サイバーセキュリティの専門家たちは、セキュリティ上の脅威や潜在的なサイバー侵入者を排除するという、ますます困難さを増している役割を担うことがよくあります。
サイバーセキュリティの分野に携わる私たちにとって、この1年は数多くの課題に直面する年となりました。 私たちは、 サイバー脅威の増加と闘い、ますます複雑化する規制やルールの体系に対応しつつ、リモートワークの増加に伴うリスクを最小限に抑えるために尽力しました。
私は、ディーゼルおよび代替燃料エンジンや発電機、ならびに関連する部品や技術を専門とする、世界的な動力ソリューションのリーディングカンパニーである Cumminsにおいて、サイバーセキュリティエンジニアリングを統括しております。 従業員数約 58,000 名を擁するカミンズは、幅広いソリューションの設計、製造、販売、およびサービスを行う、相互に補完し合う事業部門からなる企業です。
サイバーセキュリティに携わる他の組織と同様、私たちもいくつかの面で課題に直面しています。 企業全体の可視性を維持すること 、新たなリスクへの対応、そしてサイバーセキュリティを活用して業務やビジネスを推進すること――これらすべてを行いながら、同僚が個人的および業務上の目標を達成できるよう支援するため、サイバーセキュリティに精通した人材を育成しています。
今日の課題に立ち向かい、そこから学ぶために、私たちは思考やアプローチにおいて創造性を発揮するよう努めています。
リアルタイムの可視性を維持する
サイバーセキュリティは、さまざまな業界における製品の製造・供給の質を測る指標として、ますます重視されるようになっています。 安全で安心でき、高品質な製品——それが社内でITソリューションとして導入されるものであれ、お客様が使用するものであれ——を作り上げるためには、サイバーセキュリティを最初から検討の対象に含める必要があります。
最近の「 」ランサムウェア攻撃 は、サイバー攻撃がサプライチェーンや業務プロセスにどれほど甚大な影響を及ぼし得るかを浮き彫りにしました。 これらは、可視性の重要性と、ガバナンスおよび脅威を軽減するための予防的な技術的機能の活用を通じて、IT環境におけるリスクを測定・管理する必要性を強調しています。
あらゆる業界において、ベストプラクティスの可視化 および技術的な実施が驚くほど不十分であることに気づきます。 IT部門の責任者が、これまで存在を把握していなかったエンドポイントを組織内で発見するケースがますます増えています。 このことは、 を通じてエンドポイント全体を横断的に検知・可視化できることの重要性を浮き彫りにしています。。
のインベントリに登録されていないエンドポイント（ ）は、定期的な保守や管理が行われていないため、こうしたエンドポイントが脅威に悪用されるのを防ぎ、保護するためには、可視性が極めて重要です。
ハイブリッドの課題
多くの企業では、従来はオンプレミスで運用されていた複数のオペレーティングシステムやアプリケーションを横断して業務を行っており、クラウド環境への移行が進んでいます。 一部の業界では、今後も一定程度のオンプレミスでの運用が残るものの、企業はアプリケーションやインフラをクラウド上で運用するための取り組みをさらに強化していくでしょう。
オンプレミスとクラウドという2つの世界を橋渡しできることは重要です。 また、さまざまな地域や技術プラットフォームにまたがるこれらの企業を保護する技術やソリューションを、拡張・スケールアップさせる能力も同様です。
[関連記事：規制産業において、クラウドをいかに効率的かつ安全に活用できるか]
複数のオペレーティングシステムやプラットフォームに対応できる技術を活用することで、組織はクラウド環境へ移行しつつあるエンドポイントを、より正確かつ効率的に特定できるようになります。 適切なツールを活用することで、互いに競合するデータソース間の変換が可能となり、共通の基準に基づいてエンドポイントを詳細に分析できるようになります。
データの充実
また、これまでに収集された他のデータを充実させるのにも役立ちます。 この能力により、チームの効率が向上し、より自信を持って意思決定を行い、より良い成果を上げることができるようになります。 また、ツールの乱立やサイバーセキュリティコストの増加といった課題にも対処しています。
これは多くの組織にとって共通の課題であり、各社は資金や人員を投じて、複数のサイバーセキュリティツールや運用ツールからのレポートを統合しています。 このような報告体制の統合は、脅威やリスクにより積極的に対処するために必要な貴重なリソースやスキルが活用されなくなる恐れがあります。
[関連記事：ツールの乱立がパンデミック後のセキュリティを脅かす]
サイバーセキュリティの責任者が、サイバーセキュリティ運用の成熟度と効率性を向上させようとする中で、ソフトウェアの脆弱性といったリスクへの対応は、一部の反復的な業務がますます自動化され、手作業が減っている現状において、重要な検討事項となります。 こうした改善により、サイバーセキュリティチームは、他のより複雑な業務に注力するための時間を確保できるようになります。
規制への準拠
政府機関を顧客とする企業は、販売および流通に関する世界的な規制を厳格に遵守しなければなりません。 2020年、米国国防総省（DoD）は、「 」サイバーセキュリティ成熟度モデル認証（ ：CMMC）を発表しました。 これは、政府の請負業者が使用する管理対象非機密情報（CUI）の保護に役立つことを目的としています。
政府の契約業者は、保管または送信するCUI情報を含む自社のITシステムのセキュリティ対策を実施し、監視し、認証を行わなければなりません。 CMMCでは現在、国防総省（DoD）のサプライチェーンに参画するサプライヤーに対し、第三者による評価および認証が義務付けられています。
将来的には、その要件が連邦政府全体へと拡大していくものと予想しています。 米国以外でも、他の政府や民間パートナーが、協定や規制に同様の要件を盛り込み始めています。
2つの視点
元海軍退役軍人であり、航空宇宙・防衛産業に携わる一員として、私は米国のCMMCイニシアチブを2つの観点から捉えています。
一方で、民間企業に大きく依存している政府には、果たすべき役割があります。 その仕事をさらに複雑にするために、サプライヤーを必要とするわけではありません。 一方、民間企業、特に米国外で事業を展開している企業は、CMMCが自社の競争力やイノベーション能力を損なうのではないかと懸念しています。
これにより、複数のセキュリティおよびコンプライアンスへの取り組みやフレームワークに対応する必要性が高まっています。 これにより、サイバーセキュリティの専門家だけでなく、企業やサポートチームにもさらなる負担がかかっています。
[関連記事：CMMCは私のビジネスにとってどのような意味を持つのでしょうか？]
政府の契約業者はすべて、今後、こうした新たな要件や新たに生じている要件を満たさなければなりません。 中小企業 は、最も大きな影響を受ける可能性があります。 それにより、新製品を開発するための機動性を発揮する能力や、その製品を利用する顧客層が制限される可能性があります。
それは、企業の安定と成長にとって極めて重要な要素です。
IoT（モノのインターネット）およびテレメトリデータのセキュリティ確保
自動車業界の一員として、カミンズは、製品と診断サービスを結びつける無線通信技術であるテレマティクスを、お客様に提供する事業へと転換いたしました。 コネクテッドカーや飛行機、電車、その他の機器は、従来、多くの人がインターネットに接続されたデバイスとして捉えるようなものとは見なされていませんでした。
しかし、現在では、走行中の車両や停車中の車両、さらにはその他の機器からもデータを収集・送信することが可能となり、部品や製品の性能に関する重要な情報を顧客やメーカーに提供できるようになりました。
[関連記事：あるメーカーが、スピードと俊敏性を追求し、Taniumを活用して 50,000 のエンドポイントを保護]
製品の性能情報から、その製品の製造に使用されるIoTデバイスからのデータに至るまで、組み合わせるデータが多ければ多いほど、その製品に関する洞察も深まります。 その洞察は、製品の開発者や製造者にとって極めて重要になります。 また、お客様は、より高品質な製品を手に入れられるだけでなく、運用コストの削減も見込めるというメリットも得られます。
もちろん、機密データの保存や送信は、車両の所有者にとっても、製品を開発する企業にとっても、プライバシーやセキュリティの面で重大な影響を及ぼします。
今日、企業は次のような課題に直面しています：
- IoTデータをどのように保護・管理し、傍受から守ればよいのでしょうか？
- デバイスは、IT環境に対してどのように認証を行い、通信を行うべきでしょうか？
- デバイスが特定の動作をどのように行うかを、どのように測定すればよいのでしょうか？
- もし誰かがデバイスをリバースエンジニアリングして、有害な別の目的に利用しようとした場合、どうなるのでしょうか？
- ハッキングを最も効果的に検知し、阻止するにはどうすればよいでしょうか？
当業界をはじめとするさまざまな業界において、環境が急速に変化・発展する中、IoTデータやテレメトリデータの管理は、常に新たな課題となっています。 従来の理由から構築された可能性のあるサイロからデータを解放することは、重要なビジネスインサイトをもたらすさまざまなデータソースを、企業が安全に活用するための鍵となります。 こうしたサイロ化を打破することは、多くのサイバーセキュリティの専門家にとっては直感に反するように思えるかもしれませんが、適切な管理措置、プロセス、ガバナンスが整備されていれば、ますます高い熟練度とスピードで実現することが可能です。
リモートワークのセキュリティ確保
を通じてリモートワーカーのセキュリティを確保する能力 は、あらゆる組織にとって引き続き最優先の懸念事項となっています。 新型コロナウイルスの感染拡大が始まった当初、ほとんどの企業は、従業員が自宅で安全な個人用ネットワークを利用しているか、また安全なデータ取り扱いガイドラインを遵守しているかどうかわかりませんでした。 また、従業員の家族が会社の端末をどのように利用している可能性があるのか、あるいは従業員や契約業者が個人の端末を使って企業のネットワークやデータにアクセスしようとしているのかについて、把握できていないことがよくあります。 これらはすべて、コロナ禍以前のごく一般的な懸念事項でしたが、企業の従業員の相当数が在宅勤務に移行したことで、その規模が拡大しました。
[関連記事：CISOにとってのサイバーセキュリティとリスク管理におけるパンデミックの恩恵]
サイバーセキュリティの専門家たちは、いくつかの点について懸念を抱いていました。エンドポイントは利用可能でしょうか？ 社員はそれを利用していますか？ もしそれを使っていないのであれば、返してもらうか、システムから削除することはできますか？
こうした疑問は、新型コロナウイルス感染症（COVID-19）の流行期間中、あらゆる業界でよく見られるものでした。特に、従業員がどこからでも働けるようになったことで、企業は場所を問わず人材を採用できることに気づいたためです。 こうした不確定要素のすべてが、ネットワークやデータにさらなるリスクをもたらします。
こうしたリスクに対処するため、現在では多くの企業が のセグメンテーション機能（ ）を活用し、ネットワークを区画化することで、財務や法務データといった重要な領域をより確実に保護しています。 サイバーセキュリティの専門家は、セグメンテーションに対処するために、さまざまなチームやプロセスをどのように連携させるかを検討し、エンドポイントに対して保護策と検知策を講じる必要があります。
可能な限り、いつでもどこでもエンドポイントに保護機能を組み込み、エンドポイントおよびそのエンドポイントのユーザーが抱えるリスクを評価する手段を提供することは、今日において極めて重要なステップです。 これが、サイバーセキュリティ分野における のゼロトラスト をめぐる議論の大部分を牽引しています。 また、ゼロトラストをフレームワークとして導入しているさまざまな組織において、ゼロトラストが何を意味するのかという問いに対し、各組織が答えを出すことも求められます。
クラウドベースのテクノロジーは、企業がリモートワークに移行する際、業務を円滑に進めるのに役立ちます。 パンデミックの最中、各企業はセキュリティリスクを管理するために、仮想デスクトップやアプリケーション、従業員向けのセキュリティ研修、 ／エンドポイント管理ソリューション といったツールや手法を導入しました。 リモートワークが定着するにつれ、企業は今後もリモートアクセスのセキュリティを最優先し続けるでしょう。
サイバーリテラシーの高い人材の育成
外部からの脅威から防御するためのツールや技術と同様に、内部からの脅威から防御するために講じられている対策も同様に重要です。 あらゆるレベルにおける包括的な教育プログラムは、すべての企業にとって優先すべき事項であるべきです。 企業のデータ漏洩に関するニュースが絶えない中、御社のサイバーセキュリティチームが質問に答えたり、情報を整理して伝えたりすることが重要です。 そうでなければ、他の従業員は、次に何をすべきかという不安や恐れから、行動できなくなってしまう恐れがあります。
[関連記事：リモートワーカーをセキュリティ推進者に変える方法]
従業員も人間です。 ハッカーたちは、自宅にいる彼らを標的にしています。 私は同僚との会話を、次のような質問から始めます。「ご自宅のセキュリティについて、考えたことはありますか？あるいは、誰かと話したことはありますか？」 ご自宅ではどのような習慣をお持ちですか？ 配慮の行き届いた取り組みでは、従業員の仕事面だけでなく私生活についても関心を持ち、コミュニケーションを図ることを重視しています。というのも、私生活に影響を及ぼすサイバーインシデントは、業務遂行能力にも影響を及ぼす可能性があるからです。 さらに、思いやりのあるサイバーセキュリティのリーダーとして、それが正しい行動でもあります。
適切な行動規範に従わないと、まるで車を運転している時と同じように、自分の生活にリスクをもたらすことになります。 コンピューターとは、あなたが操作する機器のことです。 すべてを知っている必要はありません。車を運転するのに、整備士である必要がないのと同じです。 ただし、ハンドルの切り方、アクセルの踏み具合、そしてどの合図に従うかについては、注意が必要です。
脅威は絶えず変化しています。 弊社では、チームが常に検知および対応能力の向上に努められるよう取り組んでおります。 身を守るために多くの時間やお金を費やすこともできますが、最も効果的なアプローチのいくつかは、自分がどのような情報をどのように利用し、何を達成しようとしているのかを理解するために、意識的に行動することです。
企業やその従業員が利用するシステムを悪用しようと、積極的に動き回るサイバー侵入者や脅威がますます増えています。 結局のところ、影響を最小限に抑えるためには、どのように対応し、復旧し、迅速に元の状態に戻すかについて、計画を立てておく必要があります。
