ITとセキュリティの統合に対するニーズの高まり

アンディ・エリス氏にとって、最高情報責任者（CIO）という役職は「行き止まりの仕事」です。

エリスなら知っているでしょう。彼は、米空軍をはじめとする多岐にわたる組織で情報セキュリティ分野に携わり、アカマイ・テクノロジーズをインターネット業界の巨人へと成長させました。現在は、サイバーセキュリティ関連ベンチャー企業への出資・支援を行うYLベンチャーズのオペレーティング・パートナーを務めており、CSO殿堂入りを果たしています。

サイバーセキュリティのベテランは、近い将来、「セキュリティはあらゆる場所に組み込まれるようになる」と見ています。そのため、同氏は、「CIOという役職は、独立した経営幹部（Cレベル）のポストとしては消滅し」、職務機能として最高情報セキュリティ責任者（CISO）の役割と統合されるだろうと述べています。

自社のITリスク状況を把握しましょう

それはあくまである専門家の意見に過ぎません。しかし、そのような発言は、両職種とそのそれぞれのチームとの間で、すでに問題を抱えている関係をさらに悪化させることは間違いありません。その理由は次のとおりです。長年にわたり、IT運用とサイバーセキュリティの各部門は対立してきました。

両者とも、組織のネットワークやのエンドポイントデバイス（これには、数万台に及ぶノートパソコン、PC、タブレット、およびクラウド上の仮想マシンが含まれる場合があります）を保護する役割を担っていますが、IT部門はそれらの円滑な稼働を確保したいと考えているのに対し、セキュリティ部門はそれらの一つひとつが確実に保護されていることを確認したいと考えています。

この単純な二分法から対立が生まれ、それが企業のサイバーセキュリティや経営の健全性を脅かす可能性があります。

Taniumのエンドポイントセキュリティ担当ディレクター、ダンカン・ミラー氏は、「CIO（）とCISO（）は『異なる目標を持っており、それが大きな課題となり得る』」と述べています。両部門を統合する上で、成功の指標について合意を得ることが、最大のハードルの一つとなっています。

「両チームは、それぞれ異なる目標に基づいて評価されています」とミラー氏は述べています。「御社のIT部門は、システムを正常に稼働させ、利用可能な状態に保つ役割を担っています。」セキュリティチームは、これらのシステムが適切に使用されていること、および適切なアクセス権限を持たない者がアクセスできないようにすることを確認するために存在しています。「これらの役割の間には本質的な矛盾があり、人々の認識を一致させることにも課題があります。」

大幅に拡大し、複雑化した脅威の状況を制御する

他のあらゆる事柄と同様に、パンデミックとリモートワークへの急速な移行が、その状況に変化をもたらしています。今日、分散型ワークフォース――つまり、各従業員がインターネット経由で社内ネットワークに接続するデバイスを少なくとも1台所有している環境――の普及により、 IT部門とセキュリティ部門の双方にとって、課題がさらに複雑化しています。

「これらの役割の間には本質的な矛盾があり、人々の認識を一致させることは困難です。」
Taniumのエンドポイントセキュリティ担当ディレクター、ダンカン・ミラー氏

会計事務所PwCが「第 2022 回グローバル・デジタル・トラスト・インサイト調査」のために調査対象とした、セキュリティ、ビジネス、IT分野の幹部3,000 名以上のうち、4分の3が、自社のテクノロジー、データ、および運用環境が過度に複雑であると報告しています。その結果、盲点が多すぎることになってしまいました。

その結果、ITチームは、自社のエンドポイントの最大 20％について、可視性を確保できていないことがよくあります。つまり、それらのデバイスでは、設定ミスが生じたり、ソフトウェアの更新が行われていなかったり、許可されていないアプリがインストールされていたりする可能性があり、これらすべてがユーザーにとってのパフォーマンス低下につながる恐れがあります。そうした点もまた、脆弱性となります。

のエンドポイント管理と生産性を向上させ、脅威からそれらのエンドポイントを保護するためには、両チームがまず、部分的な視点にとどまらず、すべての資産を360度全方位から把握する必要があります。エンドポイントセキュリティは、後回しにしてはなりません。「セキュリティ対策を後回しにすると、失敗に終わります」とミラー氏は述べています。

IT運用とセキュリティを統括する単一のリーダーの登場

この亀裂を埋めるためには、各領地が団結するか、少なくとも同じリアルタイムデータに基づいて連携する必要があります。これは、各領地の利害関係やツールを統合するプラットフォーム（）を通じて実現可能です。これには、のアセット検出、リスクおよびコンプライアンス管理、機密データの監視、およびの脅威ハンティングなどが含まれるべきです。両指導部を統合することには、メリットもあればデメリットもあります。

「統合は興味深い仕組み」であり、組織の生産性とセキュリティの向上につながる可能性があるため、検討すべきだと、クラウド専門企業Orca Securityの顧問CISOを務めるエリス氏は述べています。「しかし、［リーダーシップを統合するにあたって］、リスクが技術的にどのように機能するかにのみ焦点を当てている人物の視点が失われてしまうリスクがあります。」

ウィム・レメス氏は、サイバーセキュリティ専門家の育成と認定を行う国際的な非営利団体（ISC）²の理事を務めるほか、組織に対してサイバーセキュリティのベストプラクティスに関する助言を行うDamovo Security Servicesのマネージング・ディレクターも務めています。彼は、ITとセキュリティを同一の指揮系統下に置くべきだとは考えていません。「両者の目標があまりにも異なるため、それが成功するはずがありません」と彼は言います。

例えば、ITでは「可用性」に重点が置かれています。システムがダウンした場合、ビジネスへの影響は直接的なものとなります。したがって、IT運用チームは、脆弱性を修正することでシステムがクラッシュする恐れがある場合、その脆弱性に対してパッチを適用しないことを選択することがあります。セキュリティは、システム全体の完全性、およびシステムが処理・保存するデータの完全性を保護することに重点を置いています。セキュリティ責任者がIT部門の直属の部下である場合、IT部門の経営陣は、ほぼ例外なくビジネスの可用性を最優先します。そのため、IT運用とセキュリティの完全な統合は困難な課題となっています。「セキュリティはすべての機能に焦点を当てています」とレメス氏は述べています。

彼は、強固なセキュリティ体制は、適切に実施されたIT戦略から始まるものだと考えています。「大企業において需要の高いセキュリティ機能の多くは、堅牢な資産管理、構成管理、アプリケーションセキュリティ管理、およびパッチ管理に依存しており、これらはすべてIT機能です」と彼は述べています。「IT部門とセキュリティ部門は、リスクを特定し、軽減するために連携すべきです。」

ITとセキュリティのサイロ化を解消する

今日のビジネス環境においては、セキュリティ戦略がIT運用と連携して初めて成功すると言えます。今必要なのは、「統合型」の管理アプローチを採用することです。つまり、部門の垣根を越えて、一つのチームとして活動することです。

「IT部門には、独自の膨大な未解決課題リストがあります。」同じ最終目標を共有するセキュリティチームが、その実現に役立つでしょう。”
TrustMAPPのCISO兼CTO、アラン・アルフォード氏

専門家によると、両チームの最終的な目標は同じであるため、両チームを連携させることは十分に可能だとのことです。「セキュリティ部門が問題を発見しますが、最終的にはIT部門がその問題を解決しなければなりません」と、サイバーセキュリティ・パフォーマンス管理企業TrustMAPPのCISO兼CTOであるアラン・アルフォード氏は述べています。「IT部門には、独自の膨大なタスクリストと優先事項のリストがあり、割り当てられるリソースには限りがあります。」「同じ最終目標を共有するセキュリティチームなら、そのお手伝いができるでしょう。」

とはいえ、その課題は、時間に対する見方の違いに起因しているのかもしれません。アルフォード氏によると、セキュリティチームは一晩で全ての問題が解決されることを望んでいるかもしれませんが、IT部門が常にそのような短期間での対応に応えられるとは限りません。ソフトウェア（）の開発者がすでに会社を辞めてしまっていたり、商用ソフトウェアの販売が終了していたりするため、アップグレードができない場合があります。

単にセキュリティ部門とIT部門を同じ部屋に集めて解決策を話し合うだけでは、必ずしも問題が解決するとは限りません。特に、両部門のリーダーのリーダーシップスタイルが異なる場合はなおさらです。 CIOは、対立する2つの派閥の間で選択を迫られることがあります。

多くの場合、ITの財務目標により直接的に関わる他の部門を優先するあまり、セキュリティが後回しにされてしまいます。「ITの成功は、どれだけ支出を抑えられたかで測られるのです」とアルフォード氏は述べています。「セキュリティがIT部門に組み込まれてしまうと、支出を控えるよう圧力がかかる可能性がありますが、セキュリティにとって本当に必要なのは、むしろ資金を投入することなのです。」「セキュリティがITによってあっという間に軽視されてしまうような事態は避けたいものです。」

IDおよびアクセス管理ソリューションにおいて、IT部門とセキュリティ部門が連携を図る

アルフォードは事例研究を紹介しています。 NTTデータサービスでデリバリーCISOを務めていた前職では、世界中で 50,000 名の部下を統括していました。彼のチームは、都市部と農村部の両方に住んでいました。

のパンデミックが始まった当初、彼は、状況に応じてスタッフに適切なコンピューターを配備し、地方に住む人々に安定したインターネット接続を提供するという、世界的な課題に直面しました。「さまざまなシナリオが想定されましたが、IT部門とセキュリティ部門が協力して、その状況を乗り切らなければなりませんでした」と彼は述べています。

これを円滑に運用するために、両チームは共通のID・アクセス管理ソリューションの下で連携しました。「従来、ID管理はIT部門が担当していました」とアルフォード氏は述べています。「当社が保有するすべてのセキュリティツールは、IDおよびアクセス管理ソリューションを中核としていたため、それがセキュリティ体制に不可欠であると考えました。」「その結果、両部署の協力のもと、最終的に警備部門が引き継ぐことになりました。」

各チームは、集中型データセンターから流れるデータをクラウド上のさまざまなサービスに接続するために、セキュア・アクセス・サービス・エッジ（SASE）ソリューションを導入しました。また、同社は、従業員がクラウドにアクセスする際に、エンドポイント管理による保護対策が確実に講じられているようにしました。

アルフォード氏は、準備こそが、
広範囲に分散したハイブリッドな労働力が活躍する「境界のない世界」において、セキュリティとITを統合するための鍵であると指摘しています。彼は、適切なツールを整えておくよう勧めています。部門間の壁を取り払う一方で、チームの役割を真に理解している専門家をトップに据え続けてください。

「スターバックスにいても、家にいても、そんなことは問題になるべきではない」と彼は言います。「境界がないという状況に対応するためには、そのためのインフラが整っていなければなりません。」すべて実現可能です。「重要なのは、IT部門とセキュリティ部門の間で綿密な連携を図ることです。」