企業は、敵対的買収、人材の流出、予測不可能な顧客の行動、市場の変動など、数え切れないほどの存続を脅かすリスクに直面しています。これらはすべて、経営者が数十年にわたり慎重に計画を立て、評価してきた、お馴染みのリスクです。 しかし、こうしたリーダーたちでさえ、最も甚大な被害をもたらす可能性のある脅威――つまり、すべてを失うことになりかねない大規模なデータ漏洩――に対して、驚くほど準備が整っていないことがよくあります……それも、ほんの数秒のうちに。
問題は、企業内の「技術者」から始まるのではなく、むしろ最上層部の取締役会から始まるのです。これは、ナスダックとタニウムが提携し、経営幹部が自社のサイバーセキュリティ上の脆弱性をどのように評価しているかを調査した際に明らかになりました。 「説明責任のギャップ：サイバーセキュリティと責任感の文化の醸成」と題された新たな研究において、ロンドン大学ゴールドスミス校の研究者たちは、データセキュリティインシデントに対する企業の準備態勢について、想定と実態との間に懸念すべきギャップが存在すること、および組織の上層部において説明責任の欠如が広く見られることを明らかにしました。 つまり、私たちの最も貴重なデータを保管している世界最大級のネットワークのいくつかは、その責任者が考えている以上に脆弱であるということです。
この調査では、米国、英国、ドイツ、日本、デンマーク、ノルウェー、スウェーデン、フィンランドの各国の非執行取締役（NED）、Cレベル幹部、最高情報責任者（CIO）、最高情報セキュリティ責任者（CISO）計 1,530 名を対象にアンケート調査を行いました。 調査の結果、最も脆弱な企業において、経営幹部の 98％が、自社組織がすべてのデバイスとユーザーを常に監視できるとは確信していないことが判明しました。これは、情報が未知の経路を通って流通していることを意味します。
さらに、回答者の 90％は、サイバーセキュリティインシデントのリスクが中～高レベルに分類され、回答者の 40％は、サイバー攻撃による影響について責任を感じていないと認めました。 取締役会メンバーと経営幹部の双方が、サイバーセキュリティに対する認識と備えを正しく理解し、率直に共有するようになり、かつ全従業員が各自の責任について教育を受けるようになるまでは、実際の脆弱性と自覚している脆弱性との間のギャップを埋めることは、到底不可能なことです。
情報セキュリティは、グローバル 2000 企業において、IT支出の最大の分野となりつつあります。 PwCによると、情報セキュリティ分野の支出は、 2014 から2015へと、平均で 24％増加しました。 残念ながら、セキュリティ業界はサイバーハッカーの進化のペースに追いつけておらず、多くの企業では、最も機密性の高いデータを保護するために、何十年も更新されていない技術を使用しています。
同調査によると、データ漏洩事故の件数は支出の伸びを上回り、昨年は世界全体で 38％増加したことが明らかになりました。 なぜですか？ サイバーセキュリティは単なる技術的な問題ではないということが、これまで見てきた通りです。 適切なツールやサイバー衛生管理の慣行を整えることは、適切なセキュリティ体制を確保する上で極めて重要ですが、それは全体の一部に過ぎません。 組織のデータを保護する責任を負う人々が、その責任を自覚していない、あるいは単にその方法を知らない場合、その企業は依然として大きなリスクにさらされたままとなります。
しかし、楽観できる理由もあります。 新しいテクノロジーは、従来のセキュリティツールが抱える遅延やスケーラビリティの問題を解決するだけでなく、本レポートでは、すべての組織が検討できるいくつかの対策を提示しています。これらは、取締役会から経営幹部、そして従業員に至るまで、有意義な対話を促進し、脆弱性を軽減し、最終的には説明責任のギャップを埋めることを目的としています。 以下に、検討すべき2つの案をご紹介します：
開かれた文化を築く：取締役会への啓発と権限付与
取締役の多くは技術者ではなく、サイバーセキュリティのバックグラウンドを持つ人はさらに少ないです。回答企業の中で最も脆弱な企業の取締役の 91％は、サイバーセキュリティ報告書の内容を理解することができません。 しかし、取締役は、企業の脆弱性を評価するためにどのような質問をすべきかを知っておく必要があります。これは、財務上の懸念について質問するのと同じことです。 多くの場合、サイバーセキュリティを担当する特定の取締役に対しては、提示されるデータの専門用語やその影響について理解を深められるよう、より充実した研修を行うべきです。 ナスダックの取締役会には、テクノロジー企業の運営において「セキュリティ」がどのような意味を持つか、またセキュリティインシデントが金融市場にどのような影響を及ぼし得るかについて、深い見識を持つ取締役が数名在籍しています_._
サイバーセキュリティについて率直に話し合えるような、透明性のあるコミュニケーションの環境を醸成することが重要です。 政府、非政府組織、および同業者と協力し、最新のセキュリティ上の脅威を把握するとともに、緊急事態に対処するための連携方法を模索します。 この研究によると、私たちは、透明性と最大限の可視性を追求する「開かれた文化」へと移行する必要があることが示されています。 ハッキングは避けられないものだと認めつつも、情報漏洩は避けられるものであると認識すべきです。 堅固な対応計画、社内の各階層に合わせた従業員研修、知識の蓄積と情報共有の促進は、サイバーセキュリティを強化するための極めて重要な要素です。 具体的には、企業は組織全体（取締役会を含む）における情報流通の改善に加え、外部への情報共有にも注力すべきです。 つまり、多くの業界団体と積極的に連携していくということです。なぜなら、それらの団体はすべて同じ目標に向かって取り組んでいるからです。
警戒心を高める文化を醸成しましょう：サイバーセキュリティがビジネスにとって根本的な脅威であることを認識しましょう
サイバーセキュリティの悪影響に関する広範な啓発活動が第一段階であるならば、安全を確保し、事業を運営するために使用しているテクノロジーを率直に見直すことが第二段階となります。 予防を重視したセキュリティ戦略は、世間の注目を集める形で失敗に終わりました。 「人」「プロセス」「テクノロジー」は、警戒心を重視する文化の礎であり、これらを包括的に捉えることで、攻撃者より一歩先を行くための鍵となります。 実のところ、現代のセキュリティツールのほとんどは、過去20年から30年間にわたる自らが歩んできた道のりを抽象化したものに過ぎません。 「自分のネットワークには何台のデバイスがありますか？」といった基本的な質問に答える能力が欠けています。 あるいは、「どのアプリケーションが最も多くの脆弱性を引き起こしているのでしょうか？」 根本的には単純な話に聞こえるかもしれませんが、組織は目に見えないものを守ることはできません。
PwCのサイバーおよび内部脅威に関するインテリジェンス、検知、インシデント対応を担当する責任者であるクリス・マッコンキー氏は、次のように述べました。「セキュリティ業界、あるいはむしろ業界全体における課題の一つは、過去 20-30 年間にわたって使用してきたビジネスプロセスを事実上そのまま維持したまま、その上に技術的な層を次々と重ねて、あらゆる穴を塞ごうとしている点にあります。」
私たちは今、インターネットを活用したデバイスを通じて、企業や政府、互い、そして周囲の世界と直接つながることができる、刺激に満ちた時代に生きています。 その結果、私たちは問題をより早く解決し、より長く、より幸せな人生を送ることができるようになります。 サイバー攻撃は、この生活様式にとって存亡に関わる脅威であり、最も機密性の高いデータを保護するために、適切な人材、プロセス、そして技術が整っていることを確実にしなければなりません。 今こそ、組織を問わず、リーダーたちが自ら責任を担い、より積極的な役割を果たすべき時です。
タニウム（Tanium）共同創業者兼CEO、オリオン・ヒンダウィ氏
ナスダック、上級副社長兼最高情報セキュリティ責任者（CISO）およびインフラサービス部門グローバル責任者、ルー・モダノ氏
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
