ほとんどの機関は、テレワークの需要が急増した当初の要件を順調に満たし、不可欠な業務を継続するための基礎的な体制を整えました。 最近の調査によると、 連邦政府職員の約90 パーセント (新しいタブで開きます) が現在テレワークを行っており、 76 パーセントが将来、少なくともパートタイムでテレワークが可能になると感じていることが分かりました。 基礎的な体制が整った今、すべてのITチームにとって次の優先課題は、サイバーリスクや現在の保護対策、そしてエンドポイントの数が飛躍的に増え、設置場所も広がっている環境において、システムとデータを安全に保つために何が必要かを慎重に評価することです。
機関のネットワーク境界の外で稼働しているエンドポイント端末に保存されているデータだけがリスクにさらされているわけではありません。万が一、それらの端末が侵害された場合、悪意のある攻撃者によって、機関のエンタープライズネットワーク上の機密データを改ざんしたり盗み出したりするために利用される可能性もあります。 保護されたネットワーク外のデバイスの数が増えるにつれて、攻撃対象領域が広がり、リスクが高まります。
実のところ、テレワークが急増する前から、多くの組織は基本的なサイバー衛生管理にすでに苦慮していました。また、導入されていたセキュリティツールのほとんどは、オンプレミス型の企業向けに設計されたものでした。 従業員が分散して勤務する状況では、導入されているセキュリティツールの効果がさらに低下するため、サイバーリスクが高まります。
この新たな環境において、連邦政府のITチームは、リスクの優先順位付けと是正措置に注力すべきです。つまり、最も高いリスクをもたらし、当該機関とその使命に最大の悪影響を及ぼす可能性のある脆弱性を特定し、対処する必要があります。
リスクの優先順位付けと是正措置の実施
連邦政府機関のほぼ半数 (新しいタブで開きます) が、新たな分散型勤務体制がプロジェクトの遂行に影響を与えていると回答しており、4分の1以上が次年度の計画策定が遅れていると感じています。 4月と5月は変化の月でしたが、6月は遅れを取り戻す月になると予想されています。 顧客からのリアルタイムな情報やITサポートに対する需要や期待が高まっているため、各機関は万全の体制を整えておく必要があります。
リスクの優先順位付けを行うことで、ITチームはデータの脆弱性にとどまらずインフラ全体を評価し、どの脆弱性に対してパッチを適用すべきかを判断したり、エンドポイントのセキュリティレベルを評価したりすることが可能になります。これにより、リスクレベルが劇的に変化する可能性があります。 リスクの優先順位付けを行うことで、セキュリティチームは、すでに限られているリソースをより効果的に配分し、業務上不可欠なタスクに注力することができます。
しかし、ITチームは現在、各エンドポイント間の「分離の度合い」を、その状況に応じて考慮しなければなりません。 企業ネットワークへの接続に加え、他のエンドポイントへの接続や、各エンドポイントで認証されたアプリケーションやユーザー、さらにはADグループのメンバーシップなどの仕組みを通じて付与される権限や特権なども、しばしば存在します。 たとえ1つのエンドポイントが完全に安全であったとしても、別の、より脆弱なエンドポイント上のユーザープロファイルが、ネットワーク全体への横方向の移動の侵入経路となる可能性があります。 大企業においては、こうした要因や変数が刻一刻と変化し得ることを踏まえると、四半期ごと、月ごと、あるいは週ごとのリスク評価では不十分です。
多くの場合、各機関が直面しているセキュリティ上の問題は過度に単純化されており、ベンダーが提供できる解決策も部分的なものに留まります。ベンダーは脆弱性評価を実施し、業界標準である「共通脆弱性評価システム（CVSS）」などのシステムからリスクスコアを取得することで、各機関が自社の脆弱性管理プロセスを評価・順位付けするのを支援しています。 しかし、こうしたリスクスコアリングシステムは、脆弱性のリスクスコアを算出するために複数の種類のデータを組み合わせていますが、必ずしもリアルタイムのデータに基づいているわけではなく、その結果の精度は入力されたデータの質に左右されます。
ベンダー各社は、脆弱性の診断や脅威の特定というパズルのピースの一つを完成させましたが、今後は、ネットワークへのアクセスを試みている数百万のエンドポイント（その中には未知のものも含まれます）にわたる数百万ものリスクスコアと、これらのエンドポイント間の関係が時間の経過とともにどのように変化しているかという文脈も考慮に入れなければなりません。
ネットワークの全体像を完全に把握できないため、多くの脆弱性が未発見のままとなり、ITチームにとってリスク評価は単なる当て推量に過ぎなくなってしまいます。その結果、セキュリティ侵害が発生する可能性が高まります。 リスクスコアは常に変化し続けるものであり、特に新しいテレワーク環境においては、機関の環境と全体的な使命を守るために、リアルタイムのデータに基づいていなければなりません。
接続に関する課題
各機関で基本的な接続環境が整った今、焦点は接続の最適化とセキュリティの向上へと移っています。 さまざまなアプローチがあります。一部の機関では、スプリットトンネル方式の仮想プライベートネットワーク（VPN）はリスクが高すぎると判断し、ユーザートラフィックと管理トラフィックの両方が同じチャネルを通るフルトンネル方式のVPNを採用しています。 このアプローチは、安全な接続を確立・維持するという短期的な目標を達成することはできますが、予期せぬ結果も招くことになります。
フルトンネルVPNを使用すると、応答時間が遅くなる可能性があり、その結果、従業員がVPN接続を完全に切断してしまうことがあります。 このような状況になると、ITチームはそれらのデバイスの存在を把握できず、定期的なパッチ適用も行われないため、サイバー攻撃に対する脆弱性がますます高まってしまいます。 かつてこれらのエンドポイントは、企業ネットワークの境界という保護境界の内側に存在することで追加の保護を受けていましたが、現在では制御されていない環境に孤立しており、個別のツールによる保護のみに頼っている状態です。また、アクティブな管理や可視性は、VPNに接続している間のみ確保されています。
BYODの導入により、リスクと複雑さがさらに増しており、多くの従業員が業務を継続するために個人所有の端末を利用するようになっています。 しかし、個人の端末や職場のパソコンに標準で搭載されているツールだけでなく、それぞれにインストールされ管理されているセキュリティツール間にも、しばしば不一致が見られます。 また、こうしたBYOD端末が機関のネットワークに断続的にしか接続できない場合、サイバー犯罪者は、メインサーバーに侵入するために、多層的に保護された境界を突破する必要がなくなります。 彼らは、保護されていないデバイスをネットワークへの侵入経路として利用することができます。
包括的なアプローチにより、資産がどこにあるかに関わらず、ネットワークの可視性と管理性を向上させることができます。 課題となっているのは、接続性、エンドポイントセキュリティ、および境界セキュリティに関する決定が、統合的なソリューションとしてではなく、各分野を担当する独立したチームによって、しばしば孤立した状況下で下されてしまうことです。 全体的なアプローチを念頭に置くことで、各チームは、機関のリスクに影響を与えている要因を把握し、当面は各リスクを軽減するとともに、長期的には是正措置を講じることができます。
のエンドポイント管理ツール「 」とセキュリティソリューションを統合した単一のプラットフォーム上でチームを統合することで、各機関はデータのサイロ化を解消し、IT運用チームとセキュリティチームの間にしばしば存在する、説明責任、可視性、および回復力に関するギャップを埋めることができます。 これにより、各機関は、エンドユーザー、サーバー、クラウドエンドポイントにわたるエンドツーエンドの可視性を実現する最新のアプローチを活用できるほか、資産の特定、システムの保護、脅威の検知、攻撃への対応、そして大規模な復旧を行うことが可能になります。
その結果、各チームはリスクや脆弱性を特定し、環境全体にわたってそれらのリスクの優先順位を付けることができます。 何よりも重要なのは、彼らがリアルタイムで対応策を講じ、地球上のどこにあるエンドポイントに対しても修復措置を講じることができるという点です。
次の段階
将来を見据えたソリューション
各機関が将来を見据える中、業務はかつてのように再開されることはなく、予算にも影響が出るでしょう。 各機関は、長期的な観点から解決策の持続可能性、特に分散型勤務体制が伴う固有のリスクの軽減という観点から検討しなければなりません。 今後の計画においては現実的な姿勢を貫き、リスクの評価や測定、リスク軽減策の策定、そしてコスト効率の良い方法でリスクに対処し、ネットワークの安全を確保することについて、理念的な議論を行うべきです。 ITチームはデータに基づいた対応を行い、各部署が利用しているデータの妥当性を確認する必要があります。
リアルタイムデータ
各機関は、劇的かつ不可逆的に変化したリスク環境の中で、事業および任務の継続性を維持するため、リアルタイムのデータに基づいてリスクを評価し、対処するための基盤を構築しなければなりません。
ツールの評価
適切なリスク判断を下すために必要な量のデータを、十分な速さで入手することは不可能に思えるかもしれません。 しかし、それは不可能というわけではありません。実際に、今この瞬間にも行われているのです。 このリモート環境から生じる新たなリスクのレベルや種類を踏まえると、従来のリスク評価や対策を一時的に脇に置き、リスクに対して現実的な視点で向き合うことが極めて重要です。 各組織は、既存のツールや、リモートエンドポイントへの対応においてそれらのツールがどのような制約を受けているかを厳しく検証し、期待に応えられないレガシーツールやプラットフォームの置き換えを検討する必要があります。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、で開催予定のイベント（）にて、Taniumの専門家にご相談ください。
