CISOはどのような指標を必要としていますか？
これは、金融、小売、航空宇宙、メディア、電気通信、コンサルティング、その他多くの業界の世界的に有名な組織のCISOやCIOと会うときに毎日耳にする質問です。 私たちの会話がどこへ向かおうと、根本的な問題は信頼関係にあります。 データは最新、完全、かつ組織のコンテキストにあり、リスク、コンプライアンス、運用の同業他社も同様のストーリーを語っていますか？ そうでなければ、メモを比較すべきではないでしょうか？ また、パッチコンプライアンスやその他重要なIT機能など、あらゆるものの「受け入れ可能な」ベンチマークとして、 100 %未満をどのように受け入れるようになりましたか？
Tanium Taniumの 2019 レジリエンスを強化調査 を、これらのCIOやCISOの多く、ITディレクターや、全体的なITPerformanceに関連する隣接する職務のリーダーと共有しています。 CIOとCISOは、システムの稼働時間（可用性）と効果的なセキュリティ(パッチ管理)という2つのCoreビジネス要件のバランスをとるために戦うことがよくあります。 レジリエンスを強化の調査が強調しているように、後者は、デプロイメントの有効性、カバー率、適切な報告に関するレガシー懸念により、しばしばペックダウンの順序になります。
このデータをCISOと共有し、うなずくことがあります。 あるCISOは最近、エンドポイント全体で 95%のコンプライアンスを報告し、その意味を明確にするよう依頼しました。 これは、彼がCIOに提供する指標であり、CFO、CEO、ボードへの定期的な報告に含めています。 しかし、CISOは、 95%が言及していた、管理対象または非管理エンドポイントの数を正確に把握する方法がありませんでした。 これは認めにくいことですが、毎日発生します。 Taniumの調査によると、CIOとCISOの 80%以上が、事業運営への影響に対する懸念から、重要なセキュリティ更新やパッチを2回以上実行することを控えています。
リスクがどの程度あるかわからない場合、どうすればリスクを管理できますか？
進捗に抵抗しているようなものではありません。 当社は、CISOと技術リードに、従来の職務の目的を超えて考えるよう依頼しました。 IT資産を管理する必要がありますが、その知識と専門知識を活用してDXドライブし、組織の全体的なセキュリティとレジリエンス体制を強化し、ITをコストセンターではなくイネーブラーにする必要があります。私たちが何年にもわたって耳にしてきたすべてのこと。 しかし、運用とサイバーセキュリティは、主に物理アーキテクチャまたは技術アーキテクチャの観点から見て、可視化と制御に関して特定の制限を受け入れます。 これは、より良いビジネス会話をする上で役に立たないものです。 リスクがどの程度あるかわからない場合、どうすればリスクを管理できますか？
これは、常時エグゼクティブミーティングで発生する一般的なシナリオですが、特に今週は「ワーマブル」Windowsバグである CVE-2019-0708に関するニュースを踏まえて、よくあるシナリオです。
- CISOは引き込まれ、ビジネスが CVE-2019-0708に対して脆弱かどうか尋ねられます。 CISOはスキャンを実行することを約束しますが、レガシーテクノロジでは数週間かかることがあります。
- 脆弱な場合は、必要なパッチをDeployするのにどのくらいの時間がかかるかをCISOに尋ねます。 CISOは、最後に「ブレイクグラス」セキュリティの問題が発生したとき、パッチのパッチデプロイメントを 95%達成するのに 20 日かかったことを覚えていますが、チームが実際にいくつのエンドポイントを持っているかわからないため、その数は75%に近い可能性があります。
- これらのエンドポイントのうち、CISOとビジネスにとって、Windows 8 または10を実行している数を知ることは価値があり、そのため CV-2019-0708の影響を受けることはありません。 残念ながら、そのデータは簡単には見つかりません。
これらはすべて、IT資産の可視化と制御の問題です。 クラウド、DX、コンプライアンス、セキュリティ、そしてITリーダーの時代を支配するすべての物事の中で、誰もが「基本に戻る」ように頼むことは賢明ではありません。CIOとCISOの仕事は、 20、 10、5年前と同じではありません。 しかし、CIOやCISOの 94%が、自社を混乱から守るには、どの程度の譲歩が必要だと認めれば、IT資産、質の高い意思決定ができるデータ、また、速やかに修正する、パッチ適用、その他のアクションを実行する能力についてTRUE把握する必要があります。
CISOとCIOの仕事は、ファンダメンタルズを強く求めることでより簡単になり、ビジネスのリスクはより適切に管理されます。 レジリエンスの高いIT資産には、完全な可視化と制御ほど基本的なものはありません。 限られた可視化を受け入れる時、私たちは気付いた以上に多くのことを諦めています。
Taniumを実際にご覧になりたいですか？ 1対1のデモをスケジュール するか、毎週のウェビナーに参加してください。 今後のイベントでは、Taniumの専門家にご相談ください。
