CISOにはどのような指標が必要なのでしょうか？
これは、金融、小売、航空宇宙、メディア、通信、コンサルティングなど、さまざまな業界の世界的に著名な組織のCISOやCIOの方々と面会する際、毎日耳にする質問です。 私たちの会話がどのような方向に進もうとも、その根底にあるのは自信の問題です。 そのデータは最新かつ完全であり、組織の文脈に即したものでしょうか。また、リスク、コンプライアンス、オペレーション部門の同僚たちも同様の見解を示していますか？ もしそうでないのなら、互いに情報を共有すべきではないでしょうか？ そして、パッチの適用状況であれ、その他の重要なIT機能であれ、なぜ私たちは 100 パーセント未満を、あらゆる事柄における「許容可能な」基準として受け入れるようになったのでしょうか？
私は、 のTaniumによる「 2019 Resilience Gap」調査（ ）を、こうしたCIOやCISOの多くをはじめ、ITディレクターや、ITの全体的なパフォーマンスに関連する関連役職のリーダーの方々にもご紹介してきました。 CIOやCISOは、システムの稼働時間（可用性）と効果的なセキュリティ（パッチ管理）という、2つの重要なビジネス要件のバランスを取ることにしばしば苦慮しています。 「レジリエンス・ギャップ」に関する調査が指摘しているように、後者は、導入の有効性や対象範囲、適切な報告に関する従来の懸念により、優先順位が後回しにされがちです。
私はこのデータをCISOの方々に共有すると、彼らはうなずき、時にはため息をつきながら聞いてくれます。 先日、あるCISOから、彼のチームがエンドポイント全体で 95％のコンプライアンスを達成したと報告を受けたと伺いましたので、その意味について詳しく説明していただくようお願いしました。 「それが、彼がCIOに提示している指標です」と彼は述べました。CIOは、その指標をCFO、CEO、および取締役会への定期的な報告に盛り込んでいるとのことです。 しかし、CISOには、その 95％が管理対象か非管理対象かを問わず、具体的に何台のエンドポイントを指しているのかを正確に把握する手段がなく、相対的な概算しか得られませんでした。 これを認めるのは難しいことですが、毎日起こっていることです。 Taniumの調査によると、CIOおよびCISOの 80％以上が、業務への影響を懸念して、重要なセキュリティ更新プログラムやパッチの適用を見送ったことがあり、中にはそれを複数回行ったケースもあるとのことです。
リスクの規模がわからないまま、どうやってリスク管理を行えばよいのでしょうか？
決して、私たちが進歩に抵抗しているわけではありません。 当社は、CISOや技術リーダーに対し、従来の職務の枠を超えて考えるようお願いしました。 確かに、ITインフラの管理は必須ですが、その知識と専門性を活かしてデジタルトランスフォーメーションを推進し、組織全体のセキュリティとレジリエンス体制を強化し、ITを単なるコストセンターではなくビジネスを推進する原動力に変える必要があります。これらは、私たちが長年にわたり耳にしてきたことすべてです。 しかし、私たちは運用やサイバーセキュリティについて、主に物理的または技術的なアーキテクチャの観点から捉えており、可視性や制御の面では一定の制約を受け入れています。 それでは、ビジネス上の対話をより良いものにする助けにはなりません。 リスクの規模がわからないまま、どうやってリスク管理を行えばよいのでしょうか？
経営陣の会議では、よく見られる光景ですが、特に今週は、「ワーム化可能な」Windowsのバグ「 CVE-2019-0708」に関するニュースが報じられていることもあり、その傾向が顕著です。
- CISOが呼び出され、自社が「 CVE-2019-0708」に対する脆弱性があるかどうかを尋ねられました。 CISOはスキャンを実行すると約束しましたが、レガシー技術ではそれには数週間かかる可能性があることを承知しています。
- 脆弱性が確認された場合、CISOには、必要なパッチの適用にどれくらいの時間がかかるか尋ねられます。 CISOは、前回「緊急対応」を要するセキュリティ問題が発生した際、パッチの適用率が 95％に達するまでに 20 日かかったことを覚えています。ただし、チームは実際に何台のエンドポイントがあるか正確には把握できていないため、その数値は実際には75％に近い可能性もあります。
- これらのエンドポイントのうち、CISOや事業部門にとって、Windows 8 または10を実行しており、したがって CV-2019-0708の影響を受けない端末がいくつあるかを知ることは有益でしょう。 残念ながら、そのデータは簡単には見つかりません。
これらはすべて、IT資産の可視性と管理に関する課題です。 クラウド、デジタルトランスフォーメーション、コンプライアンス、セキュリティなど、ITリーダーの時間を占めるあらゆる課題を考えると、全員に「基本に立ち返る」よう求めるのは賢明ではありません。CIOやCISOの仕事内容は、 20年前、 10年前、あるいは5年前とは、もはや全く異なるものになっているからです。 しかし、CIOやCISOの 94％が、組織を混乱から守るという点で妥協せざるを得ないと認めているのであれば、私たちは自社のIT環境を正確に把握し、質の高い意思決定を行うためのデータに基づき、遅滞なく是正措置やパッチ適用、その他の対応を実行できる能力を備えていなければなりません。
基本に忠実であることを徹底すれば、CISOやCIOの業務はより円滑になり、企業のリスク管理もより適切に行えるようになります。 強靭なIT環境にとって、完全な可視性と制御ほど重要なものはありません。 視野が狭くなることを受け入れてしまうと、私たちは気づいている以上に多くのものを犠牲にしてしまうのです。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
