毎年、サイバーセキュリティの専門家たちには、彼らの抱えるあらゆる悩みを解決すると約束する「次なる目新しいもの」が登場しているようです。 そのリストは実に素晴らしいものです。 人工知能。 クラウド コンピューティング。 ゼロトラスト型 アーキテクチャ。 のパスワード不要のログイン。
結局のところ、サイバーセキュリティを向上させるための決定的な手段など、一つとして存在しないのです。 さまざまなものが集まっています。 しかし、それらは一体何なのでしょうか？ サイバーセキュリティの専門家たちはご存知でしょうか？ 12人に尋ねれば、12通りの答えが返ってくるでしょう。 ウェイド・ベイカー氏はこれらの回答を分析し、RSAカンファレンス 2022において、 5,100 名の実務家を対象とした調査から得られた知見を発表する予定です。
ベイカー氏は、データに基づくサイバーセキュリティの研究やサービスを提供するサイエンティア・インスティテュートのパートナー兼共同創業者です。 彼は、RSA 2022 のパネルディスカッション「（セキュリティプログラムの成功要因） 何が（実際には、具体的に）セキュリティプログラムをさらに成功に導くのか？」において、セキュリティの実践と成果について考察する2人のパネリストの1人となります。 シスコのアドバイザリーCISO部門責任者であるウェンディ・ネイザー氏とともに、ベイカー氏は、シスコが最近実施した「 （）」および「Security Outcomes Study, Volume 2（）」の調査結果について詳しく解説します。これらの調査では、とりわけ、組織のITアーキテクチャとセキュリティレジリエンスとの間に強い相関関係があることが明らかになりました。 この講演は、サンフランシスコのモスコーン・センターにて、 6月7日（ 13:15 ～14:05 PT）に開催される予定です。 ベイカー氏は、 Endpoint（ ）に対し、この調査結果について最前列でその概要を紹介しました。
このサイバーセキュリティに関する研究について、またこの世界的な調査がどのように始まったのか、教えていただけますか？
この研究のアイデアが本当に気に入りました。 サイバーセキュリティの成果を研究するというアイデアを、いつ、誰が思いついたのか、正確には思い出せません。 結局のところ、私たちは、成果を実際に測定できるのかどうか自問しました。 まず、この研究の『 』第1巻（ ）に話を戻したいと思います。
私たちは、 25 カ国から4,800 名近くのITおよびセキュリティの専門家を対象に調査を行いました。 セキュリティ調査（
）としては、その規模はとてつもないものでした。 この調査では、
セキュリティ責任者に対し、「 セキュリティプログラムにどのような役割を果たしてほしいか、
どのような成果を期待しているか
」とまず尋ね、 11 の成果指標に焦点を当てました。
さまざまな回答がありましたが、それらを 11 の成果にまとめました。 これらは高レベルの目標であり、具体的には、ビジネスの推進、重大なインシデントや損失の回避、コンプライアンスの維持、コスト管理などが挙げられます。 回答者の方々に、どのようにしてそうした成果を上げたのか、また、苦労しているのか、それとも見事にやり遂げているのかについてお尋ねしました。 次に、約 25 種類のセキュリティ対策について質問を行いました。具体的には、脅威検知、 インシデント対応、 脆弱性管理 といった基本的な項目などです。
それはとても簡単そうに聞こえますね。ただ、あなたにとって良いとわかっていることを実践するだけです。
そうですね、普段何気なくやっていることすべてについてですが、とにかくやってみましょう。 そこで、今年は
で、第2弾となる調査結果を公開いたしました。 27 カ国の5,100 名の専門家を対象に調査を行いました。 25 の実践策ではなく、『
』では、前回の調査においてサイバーセキュリティの成功に最も大きく寄与した5つの実践策に焦点を当てました。
「ITおよびセキュリティ技術においてプラットフォーム戦略を掲げていた組織は、より良い成果を上げているようでした。」
これには、テクノロジーの積極的な更新、相互に連携の取れたテクノロジーの活用、迅速なインシデント対応、迅速な復旧、そして脅威の早期かつ正確な検知などが含まれていました。 私たちは、この5人がなぜこれほどまでにユニークなのかを理解したかったのです。 そこで、私たちはそれらを詳しく調べ、たくさんの質問をしました。
例えば、各組織が本当に技術スタックの近代化を進めているのか、それとも単に常にアップグレードに莫大な費用を費やしているだけなのか、その点を知りたかったのです。 それらは主にクラウドベースだったのでしょうか？ 私たちが確認したのは、ITおよびセキュリティ技術に関してプラットフォーム戦略を策定していた組織の方が、より良い成果を上げているようだったということです。
それは興味深いですね。 では、そこで成果を向上させている要因は何でしょうか？ 単にプラットフォームへの移行ということでしょうか？
システム間の連携を独自に構築せざるを得なかった組織は、その成果においてより大きな困難に直面しました。 それは理にかなっていると思います。 の可視性は、結局のところ良いことであることがわかりました。 脅威検知に関して、回答者の約半数は、 の堅牢なID管理 やセキュリティプログラム・システムを導入している場合に、その効果を実感していることがわかりました。 したがって、脅威や の資産を的確に把握すること（ ）は、成果を上げるために不可欠です。
また、人材、プロセス、テクノロジーについても検討いたしました。 その欠かせない3つの要素です。 私たちは次のように考えました： これらの中で、セキュリティ上の成果にとって重要度が比較的高い、あるいは低いものはあるのでしょうか？ 回答者の方々に、これらそれぞれについて個別に評価していただきました。 これら3つの点すべてにおいて、所属組織が不十分であると答えた回答者たちは、良い結果を得られませんでした。 これら3つの項目すべてにおいて「得意だ」と答えた人たちは、成功率で92パーセンタイルに達しました。 中間層については、1つの項目で筋力が見られた場合、残りの2つの項目で筋力が向上したかどうかについては、統計的に有意な差は見られませんでした。
[Read also: RSA Conference 2022: The Jetsons meet the security team]
それは興味深かったですね。 その話から、企業が技術を強みとしているなら、それを土台として発展させていけるのだとわかりました。 必ずしも、人員を重視するプログラムに切り替える必要もなければ、その逆も必要ありません。 彼らは自分たちの強みを土台として、そこからさらに優れたものを築き上げていくことができます。 それらすべてを改善しようとしている限り、その方法は何であれ構いません。
それは実に興味深いことです。というのも、ビジネスクラスの授業では、「優れたプロセスは優れた人材に勝るものではないが、スキルが不足している人材の不足を補う助けにはなり得る」と教わったからです。
そうはなりませんでした。 しかし、私たちは、「 の自動化（ ）」が人の代わりになり得るのかという問いを通じて、その点を検討していました。 例えば、プロセスを自動化できれば、それによって人間よりも大きな成果を上げられるのでしょうか、それとも、人間の代わりになるのでしょうか？ その答えが「いいえ」になることは分かっていました。
「『脅威インテリジェンスをまったく活用していない』と答えた組織の 84％が、自社のセキュリティ運用を『非常に強力』と評価していたのは、実に滑稽だと思いました。」
「スタッフの能力が低い」「人材リソースが乏しい」「自動化されたプロセスが一切ない」と回答した組織のうち、セキュリティ運用を「強力」と評価したのはわずか 36％でした。 しかし、セキュリティ運用部門に優秀な技術スタッフがいると回答し、かつ自動化を導入していない企業の 73％が、自社のセキュリティ体制を「強固」と評価しました。
自動化のレベルは高いものの人的リソースが乏しい組織と、 人的リソースは充実しているものの 自動化が不十分な組織とでは、プログラムの質がほぼ同等だったというのは興味深いことです。
この調査結果の中で、最も驚いた点はどこですか？
脅威インテリジェンスについて、また回答者やその所属組織が脅威インテリジェンスをどの程度活用しているかについてお伺いしました。 「脅威インテリジェンスは一切活用していない」と答えた組織の 84％が、自社のセキュリティ運用を「非常に強力」と評価していたという事実は、実に滑稽だと思いました。 しかし、脅威インテリジェンスを活用している企業のうち、自社のセキュリティを「非常に強固」と評価したのはわずか 45％にとどまりました。 その結果、視聴率はほぼ半減してしまいました。
[関連記事：ロシア・ウクライナ紛争が示す、脅威ハンティングチームの重要性が今なぜ高まっているのか]
彼らは、自分たちが認識していないサイバーリスクがあることに気づき始めています。
その通りです。 あるグループは、無知な状態から物事に取り組んでいます。 すべて順調ですね。 彼らは具体的な脅威を想定しておらず、それがどのようなものかも全く把握していないため、それらに気づいていないのです。 それなら、すべて順調なのでしょうね。
CISOやそのセキュリティチームは、人材、プロセス、あるいはテクノロジーをどのように改善すべきでしょうか？
データには、彼らに「進むべき道はただ一つ」という固定観念に縛られることなく、自らの強みを活かして発展させていく自由を与えてくれる要素が数多く含まれています。 その選択の自由は、苦戦しているセキュリティプログラムにとって大きな助けとなります。
「『これが、あなたが従うべき新しいパラダイムです…』という言葉をよく耳にします。」 しかし、その一点だけはまだ達成できていません。 おそらく、これといった一つの答えはないのかもしれません。”
「これが、すべてを素晴らしいものにするために従うべき新しいパラダイムです」という言葉を、よく耳にします。 しかし、その一点だけはまだ達成できていません。 もしかすると、 これといった一つのものはないのかもしれません。。 セキュリティ対策を少しずつ改善していくには、さまざまな細かい工夫があります。
そうした些細な事柄を測定し始め、その裏付けとなる証拠を得ることができれば、それらをロードマップに盛り込み始めることができます。 このことから、皆さんがそのようなことを何か一つでも学んでいただければと思います。
この調査結果は、組織のサイバー衛生管理がどれほど優れていても、企業のセキュリティ確保において、組織の制御の及ばない側面――
――、例えば技術スタックの成熟度やシステム統合の質など――が存在することを示唆しているようです。
ええ、私もそう思います。 これは、ある意味で「 」という点を強調していると言えます。セキュリティリーダーとして成功するために不可欠な要素を、組織内の他のグループが担当している場合は、、自分たちの枠を超えて、組織内の他のグループと協力していく必要があるでしょう。 その多くが、セキュリティ対策を講じているIT環境と密接に関連していることをご存じであれば、CIOと緊密に連携し、その技術スタックを改善するための計画を共に立てることが望ましいでしょう。
測定すべき項目として、特に適切なものがあるでしょうか？ チームやCIOが単に測定を始めると、多くの間違った項目を測定してしまうことになるだろうと想像できます。
ある程度、これらの報告書で取り上げている 11 のプログラム成果は、取り組みを始める上で絶好の出発点となります。 それらは指標や測定基準ではありません。 しかし、これらはセキュリティプログラムが達成を目指している目標です。 そこで、次のような疑問が生じます。私たちのプログラムは、こうした成果をどのようにして最も効果的に支援できるでしょうか？ まずはそこから始めるのがいいですね。
