この率直なインタビューでは、TaniumのCISOであるクリス・ホドソン氏が、AonのCSOでありTaniumの取締役でもあるアンソニー・ベルフィオーレ氏と対談し、分散型ワークフォースがサイバーセキュリティ機能、取締役会の関与、ビジネスのレジリエンス（あるいはその欠如）、そしてサイバーセキュリティ予算に与える影響について話し合いました。
リスクのバランスをサイバーレジリエンスへと転換する
クリス・ホドソン： 最初の質問は、従来のリスク評価式と取締役会の関与に関するものです：
私の経験では、影響は大きいが発生確率が低い事象に対しては、「まあ、そんなことは絶対に起こらないから、心配する必要はない」といった反応が返ってくる傾向があります。 取締役会の観点から見て、パンデミック対策やその他の影響は大きいが発生確率は低いシナリオにおける可用性の考慮事項に関して、リスク文化が根本的に変化する兆しは見て取れますか、それともまだ判断するには時期尚早でしょうか？
アンソニー・ベルフィオーレ： いくつかあると思います。 第一に、企業が現在実際に直面しているのは、自社のビジネスが実際には回復力に欠けていることを認識しつつあるという点であり、ビジネスの回復力こそが、企業にとっておそらく最も重要な要素であるということです。
第二に、企業はリモートワークやオンライン会議から、実際のセキュリティ対策、事業継続性の検証、災害復旧（DR）の進捗管理に至るまで、あらゆる分野に注力していくものと考えます。
第三に、企業は自社の重要なビジネスプロセスと、それを支えるテクノロジーを見直していくことになるでしょう。 今後2～3ヶ月の間に、そこから多くの問題が表面化してくるでしょう。そして、多くの企業が、自社のセキュリティ体制がどれほど脆弱だったかを、実は全く把握していなかったことに気づき始めると思います。 サイバーセキュリティの観点から安全が確保されており、COBIT、NIST、あるいはISOに準拠しているからといって、サイバーレジリエンスを備えているかどうか、あるいは攻撃を受けた際に立ち直ることができるかどうかは、決して示されるものではありません。
今後、ビジネスのレジリエンスや中核となるビジネスプロセス、その運営方法、そしてそうした取り組みを支える人材、プロセス、テクノロジーに注力する動きが、大きく広がっていくことになるでしょう。 プロトコルの追跡、優先順位付け、文書化、集約、記録といった取り組みが増加するでしょう。また、事業継続や災害復旧のワークフローの可視化も重要な課題となるでしょう。
サイバーレジリエンスはビジネスレジリエンスの一分野であり、その一分野がサイバーセキュリティです。 これは階層的な構造になっています。 貴社のビジネスにおける全体的なレジリエンスは、サイバーセキュリティ、人的資本、方針および手順によって構成されています。
可視性を最優先に
ホドソン： アンソニー、これに関連して、2つ目の質問ですが、事業継続という概念を誤用する人々についてです。 多くのITチームは、ITの観点からは「理解している」――つまり、サーバーインフラをデータセンター1からデータセンター 2 へとフェイルオーバーさせることはできます――が、そのシステムが本質的に組み込まれているサービス、アプリケーション、プロセスについては理解していません。 包括的な事業継続計画は、今後どのように変化していくとお考えですか？
ベルフィオーレ： 重要なのは文脈に応じた対応であり、そこがTaniumの出番となります。 これらのビジネスプロセスは、重要インフラおよびアプリケーションエコシステム上で稼働しています。 その境界線を明確に引くことができることが最も重要であり、パフォーマンス、システムの状態、サービスの品質、そしてデータのセキュリティを把握できることが鍵となります。
これは、ビジネスアーキテクチャ主導のアプローチを採用して、自社のビジネスプロセスやサービス、アプリケーションサービスやインフラストラクチャを理解するようなものです。 スタックを下に向かって分解し、その後、スタックの上下双方に対して可視性を提供します。 そうすれば、それを管理することができます。 今はそれに対応できません。
パンデミックという課題を克服する必要性
ホドソン： そこで、パンデミックの状況に関連する次のトピック、すなわち「プロジェクトの優先順位付け」についてお話ししたいと思います。 戦略は、可用性に関連するあらゆる事柄を優先するあまり、見捨てられているように見えます。その結果、優先順位や予算をめぐる既存の摩擦がさらに悪化しています。 CISOの方々から伺った体験談によると、最高リスク責任者（CRO）や法務部門、あるいはトップに直接報告しているCISOであっても、セキュリティ上の優先事項や、抽象的かつ差し迫ったIT上の課題を明確に説明できているようです。 CIOの直属の部下たちには、現在進行中の資金調達および計画中の資金調達について、すべて再評価するよう求められています。 これについて、どうお考えですか？
ベルフィオーレ： 難しい状況ですね。 物理的なセキュリティ、事業継続および災害復旧、フロントオフィス、ミドルオフィス、運用部門のニーズといった多方面の要件に、限られた資金、時間、リソース、そして人員の中で対応を迫られています。 そして、それはあくまでお金と、仕事を成し遂げる能力に過ぎません。 これは最も基本的な、直感的な影響ですが、今ではかつてのような人材や能力もなくなっています。 それだと、迅速に、あるいは機敏に仕事を進めることはできません。 そして、人々は本当にストレスを感じており、心配しています。 それが、今私が抱えている最大のストレスなんです。
もう手遅れです
ホドソン： それでは、セキュリティポリシーと基準について話を進めましょう。 多くの組織ではリソースが限られているため、BYOD（Bring Your Own Device）ポリシーの導入を余儀なくされています。 多くの場合、それは、事業の継続性を確保し、業務を円滑に維持するために、セキュリティポリシーや基準も変更しなければならないことを意味します。 これは単純な技術的な変更ですが、パンデミックが終息した後に、その「魔神」を再び瓶の中に閉じ込めることは極めて困難になるでしょう。 そう思われますか？
ベルフィオーレ： はい、人々は在宅勤務に慣れてきています。 その秘密が明らかになりました。 これだけのオフィススペースは、すべて必要ありません。 効果を上げるために、これらすべてが必要というわけではありません。 このパンデミックは、ある意味でそれを証明していると言えるでしょう。 これから本当に面白くなりそうですね。
ホドソン： セキュリティオペレーションセンター（SOC）チームやインシデント対応チーム、エンジニアを含め、全員が在宅勤務をしていると仮定しましょう。 半年が過ぎましたが、特に大きな問題となるようなことは何も起きていません。 莫大な予算を擁し、これらすべての統制措置が必要だと主張していたセキュリティ責任者たちが、間違いなく「何も起きていないのに、なぜこれほど多くの対策が必要なのか、なぜこれほど多くの人員が必要なのか」と問うであろう取締役会に対し、どのように説得していくとお考えでしょうか。
ベルフィオーレ氏： 取締役会も、リモートワークがいかに効果的であるかを認識しつつあると思いますし、それこそがサイバーセキュリティへの投資を正当化する理由となるでしょう。 これが「ニューノーマル」です。 かつてのように仕事をするために、これほど多くのインフラや人員をすべて必要とするわけではありません。 それがまさに「目覚め」、つまりITとサイバーセキュリティにおける破壊的な革命なのだと思います。
事業継続への新たな注目
ホドソン氏： Taniumは、当社のお客様にとって不可欠なビジネスサービスと見なされています。 当社は、リモートワークが普及している状況下でも稼働を維持しなければならない、IT運用、リスク管理、およびサイバーセキュリティに関する機能を提供しております。 その結果、私は（顧客の）コンプライアンス部門やリスク管理部門から、事業継続計画に関するアンケートが数多く寄せられています。 顧客によっては、ISO 22301/27001に準拠した規範的なアプローチでデューデリジェンスを行う一方、自社独自のアプローチを採用している顧客もいます。 これについて、どうお考えですか？
ベルフィオーレ氏： 社内で、これまでに単一の規格が効果的だったとは一度も考えたことがありませんでした。そのため、実際にはすべての規格を取り入れ、各分野で最良のものを組み合わせたシステムを構築しました。 当社の現在の基準は、世の中に存在するほぼすべての基準を統合したものです。
現在、当社のクライアントの多くが取り組んでいるのは、第三者監査ベンダーの評価や自社の内部プロセスについて、協力して共同で取り組むことです。 こうしたリスクベースの方針や枠組みは、多くの場合、「ビッグ 4 」と呼ばれる企業群によって策定される傾向があります。彼らは、既存のあらゆる基準や自社の事業、そして適用されるすべての規制環境を精査する大規模な取り組みを行い、それらを統合した枠組みを策定するのです。 特に金融サービスや医療分野では、規制が厳しいことから、そうした傾向が見られます。 政府は、規制に対する感受性が高いため、独自の基準を策定する傾向があります。 他の業界を見てみると、基本的にはISOやNISTを採用しているのが実情です。 それは、どの業界に注目するか、そしてその業界がどのような方針をとるかに大きく左右されます。
当社の基準は、サイバー保険の観点から企業を受け入れる際の市場参入基準を基にしていますが、ISOやNIST、および当社が事業を展開するすべての管轄区域（シンガポールのMAS、香港のHKMA、日本のFSA、英国のFCAなど）のベストプラクティスも組み合わせています。 私たちは、同社のすべての主要基準を検討し、現在の運用基準に最低限の保証基準を確実に組み込むようにしました。
ホドソン： 業界別の分野について、ご指摘の通りですね。 もう一つ質問があります。私はこれまで、危機管理であれ机上演習であれ、経営幹部（CXO）に事業継続計画への関与を促すことに、常に苦労してきました。 世界的なパンデミックによって、その状況は変わると思いますか？
ベルフィオーレ： まったくその通りです。 今後、テーブルトップ型を導入することになると思いますし、それらは規制によって義務付けられることになるでしょう。 事業継続計画のあり方を根本から変革しなければ、この状況を乗り切ることは到底できません。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、で開催予定のイベント（）にて、Taniumの専門家にご相談ください。
