2017年のサイバーセキュリティおよびIT運用における主な動向を検討するにあたり、今後数年にわたり、公共部門および民間企業の両方に影響を与えると私たちが考える3つの主要な要因を特定しました。 また、本講座「 2018」では、こうした動向に対処するために、各組織で実施できる具体的なアクション項目をご紹介いたします。
（画像：モハメド・ハッサン／Pixabay）
ランサムウェア、モノのインターネット（IoT）、そして国家が関与する脅威アクターについて触れずに、年末の総括などあり得るでしょうか？ All of these elements affected the lives of cybersecurity and IT operations professionals to significant degrees in 2017, and will continue to wield major influence on our lives in the year ahead. さて、その件については触れました。
If you’re looking for a laundry list of technologies, Forbes leaves no stone unturned with its 60 cybersecurity predictions for 2018. こうした技術のまとめ記事は、計画や購入の判断材料として役立ちます。 しかし、 2017年のサイバーセキュリティおよびIT運用における主な動向を検討し始めたところ、今年は組織や行動に大きな変化をもたらす3つの主要な要因が働いていることに気づきました。 こうした要因は、今後数年にわたり、官民の企業が下すIT運用やサイバーセキュリティに関する意思決定に影響を与えると私たちは考えています。 ここでは、これらがなぜ重要なのかを解説するとともに、今後1年間、皆様の組織で取り組むことができる具体的な行動案をご提案いたします。
Three forces driving cybersecurity and IT ops in 2017
1. パッチの適用
今年、一連のランサムウェア攻撃によって世界中の組織が機能不全に陥ったことを受け、IT運用において最も魅力に欠ける業務の一つが、一躍世間の注目を集めることになりました。 しかし、互いに非難し合う声や騒ぎの中で見落とされがちですが、 のパッチ適用は難しいという事実があります。 （新しいタブで開きます）。 たとえ最善の意図であっても、人類そのものと同じくらい古くからあるあるものによって、しばしば軌道から外れてしまうことがあります。 変化への恐れ (新しいタブで開きます)。 CSO Onlineのシニアライター、ファミダ・Y・ラシッド氏は次のように述べています。「組織にはレガシーシステムが存在し、その多くは長年にわたり、パッチを適用できないシステムや機器に巨額の投資を行ってきました。」 移行が必ずしも解決策とは限りません。セキュリティ業界は、旧式のシステムのアップグレードや、既存のシステムを保護するための安全対策の導入について、組織と協力する方法をより創造的に模索する必要があります。 組織が資金をどのように活用できるかには制限があるため、限られた資源でやりくりするための、さらなる独創的なアイデアが求められます。」
組織内の縦割り構造は、確かに事態の解決には役立ちません。 多くの組織では、IT運用チームとサイバーセキュリティチームが、別々の独立した事業部門として運営され、異なる経営幹部に報告しているのが実情です。そのため、将来の攻撃を未然に防ぐために必要な、ネットワーク全体の包括的な把握が困難になっています。 私たち業界として、この手強い脅威に対して互角に戦える見込みがあるとするなら、まずはIT運用部門とセキュリティ部門の間の組織的な壁を取り払うことから始めなければなりません。 タニウムでは、私たちは自らが提唱することを実践しています。 当社のITチームとセキュリティチームは、チーフ・セキュリティ・オフィサーの指揮の下、同一の組織に統合されています。 しかし、ほとんどの組織ではそうではありません。 実際、報告系統はさまざまであり、明確な基準は存在しないようです。 とPwCが共同で実施した「 2018 Global State of Information Security Survey」（ （新しいタブで開きます））では、 122 カ国の経営幹部9,500 名を対象に調査が行われました。その結果、回答者の10 人中4人以上が、自社のCISOがCEOに報告していると回答した一方、22％がCISOが取締役会に直接報告していると回答しました。 約4分の1（24％）が、自社のCISOはCIOの直属であると回答しました。 大規模な組織改革を求めることは、非現実的に思えるかもしれませんが、報告体系にかかわらず、IT運用チームとセキュリティチームがより緊密に連携することが望ましいと私たちは考えています。 まず第一歩として、IT運用チームとセキュリティチームのメンバーが、双方のニーズに応える技術選定について協働を始めることが挙げられます。
これに対してできること：
ITチームとサイバーセキュリティチーム間の連携を強化することは、組織が直面するパッチ適用に関する課題の万能薬ではありませんが、そのプロセスを円滑に進める上で大いに役立ちます。 継続的な連携の精神を育むよう努めることで、あなたや同僚がアプリケーションやデバイスを常に最新の状態に保ち、会社のデータや従業員の安全を確保することが容易になります。 共通の目標を持ち、協力して取り組める良いプロジェクトを探しましょう。 組織間のコミュニケーション体制をより良いものにするための方法を模索してください。 チーム間の相互交流を促進するための取り組みを考案してください。 例えば、IT部門の同僚たちは、従来の業務から一息つけるという理由で、サイバーセキュリティの分野でもっと活躍したいと考えているかもしれません。 同様に、サイバーセキュリティチームでの業務にすべての時間を費やしている場合、IT運用部門での短期勤務は、その同僚たちが直面している課題を理解する助けとなるでしょう。
2。 取締役会
サイバーセキュリティと取締役会というテーマにおいて、 2017 が転換点となっている理由は、取締役たちが投げかける質問の種類に顕著な変化が見られる点にあります。 ここ数年、注目を集めた情報漏洩事件――そしてそれらが収益に与えた影響――をきっかけに、取締役会はこれまでとは異なる形でサイバーセキュリティに注目し始めています。 Sailpoint（ ）のCMOであるジュリエット・リズカラ氏は、フォーブス誌の記事 （新しいタブで開きます） において、次のように述べています： 「取締役会が『セキュリティは万全か？』と問うような時代からは、私たちは大きく前進してきました。 現在、企業のセキュリティ態勢を評価するスコアカードの提供を求めています。 また、規制に関する質問や、セキュリティ対策がコンプライアンスの証明にどのように役立つかといった点についても、より多くの質問が寄せられています。 まもなく、企業のセキュリティ委員会からの時折の報告に頼るのではなく、四半期ごとのサイバーセキュリティに関する報告――その一部はCISOが直接行うもの――を求める取締役会が現れることになるでしょう。
実際、全米企業取締役協会（NACD）が 587 名の企業取締役を対象に行った調査によると、サイバーセキュリティは、2018年に企業に最も大きな影響を与えると予想されるトップ5のトレンドの一つとなっています。 NACDによると、取締役会はサイバーリスクへの備えについて、1年前よりも自信を失っているとのことです。 自社がサイバー攻撃に対して適切に防御されていると「自信がある」または「非常に自信がある」と答えた回答者はわずか 37％で、昨年の 42％から減少しました。
多くの場合、企業のCISOやCSOが、 取締役会に対してサイバーセキュリティに関する啓発を行う役割を担うことになります。 (新しいタブで開きます) これは、困難で気が重くなるような任務となることもあります。 通常は手法や技術について語られることが一般的ですが、組織内の縦割り構造が効果的なサイバーセキュリティ対策の妨げとなっていることなど、主要なビジネス上の要因については十分に検討されていません。 Research firm Gartner predicts organizations worldwide will spend a combined $89.1 billion on cybersecurity (opens in a new tab) by year’s end, with spending expected to increase 8% to $96.3 billion in 2018. また、アーンスト・アンド・ヤングが世界中の企業トップ 1,200 名を対象に行った調査によると、回答者の圧倒的多数が、自組織のサイバーセキュリティへの支出を50％増やす必要があると考えていることが分かりました。 しかし、サイバーセキュリティ予算が 25％以上増加すると見込んでいる回答者は、わずか 12％にとどまっています。 これは、サイバーセキュリティへの支出を増やすという企業の意欲が欠けていることを示唆している可能性があります。 実際、情報管理協会（Society of Information Management）がIT専門家 1,178 名を対象に行った調査によると、ITリーダーたちは今年の組織における最重要IT課題としてサイバーセキュリティを挙げたにもかかわらず、IT予算に占めるサイバーセキュリティ関連の支出の割合は2017で減少したことが明らかになりました。 今年のサイバーセキュリティ関連の支出は、IT予算の 5.3％を占めており、 2016年の 6.2％と比較すると……となります。
では、どのような要因が、組織にサイバーセキュリティへの投資を増やすきっかけとなるのでしょうか？ EYの調査への回答者の4分の3以上（76％）が、損害をもたらしたセキュリティ侵害の発見により、サイバーセキュリティに割り当てられるリソースが増える可能性が高いと答えています。 ここでは、被害の有無が主な要因となっているようです。回答者の 64％が、被害が生じていないと思われる攻撃があったとしても、組織のサイバーセキュリティ予算の増額につながる可能性は低いと答えています。
今年、各組織は取締役会レベルで行われるサイバーセキュリティに関する議論の在り方を変えるという点で一定の進展を見せましたが、サイバーセキュリティが大多数の取締役会において、ビジネスの優先課題として真剣に受け止められるようになるまでには、まだ長い道のりがあります。 PwCの「第 2018 回グローバル情報セキュリティ実態調査」の回答者のうち、自社の取締役会が企業の全体的なセキュリティ戦略に積極的に関与していると答えたのは、わずか44％にとどまっています。 ガートナーのレポート『 』（新しいタブで開きます）、 によると、「セキュリティ部門には、自分たちの取り組みをビジネスの文脈で説明するという、より大きな責任が課せられています。」 コミュニケーションが欠如していると、セキュリティ部門と組織の他の部門で起きていることとの間に齟齬が生じます。こうした状況下で、シャドーITのような現象が台頭してくるのです。 「この連携により、組織は一丸となって成功も失敗も分かち合うことになり、部門間の壁に閉じこもっている組織よりも有利な立場に立つことになるでしょう。」
これに対してできること：
取締役会に提示すべき適切な指標を見極めることは、サイバーセキュリティの責任者が直面する最大の課題の一つです。 サイバーセキュリティへの投資のROIを証明することは、口で言うほど簡単ではありません。特に、その指標をビジネスと関連づける必要がある場合はなおさらです。 もちろん、「製品Xのおかげで、脆弱性Yの発見と修正を、従来のソリューションに比べて 30％速く行うことができました」と言うこともできます。 これは素晴らしいことですが、取締役会にとっては何の意味もありません。 最終手段としては、測定できると思われるものはすべて測定し、その整理は取締役会に任せるという方法があります。 これもまた、御社の取締役会にとっては何の意味もありません。 共有する内容を精査し、それが真のビジネス価値という文脈に則っていることを確認するのは、あなた次第です。 CSO誌への寄稿記事の中で、パロアルト・ネットワークスのCSOであるリック・ハワード氏は、サイバーセキュリティへの取り組みを適切な文脈で捉えるために、収益の損失、攻撃のフォレンジック調査や被害の修復にかかる費用、顧客からの訴訟への対応費用といったビジネス上の概念を活用することを推奨しています。 まず手始めとして、IT部門や事業部門の関係者と協力して、自組織にとって最も適切なビジネス指標を特定し、その後、サイバーセキュリティへの投資をこれらの指標とどのように結びつけることができるかを検討することが挙げられます。 サイバーセキュリティ戦略の有効性を測定するにあたっては、万能な答えなど存在しません。取締役会にとって何が最も重要かを把握できるよう、手元にいる同僚の協力を得て、自らその取り組みを推進していく必要があります。
3。 データ保護
欧州連合（EU）の一般データ保護規則（ 、 （新しいタブで開きます） ）（GDPR）は、2018年5月に施行されますが、すでに今年、組織のデータ保護に対する考え方に大きな影響を与えています。 欧州連合（EU）域内で事業を行う企業は、その本拠地がどこにあろうと、 （新しいタブで開きます） に準拠する必要があります。この規制により、企業や政府による個人データの取り扱い方法が変更されます。 これに従わない場合、全世界の売上高の最大 4％に相当する罰金が科される可能性があります。 9月に英国議会に提出された法案は、 GDPR （新しいタブで開きます） を踏襲するものです。
その重要性が極めて高いことから、GDPRはテクノロジーベンダー間の市場争奪戦を引き起こし、あらゆる分野のサービスプロバイダーが、コンプライアンスの負担を軽減すると謳う多種多様なツールを売り込んでいます。 GDPR （新しいタブで開きます） に関する「 」のFUDは膨大ですが、それには十分な理由があります。 この規制は、組織がオンライン上で消費者に対して行うマーケティングのあり方を変えるだけでなく、情報漏洩が発生した際の対応方法についても変更を求めます。
GDPRには、 72時間以内のデータ漏洩通知に関する新たな規則 (新しいタブで開きます) が盛り込まれており、IT運用部門やサイバーセキュリティチームに多大な負担を強いています。 72時間の期限を守れなかった企業は、全世界の売上高の最大 2％に相当する罰金を科される可能性があります。 また、この規制ではデータローカリゼーションの要件も導入されており、EU域内で事業を行うためにクラウドを利用しているすべての企業に影響を及ぼすことになります。
『The National Law Review』によると、 「GDPRにおけるデータ漏洩の定義は、米国のほとんどの州法における定義よりも広範です。」 GDPRでは、データの機密性、可用性、および完全性が損なわれる場合、データ侵害が発生したものとみなされます。 これは、ランサムウェアや停電など、データの可用性に（たとえ一時的であっても）影響を与えるあらゆる要因によって引き起こされる可能性があります。 同様に、GDPRにおける「個人データ」の定義は、米国法における定義よりも大幅に広範であり、IPアドレスやネットワークパスワードを含め、直接的または間接的に個人を特定するために使用できるあらゆる情報が含まれます。
公共政策の観点から見ると、この規制は、EUと米国の当局がプライバシーをどのように捉えているかという点における根本的な違いを浮き彫りにしています。 EU加盟国の企業は、プライバシーを基本的人権の一つと捉えており、この考え方が法整備の指針となっています。 米国では、プライバシーが基本的人権であるという観点に基づいて立法を行っていません。 『ナショナル・ロー・レビュー』によると （新しいタブで開きます）, 「米国では、包括的なプライバシー規制を根本的に策定するのではなく、必要が生じた際にプライバシー法を制定する傾向があります。」 米国のプライバシー規制は、業界ごとに異なる傾向があります（医療分野では、HIPAA （新しいタブで開きます） 、金融情報分野では、GLBA （新しいタブで開きます） および FCRA （新しいタブで開きます） ）。また、決済カード業界におけるPCI-DSS （新しいタブで開きます） のように、政府の規制ではなく業界標準に基づいて策定される場合もあります。
GDPRへの対応は、IT運用チームとセキュリティチームにとって、組織内の縦割り構造を解消するために、協力し、連携して取り組む方法を模索し始める好機となります。 ITやサイバーセキュリティチームだけでなく、ガバナンス、リスク、コンプライアンス、法務、マーケティング、デジタル運用などの各部門の担当者を結集させた、全社を挙げての協調的な取り組みがなければ、組織がGDPRに適切に対応することは想像し難いでしょう。
これに対してできること：
GDPRがサイバーセキュリティやITの専門家の業務に与える影響としては、情報漏洩の通知や是正措置に関する要件が最も顕著ですが、同規則が定める厳格なプライバシーおよびデータ保護の要件も、決して見過ごすことはできません。 例えば、 のForrester Security Brief「GDPR」 （新しいタブで開きます） では、新しい規則の下で、「企業は、あらゆる新規プロジェクトの開始時点でプライバシーを考慮し、開発の全段階を通じて適切なセキュリティ対策が講じられていることを確保しなければならない」と指摘されています。 これには、チーム間の継続的な連携が必要となります。 では、例えば、御社が新しいアプリを開発しているとしましょう。 セキュリティおよびプライバシーの専門家の方々は、マーケティングチームと連携し、新しい規制に準拠するよう、業務要件と開発計画を策定する必要があります。 同様に、GDPRでは、企業間で個人データをどのように移転できるかについて、新たな規則が定められています。 新しい規則の下では、「個人データ」の定義が拡大されており (新しいタブで開きます) 、これには直接識別子（氏名、ID番号、自宅住所）、間接識別子（生年月日、位置情報、肩書き）、およびオンライン識別子（IPアドレス、ソーシャルメディアアカウント、メールアドレス、口座番号、ブラウザのクッキー）が含まれます。 今こそ、ITチームとサイバーセキュリティチームが連携し、組織内のあらゆるデータがどこに存在し、どのように利用され、どのように保護されているかを確実に把握するよう取り組むべき時です。
まとめ
パッチの適用を成功させること、取締役会との効果的なコミュニケーション、そして新たな規制への備え――これらに共通する点は何でしょうか？ ITチームとセキュリティチーム間の連携がより緊密になることで、すべての関係者が恩恵を受けることになります。 もし 2018年に向けてビジネス上の抱負を一つ掲げるなら、ぜひこれにしてください。組織全体の同僚とより緊密に連携し、自社のデータを安全に保護するという共通の目標に向けて、サイバーセキュリティとIT運用が確実に機能するよう、できる限りのことを行うことです。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
著者について：最高セキュリティ責任者（CSO）として、デビッド・ダマト氏は、Taniumプラットフォームのモジュール開発に関する戦略的な製品方針を策定するとともに、同社の社内セキュリティプログラムを統括しています。 デビッド氏は、インシデント対応やフォレンジック、脆弱性評価、セキュリティプログラムの策定、セキュリティ運用、さらにはネットワークおよびセキュリティアーキテクチャに至るまで、幅広いセキュリティの専門知識をタニウムにもたらしています。 Tanium入社前は、FireEye傘下のMandiantでマネージング・ディレクターを務めており、同社のチームを率いて、フォーチュン 500 社にランクインする100 社以上において、インシデント対応および情報漏洩後の是正措置を主導しました。 マンディアント社では、デビッドは新たなインシデント対応サービスの機能開発や、国内外におけるコンサルティングオフィスの設立においても重要な役割を果たしました。 マンディアート入社以前、デビッド氏はPwCのワシントン連邦政府業務部門においてセキュリティコンサルティングチームを率い、またレイセオン社では、社内ネットワークおよび政府ネットワークの管理に重点を置いたIT関連の職務に従事していました。 デビッドは、業界のイベントやメディアを通じて、自身の専門知識や洞察を頻繁に発信しています。
