やセキュリティにおいて、コストと時間を要する課題が生じているというのが一般的な見方です。 Taniumでの私の仕事柄、このような話をよく耳にします。 私は、他のセキュリティおよびIT担当役員の方々が、サイバーリスクへの対応、IT運用の管理、そしてビジネスの回復力の向上に取り組むお手伝いをする役割を担っております。 また、Taniumのシステムとデータの保護も担当しております。
私が学んだことは、複雑さが組織のセキュリティ維持と必ずしも相反するものではないということです。 実のところ、「複雑性」という用語そのものが誤用されていると思います。 多くの場合、人々が「複雑さ」について語る際、実際にはビジネスや技術の多様性を指しているのです。 これらは、多様なビジネスニーズやユースケースに加え、それらを支えるために必要な技術インフラやアプリケーション――ハイブリッドクラウドやマルチクラウドの導入、SaaSやカスタムアプリ、さらにはこれらのリソースにアクセスするためのデバイスの拡大するエコシステム――を総称したものです。 組織は、多様性を自社の強みとして活用することで、より多くの場所でデバイスを動かすためのアプリケーションをより容易に提供できるようになります。 IT部門がビジネスやテクノロジーに対する可視性や管理能力を欠いている場合にのみ、それらは真に複雑なものとなります。
名称の問題はさておき、あらゆる組織が複雑性を受け入れ、それを乗り越えて成功を収めるための5つの方法をご紹介します。
ハブ・アンド・スポーク型モデルを打破する
ここ数十年にわたり、ITチームはネットワークセキュリティ管理をハブ・アンド・スポークモデルに基づいて行ってきました。 彼らはデータセンターにセキュリティ機能を導入し、そのデータセンターに接続されているオフィスの全員が利用できるようになりました。 そのモデルは根本から覆されてしまいました。 リモートワークが主流となった現代において、こうした環境へのアクセスには、あまりにも多くのボトルネックが存在します。
例えば、 32,000 人の従業員が、レガシーなVPN接続を介してデータセンター内のネットワークアプリケーションに接続しようとしている大手金融サービス企業を想定してみましょう。 その同じ接続性が、セキュリティサービスにも活用されています。 その結果、企業ネットワークにボトルネックが生じます。 多くの企業は、業務用アプリケーションを稼働させ続ける必要があるため、結局のところセキュリティ面で妥協せざるを得ない状況に陥っています。
まず最初に行うべきことは、潜在的なボトルネックへの依存を取り除くことです。 もし全員が在宅勤務を行い、ケーブル回線やDSL回線を利用している場合、ネットワーク層でのセキュリティ対策だけでは不十分です。 従業員が分散して勤務する環境では、そのネットワーク層は不要となります。 つまり、エンドポイントでのセキュリティ対策が必要だということです。 また、クラウド上のサービスがSaaSであれIaaSであれ、そのセキュリティを確保することが重要です。
すべてのエンドポイントを特定する
目に見えないものは、管理も保護もできません。 例えば、私がお付き合いしている多くのCISOやCIOの方々は、資産管理には のソリューション（）、脆弱性管理には のソリューション（ ）、パッチ管理にはのソリューション（）をそれぞれ1つずつ利用されています。 複数のシステムを使用してデバイスを管理・保護すると、可視性の死角が生じてしまいます。 これらのツールは、それぞれ異なる仕組みで動作します。 Windowsで動作するものもあります。 Linux でも動作するものもあります。 Macで動作するものもあります。 ツールがこのように分散していると、リスクの程度を適切に評価することが極めて困難になります。
「目に見えないものは、管理も保護もできません。」クリス・ホドソン
「ねえ、この四半期は、重要なパッチの適用率を 97％達成できたんですよ」と言うCISOの方々を知っています。 「それは会社の記録ですね。」 皆が拍手したり、ハイタッチしたりしています。 しかし、そのCISOは、自身の管理下にある技術環境の最大 75％にしか、そのパッチ適用エージェントを導入していないのです。 彼女は残りの部分が見えないので、そこは修正されません。 その結果、非常に歪んだ指標が出てしまうのです。
リモートワークが普及している現在、状況の把握が難しくなっています。 しかし、管理プレーン、つまりエンドポイントを特定してアクセスするための単一のダッシュボードがあれば、可視性と制御力を高めることができます。
ゼロトラストを取り入れましょう
セキュリティをデータセンターから遠ざけ、エンドポイントに近づけることが、今日の分散型ビジネスと事業継続性を守るための鍵となります。 従業員は、CISOやセキュリティチームがパッチの適用状況など、セキュリティ管理の状況を把握できないようなデバイスを使用しています。 その意味で、攻撃対象領域の規模は爆発的に拡大しました。
ここで「ゼロトラスト」が重要になってきます。 その仕組みはシンプルです。 組織のコンピュータネットワークを侵入から守るため、すべてのデバイスおよびユーザーは、たとえシステムに以前から登録されているものであっても、潜在的な脅威として扱われ、ネットワークへのアクセスが許可される前に認証を受ける必要があります。 ゼロトラストモデルは、20年ほど前から存在しています。 しかし、ほとんどのセキュリティチームは、実際にはそのルールを徹底させるまでには至りませんでした。 パンデミックや、セキュリティ対策が施されていないWi-Fiネットワーク上で利用されるリモートエンドポイントの急増により、今やそれが不可欠となっています。
シフト・レフト
CISOとして、私は人々に「それはやってはいけない」と指示するためにいるわけではありません。 しかし、それは従来、セキュリティ部門の役割と見なされてきましたが、これは今日の「早期に失敗し、迅速に反復する」というアジャイルソフトウェア開発の手法とは相容れないものです。
その問題を解決する方法の一つは、「シフトレフト」と呼ばれるソフトウェアテスト手法を採用することです。 つまり、開発サイクルのより早い段階（左側）でテストを行い、開発者がコードを記述・リリースする過程でセキュリティ修正を組み込んでいくことになります。 セキュリティ対策のルールを早い段階で明確にしておくことで、本番環境への移行時に複雑さを軽減することができます。 これにより、セキュリティチームは、変化するビジネス要件に合わせてセキュリティ要件を柔軟に調整できる機動力を持つことが保証されます。これは、アジャイルベースの開発プロジェクトにおいて避けられない結果です。 セキュリティ部門は、過度な干渉を避けつつ、極めて重要な助言をほぼ即座に提供すべきです。
技術だけでなく、ビジネスそのものに焦点を当てましょう
複雑さは、技術的なものだけではありません。 パンデミックという状況下において、組織が現在直面している大きな課題の一つは、自社の事業継続性を把握することです。 御社のサービス、具体的には事業部門向けサービス、セキュリティサービス、ITサービス、そしてサプライチェーンは、どのように機能しているのでしょうか？ その判断は、CISOおよびCIOの管轄範囲内であり、エンドポイント管理の範疇に属します。
3月、皆がリモートワークを始めた頃、Tanium自体の事業継続体制について尋ねるお客様からの問い合わせが、まさに殺到しました。 彼らは次のように尋ねました。「全員が在宅勤務となっている中で、どうすれば顧客やパートナーへのサポートを継続できるのでしょうか？」 一部のお客様から、当社の手法について 150 問もの質問が盛り込まれたアンケートが寄せられました。 また、場合によっては、ガバナンス担当者に直接電話をかけ、当社の取り組み方針を説明するとともに、当社のアプリケーションソフトウェアが正常に機能しており、信頼できるものであることを証明するために、各種コンプライアンス・フレームワークに対する適合証明書の写しをお渡しすることもありました。
ここからわかるのは、事業継続計画は、組織のプロセスや人材に適合していなければならないということです。 これは、企業がサイバーセキュリティに取り組む姿勢と似ています。 結局のところ、サプライチェーンを信頼する必要がありますが、その信頼をどのように裏付けるかは主観的な問題であり、自社の企業文化とリソースの両方に合致するものでなければなりません。
ですから、複雑さへの対処は単なる技術的な問題ではないのです。 複雑さはサプライチェーンに起因しています。 これは、上流および下流のリスクを特定することです。 重要なのは、技術面だけでなく、人材や、人々が業務を遂行する方法においても、どのような依存関係があるかを把握することです。
複雑さは、現代のビジネスが運営されるあり方そのものです。 それを受け入れることで、今後何が起ころうとも、従業員を支える準備が整います。 分散型ビジネスの運営は複雑ですが、それは同時に成功を収めるチャンスでもあります。 そして、マイク・タイソンが言ったように、「誰もが、顔面にパンチを食らうまでは、何かしらの計画を持っているものです。」
クリス・ホドソン氏は、タニウムのCISOを務めています。
