ビジネスを成功させるには、効果的なリスク管理が不可欠です。 。 しかし、多くの企業のIT部門には、深刻な問題があります。 ITチームは、依然としてリスク重視の観点から脆弱性管理プログラムを運用することに苦慮しています。 その結果、無駄な労力がかかり、システムが危険にさらされ、有能な人材が複雑で手間のかかるプロセスに縛られてしまうことになります。
Forrester社のレネー・マーフィー氏は、新しい「To the Point」動画のゲストスピーカーとして、リスク評価と管理に自動化されたアプローチを導入することで、組織は監査やコンプライアンス業務を効率化し、エンドポイントの可視性を高め、深刻なサイバー侵害が発生する可能性を最小限に抑えることができると強調しています。
CVEの殺到
The NIST National Vulnerability Database (NVD) revealed that more vulnerabilities were published in 2021 than any year previously. 5年連続で、共通脆弱性および露出（CVE）の件数が過去最高を更新しました。今回は 20,139件で、前年の 2020件から 10％増加しました。
4000 件以上が「重大度が高い」と分類されており、これはリソースが最も充実したITチームにとっても多大な負担となるでしょう。さらに、どのバグを優先して修正すべきか判断できない場合、この作業はさらに困難なものとなります。
その間、 2019 may に掲載されている過去の CVE は、パッチが適用されていないアプリケーションやシステムの脆弱性を悪用され、ある組織を標的とした攻撃に積極的に利用されています。
オンプレミス、ハイブリッド、マルチクラウド環境において、組織内で指数関数的に増加しているエンドポイントに対する完全な可視性と制御を実現するリスクおよびコンプライアンスソリューション は、攻撃対象領域を縮小し、ユーザーを完全に保護するために不可欠です。 しかし、多くのITチームは、古くなったり不完全なデータに悩まされており、スプレッドシートや複数のポイントソリューションといった手作業によるツールを依然として使用しており、それが情報のサイロ化をさらに悪化させています。 これにより、環境全体に何が存在しているのか把握できないため、リスクに基づく優先順位付けが困難になります。
マーフィー氏はプレゼンテーションの中で次のように述べています。「現場にいれば、自分の足元にあるものしか見えません。」 「ドローンに乗って、上空から森の風景がどう見えるか見てみる必要があります。」
対話の質を高める
では、CISOやリスク管理責任者は、どのようにして議論のレベルを高め、効果的なリスクベースの脆弱性管理へと転換していけばよいのでしょうか？ リアルタイムのテレメトリ、調査機能、そして脆弱性を迅速に是正する 能力を備えた統合ソリューション は、今日の脅威情勢に対処するために不可欠です。 新たに公開された各CVEについて、いくつかの重要な質問を自問してみてください：
- 実際に悪用されているのでしょうか？
- 私の組織が次に標的とされる可能性はどのくらいあるのでしょうか？
- 脆弱性のあるシステムはありますか？
- 本番環境に脆弱性のあるシステムはありますか？
- パッチ適用に伴うダウンタイムは、顧客向けの主要なサービスに影響を及ぼすでしょうか？
リスクに焦点を当てるということは、本質的に、 脆弱性管理の最適化 を行うことに他なりません。 これは、時間やリソースを、最も必要とされる分野に重点的に投入することです。 マーフィーが言うように、「海を煮詰めることなどできません。」 「どのような要因が最も大きなリスクをもたらすか、注意を払わなければなりません。」
結局のところ、経営陣は、IT運用およびセキュリティチームに対し、業務パフォーマンスを維持し、顧客サービスの継続性を確保するために、運用状況を監視・管理することを期待しています。
自動化されたリスク評価ツールが鍵となります
マーフィー氏にとって、自動化はリスクベースの脆弱性管理を実現するための重要な要素です。 これにより、内部監査、コンプライアンス、IT運用、およびセキュリティ各チームの業務負担を軽減することができます。 信頼性の高いリスクスコアは、パッチ適用の優先順位付けに役立ち、また、プログラムが効率的に運用されていることを第三者の監査人に証明するのに役立ちます。 何よりも重要なのは、 11 秒ごとにランサムウェア攻撃が発生している という状況下において、自組織のリスク態勢を把握しておくことで、深刻な情報漏洩を未然に防ぎ、組織のコンプライアンスを維持できるということです。 「いかなる組織も、絶え間ない是正措置の負担を甘受すべきではありません」と、マーフィー氏はプレゼンテーションの中で主張しています。
[脆弱性の是正が、単なるパッチ適用にとどまらず、実際のリスクを低減し、修正内容の有効性を確認し、セキュリティ上の脆弱性を解消するためのワークフローを効率化する方法についてご覧ください]
「IT監査業界は、今頃には監視ソフトウェアによって倒産していたはずですし、私たちも皆、次の段階に進んでいたはずです」と彼女は付け加えます。 「今日、データセンターを運営している人たちは、この世で最も幸運な人たちだと思います。」 皆さんができるようなことは、 20 年前には私たちにはできませんでした。 「脆弱性や脅威を分析する際に、リスクベースのアプローチを採用しない理由などあってはなりません。」
Taniumのリスク評価（ ）をご利用いただければ、御社のに関するリスクの程度について、さらに詳しく把握することができます。 5日間にわたる無料のリスク評価では、リスク状況の全体像を把握し、組織を守るための積極的な対策をご提案いたします。 今すぐご登録ください。
