セキュリティ担当者は、ランサムウェアやその他のサイバー脅威による攻撃の猛攻に直面しており、どこに注力すべきか判断するのは難しい場合があります。 そこで、「サイバーリスクスコア」が助けになると期待されています。
これらの評価は、サイバーセキュリティにおける信用スコアのようなものです。 のサイバーリスクスコア（ ）は、組織がサイバー攻撃にさらされている固有のリスクレベル、数十に及ぶ必要な軽減戦略における実績、およびセキュリティ体制に残る脆弱な部分について評価を提供します。
サイバー攻撃が成功してしまうのは、 のソフトウェア更新プログラムのインストール漏れ（ ）や、のパッチ管理の不備（）など、本来なら防げるミスが原因であることがよくあります。
サイバーリスク評価を行うことで、こうした問題が情報漏洩につながる前に、そのリスクを浮き彫りにすることができます。 これらは、 ランサムウェア対策の 戦略を、エビデンスに基づいて分かりやすく策定するための手法を提供しており、経営幹部や取締役会、あるいは政府機関の指導層に対して、改善の緊急性を伝える際に特に役立ちます。
の保険料 から、 のM&A案件 に至るまで、あらゆるものがサイバーリスクスコアに依存している現状を踏まえると、最高情報セキュリティ責任者（CISO）は、その呼びかけに耳を傾けるのが賢明でしょう。 しかし、こうした一見単純に見える数字は、セキュリティというパズルのほんの一部に過ぎません。 また、リスクスコアはすべて同じというわけではありません。 業務上極めて重要な決定を下す際に、これらのスコアを鵜呑みにする前に、その裏側をしっかりと確認しておくことが大切です。
何もしないことの代償
過去 18 か月にわたって相次いだ、業務に支障をきたし甚大な被害をもたらすランサムウェア攻撃は、セキュリティ対策が最も万全な組織でさえも動揺させました。 Cybersecurity Ventures estimates ransomware costs will surpass $265 billion by 2031. 市場調査会社IDCが調査した経営幹部のほぼ 40％が、過去 12 ヶ月の間に1回または2回のランサムウェア攻撃を受け、その復旧に多大なリソースを割く必要があったと回答しました。 経営幹部の37％が、攻撃によって1週間以上の業務中断が生じたと回答しました。
攻撃のペースと激しさが増す中、懸念を抱くCISOたちは自社のセキュリティ態勢を見直し、組織が直面しているリスクのレベルを把握しようと努めています。 IDCによると、ITセキュリティの意思決定者および影響力を持つ関係者の約 50％が、ランサムウェア攻撃への懸念から、過去1年間にサイバー対応手順について定期的なストレステストを実施したと回答しました。 また、 37％の組織が、一般に公開されている情報を用いて、セキュリティ、データ保護、および復旧に関する取り組みについて、組織全体にわたる見直しを実施していました。 こうした取り組みにもかかわらず、コンサルティング会社IDG Connectによる別の調査『 』によると、経営幹部の4分の3以上が、自組織のセキュリティ体制に自信を持っていないとのことです。
当然のことながら、多くのCISOは、自組織のサイバーリスクの程度について、切実に必要とされている洞察を得るために、サイバーリスクスコアを活用するようになっています。 スコアは弱点を特定する上で役立つ場合もありますが、脅威の優先順位付けや、組織がそれらの脅威から身を守るために講じるべき措置を決定する際に役立つ場合の方が、より有用です。
「単なるスコアだけでは、サイバーセキュリティ担当幹部がそのような経営判断を下すことはできません」と、NATOの認定倫理的ハッカー（CEH）によって設立されたサイバーリスク評価プラットフォーム「Black Kite」の最高セキュリティ責任者（CSO）であるボブ・マレイ氏は述べています。 「何か行動を起こさなければならないという判断を下すのに役立つ情報が必要であり、その行動が適切であることを確実にするための情報も必要です。」
ランサムウェアによる への攻撃が相次ぐ中、企業の取締役会や政府機関のトップは、CISOやCIOに対し、組織のセキュリティが強化されたことを示すデータに基づいた保証を求めています。 IDCが調査した組織のほぼ 30％が、前年度に取締役会から、ランサムウェアへの対応手順や、現在のデータ保護・復旧の取り組みに関するプレゼンテーションを求められたと回答しました。
[Read also: Ransomware 101: What is it and how do I prevent an attack?]
「経営陣は一般的にリスクの理解についてはしっかりと把握していますが、サイバーセキュリティにおけるリスクの定量化は困難であることが判明しています」と、Taniumのプロダクトマネジメント担当ディレクター、ショーン・マリオット氏は述べています。 その理由の一つは、大規模で複雑な組織において、セキュリティに関連する のデータが、 のように各部門のサイロに分散しているからです。 また、ITチームとセキュリティチームは、目標を達成できたかどうかを判断するために、しばしば異なるツールや指標を使用しています。
「現在、私たちが抱えている最大の問題は、サイバーリスクを特定し、定量化し、優先順位をつけるための枠組みがほとんど存在しないことです」と、テック系ベンチャーキャピタル企業「 Team8」の共同創業者であるナダヴ・ザフリル氏は説明しています。 ザフリール氏は、組織にはすべてを守りきることはできないと述べています。 同氏によれば、企業のネットワークは顧客やサプライチェーンのパートナー、さらには政府とも相互に依存し合っているため、経営者はリスクを把握し、優先順位をつけ、攻撃が成功する確率を低減できるよう対策を最適化しなければならないとのことです。
注目すべき点
CISO（最高情報セキュリティ責任者）たちが、組織が直面する脅威を評価するためにサイバーリスクスコアを活用する一方で、 コロニアル・パイプラインへの攻撃 は、単一の数値に過度に依存することの愚かさを浮き彫りにしています。
「コロニアル・パイプラインの[リスク]スコアはまずまずでした。 しかし、彼らがどのようにして被害者となったのかを示す明確な兆候がいくつかありました。”ブラック・カイト社の最高戦略責任者（CSO）、ボブ・マレイ氏
「セキュリティ評価の点では、まずまずのスコアでした」と、マレイ氏は述べています。同氏は以前、PayPalでグローバル第三者セキュリティ・検査部門の責任者を務め、ウェルズ・ファーゴではリスクコンサルタントとして、またペンシルベニア州ではCISO（最高情報セキュリティ責任者）を務めていました。 「しかし、いくつかの構成要素には、彼らがどのようにして被害者となったのかを示す明確な兆候が見られました。」
コロニアル・パイプラインは例外ではありません。 セキュリティインシデントは、多くの場合、組織の セキュリティ対策の脆弱性が原因となっています。。 リスクスコアが真に有用であるためには、そのスコアによって特定された脆弱性を企業が是正するよう促すようなセキュリティ情報が含まれていなければなりません。
「リスクを完全に排除するわけではありませんが、 を設定したり有効にしたりすることで、リスクを軽減するのに役立ちます」と、Tanium社のマリオット氏は述べています。 その中には、ウイルス対策ソフトがインストールされていること、そしてそれが最新の状態に更新されていることを確認することなどが含まれます。 「 10 年間も更新されていないウイルス対策ソフトを見かけることは珍しくありません」と彼は言います。
[関連記事：昨日の考え方では、明日の脅威には太刀打ちできません]
既存のリスクスコアリングソリューションは、通常、内部セキュリティデータの分析において不十分です。 「組織は、自社の資産全体に関するタイムリーかつ正確な情報を把握するのに苦労しています」とマリオット氏は述べ、「しかし、データは一貫性がなく、その場しのぎのものばかりです」と指摘しています。これにより、リスクの算定に偏りが生じる可能性があります。
その代わりに、マリオット社は、サイバーリスク対策ソリューションには以下の機能を備えるべきだと述べています：
豊富なセキュリティデータを提供します
内部のセキュリティ対策、想定される攻撃経路、主要な脆弱性、およびコンプライアンス要件に関する情報を活用することで、CISOはリスクをより的確に特定し、組織に最も大きな影響を与える可能性のあるリスクにリソースを集中させることができます。
例えば、経営幹部（C-suite）のノートパソコンが紛失した場合、新入社員のノートパソコンが紛失した場合よりも深刻な事態となります。 優れたシステムでは、 修正が必要なエンドポイントの正確な数 と、それぞれの懸念度を明確に示します。 「セキュリティチームがその情報を入手すれば、分析を行って状況を把握し、リスクレベルを下げるために何を修正すべきかを特定して優先順位をつけることができます」とマリオット氏は述べています。
よりスマートな優先順位付けを実現する
リスクスコアは、ある特定の時点における組織のサイバーセキュリティ状況の概況を示すことができます。 しかし、より有用なのは、多忙なITチームがリアルタイムで傾向を把握し、最も緊急性の高いリスクに迅速に対処できるよう支援する、継続的かつ包括的な評価指標です。 「誰かに、対応すべき 20 のエンドポイントのリストを渡すことも可能です。実際、それなら作業を進める上で妥当な方法と言えるでしょう」とマリオット氏は述べています。
組織のセキュリティ体制を強化する
組織が犯罪者への支払いを補填するためにサイバー保険への依存度を高めている中、保険会社は、顧客の におけるサイバー衛生管理の証拠を入手することに強い関心を寄せています。 同様に、第三者にとっても、サプライチェーンのパートナーがもたらすリスクを理解することは、極めて重要な関心事です。 また、もし政府が最終的に、サイバー攻撃を調査するために「 」国家サイバーセキュリティ安全委員会（ ）を設立することになれば、包括的な評価システムは調査担当者にとって有用なものとなる可能性があります。
[関連記事：エンドポイントから始まる適切なサイバー衛生管理が、米国のサイバーセキュリティにとってなぜ不可欠なのか]
ただし、当面の間は、各組織は自社のリスクスコアリングソリューションが、組織全体の目標と確実に結びついていることを確認すべきです。 これにより、取締役会や経営幹部から技術チームのリーダーに至るまでのビジネスリーダーが、スコアがどのように損失額や節約額に結びつくのかを理解できるようになります。
最終的には、ビジネス成果に関する共通の理解があることで、リスクスコアリングソリューションが、ランサムウェア攻撃の防止と事業継続性の維持に向けた包括的なロードマップを提供できるようになります。
