会話の中で
大規模なデータ漏洩に直面した場合、企業の現状――ひいては存続そのものさえ――が、ほんの数秒のうちに失われてしまう可能性があります。 Taniumの共同創業者兼CTOであるオリオン・ヒンダウィ氏と、ナスダックの執行副社長兼最高情報責任者（CIO）であるブラッド・ピーターソン氏は、数え切れないほどの企業が、本来なら防げたはずの大惨事の瀬戸際に立たされているという現実を、誰よりも深く理解しています。
オリオンとブラッドは先日、取締役が問うべきであると考えている「トップ6の質問」について話し合いました。 以下は、彼らの会話の要約です。
質問1 情報セキュリティにどのくらいの費用をかけていますか？ サイバーセキュリティツールへの支出のうち、従来のベンダーへの支出が占める割合はどのくらいですか。また、新しい技術への支出が占める割合はどのくらいですか。
ブラッド： まずはナスダックに関するご質問にお答えし、その後、他のCIOやCTOの方々とのやり取りを踏まえて、このテーマ全般について私の考えを述べさせていただきます。
当社では、過去3年間、情報セキュリティへの支出は増加し続けていますが、テクノロジー関連の総支出は横ばいのままです。 この分野と新しいデータ技術は、当社にとって成長分野となっています。 従来のベンダーと新しい技術との比較において、情報セキュリティソリューションへの投資とイノベーションにより、実に数多くの新規参入企業が現れたことから、弊社では数多くの新技術を導入してまいりました。 依然として多額の投資と数多くのイノベーションが続いていますが、ツールの重点は、不十分と見なされていた「保護」から、より迅速な検知および修復機能へと移行しています。 これらは、彼らにとっても、私たちにとっても、最優先事項となっています。
ベクター社は依然として支出を拡大しています。 CEOや取締役会は、技術部門のリーダーたちに対し、「予算の余裕を作るために、何を犠牲にできるか」という、事実上自由裁量権を与えているという認識と印象を持たせる必要があります。 かつては、新しいベンダーがコストを削減し、技術コストも下がるという傾向がありました。 情報セキュリティに関しては、そうではありません。 機能はさらに充実していますが、全体的な支出は増加しています。
Orion： 当社のクライアントの多くは、業界屈指のサイバーセキュリティ部門を擁しており、新たな脅威と戦っていることを理解しています。例えば、アンチウイルスでは対処のしようがない、発生から1～2ヶ月しか経っていないような脅威などです。 2ヶ月前の脅威に対して、 20 年前の技術では対処できません。
質問 #2：サイバー攻撃によってデータや知的財産を失った場合のコストを定量的に算出したことはありますか。また、その金額を自社のサイバーセキュリティへの支出と比較したことはありますか。
ブラッド： サイバー犯罪による情報漏洩の平均コストを数値化した報告書が、今日、数多く公開されています。 For example, the latest report commissioned by IBM pegged the 2015 consolidated average cost at $3.8 million. セキュリティ侵害を受けた取締役会や企業への支援を専門とする法律事務所がいくつかあり、それらの事務所は、その件数がIBMの報告書に記載されている数よりも多いと見ています。 For example one law reported the average to be $7 million. 事前にコストを把握し、取締役会と話し合いを行うことで、情報セキュリティ機能への投資、必要な保険金額、そして企業が許容できるビジネスリスクの適切なバランスを、全員が適切に評価できるよう準備が進むと考えます。 情報漏洩による長期的なブランド価値や評判への影響は、定量化やモデル化が最も難しいようです。
Orion： 大規模な情報漏洩が発生した場合、直接的なコストとブランド価値の低下による損失の総額は、数十億規模に達する可能性があります。 定量化はケースバイケースであり、問題から解決策に至るまで綿密な分析が必要です。これは、事業の種類、売上、データなどによって異なります。
質問 #3：その企業のリスクをどのように評価しますか？ そのネットワークにはいくつのエンドポイントがあるかご存知ですか？また、それらをどのように管理されていますか？
Orion： 「エンドポイントはいくつありますか？」という質問に答えられないCIOがこれほど多いとは、驚きです。 自分が何を持っているのか分からなければ、それを守る見込みなどありません――そして、その答えを求めるのは取締役会の責務です。
ブラッド： オリオンさんの言う通りです。エンドポイントの数を把握するだけでなく、それらのエンドポイントで何が起きているのかを理解できるツールも必要です。 どのソフトウェアのバージョンがインストールされているか、何が変更されるか、何が追加されるか。 したがって、リスクを評価するためには、取締役会は、経営陣が自社の動的なエンドポイントのセットを把握し、監視するための手段と体制を備えていることを確認する必要があります。 最後に評価すべき点は、経営陣が環境に対する新たなリスクに適切に対応できる能力です。 脆弱性が判明した後、どのくらいの速さで修正できるのでしょうか？
質問 #4：大規模なデータ損失が発生した場合、御社ではどのような対応策を講じていますか？
Orion： 優れたサイバーセキュリティチームは、外部パートナーに依頼するのではなく、社内で脅威に対応する能力を構築しています。 外部の第三者を巻き込むということは、本質的に、ご自身の責任を免れることになります。 また、大規模な情報漏洩が発生した場合、外部業者を利用していると、リソースを管理できなくなってしまいます。 社内対応は、もはや単なる「あれば良い」というものではなく、まさに中核的な能力となっています。
ブラッド： 対応は主に社内のリソースで行っております。 企業を買収する際には、サードパーティのベンダーも有用なリソースになると思います。買収候補企業のリスクを迅速に把握するためには、専門家の助けが必要だからです。 そうでなければ、実際には思っているほど安全ではないにもかかわらず、外部の力に過度に依存してしまうことのないよう、注意しなければなりません。 ナスダックには、グローバル・ネットワーク・オペレーション・センターと同一施設内に設置されたセキュリティ・オペレーション・センター「 24/7」があります。
質問 #5：保険の状況はどうなっていますか？ サイバー攻撃による損害に対して、補償は受けられますか？ その幅はどれくらいですか？
Orion： 3年前は、サイバー保険に加入している人は誰もいませんでした。
ブラッド： サイバー保険に加入するという取り組みは、経営陣が積極的に行い、取締役会に報告すべき価値のある取り組みであると考えます。 これは積極的な取り組みであり、情報漏洩による潜在的なコストについて建設的な対話を促し、企業が情報漏洩に伴う自社の具体的なリスクの種類を理解するよう促すものです。 どのような種類の保険においても、免責金額の水準や補償範囲の制限は、サイバーセキュリティ対策ツールの強化や人員の拡充など、資金をより有効に活用する方法を明らかにしてくれるものです。 その解決策が保険の拡充であるか、あるいは情報セキュリティ機能への投資拡大であるかにかかわらず、保険による保護のレベルを評価することは、毎年恒例として行うべきプロセスです。
Orion： サイバーセキュリティが自社のビジネスにおける最大の脅威であると認識している銀行のCEOの方々と、数多くお話ししてまいりました。 それは金融サービス企業を破綻に追い込む可能性があり、そのような事態が起こることは容易に想像できます。 CEOたちが懸念を抱いているのには、極めて重大な根本的な理由があります。
完璧な解決策などありませんが、より良い解決策は存在します。 確かに費用はかかるかもしれませんが、多くの企業はこれまで投資を十分に行っていなかったため、今になってその遅れを取り戻そうとしているのです。 私たちが何をすべきかは、皆わかっているはずです。 管理されていない資産や在庫……。本来なら、ずっと前からこれをやるべきだったのです。
質問 #6：当社のセキュリティチームは、必要な情報をすべてサードパーティから入手できているでしょうか？ 彼らはそのデータを効果的に活用して、脅威を管理したり軽減したりすることができるのでしょうか？
ブラッド： 当社が他社と一線を画しているのは、規制の対象となっており、重要インフラとみなされている点です。そのため、ナスダックは国土安全保障省やFBI、その他の政府機関といったパートナーと非常に緊密に連携しています。 また、情報収集を充実させるため、主要な商用脅威・脆弱性通知サービスにも加入しております。
Orion： この質問には、2つの非常に重要な点があります。政府や関連する脅威情報源からデータを入手するために必要な連携関係は整っていますか？ それから、同様に重要なことですが、そのデータを効率的に活用するためのツールはお持ちでしょうか？
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
