「予測というのは難しいものです。特に未来のこととなると」と、野球界のレジェンド、ヨギ・ベラは、彼の最もよく引用される名言の一つでそう冗談めかして語りました。
で取り上げられた「 2022 の最重要ニュース」 のうち、 ソフトウェアのサプライチェーン や ファームウェアへの攻撃 など、完全に予測可能だった事例があったことは、二重に厳しい状況です。 しかし、 ウクライナでの戦争勃発後、経済がこれほど不安定になること、あるいは Uber の判決がCISOたちに与える深刻な影響を、一体誰が予測できたでしょうか？
今回の展望記事では、セキュリティの専門家の方々に、 2023における最も重要なトレンドについて、専門的な見地から予測していただきました。 これらは、すべてのCISOがしっかりと把握しておくべき課題です。
SBOMの義務化が注目の的となっています
準備ができているかどうかに関わらず、ソフトウェア部品表（SBOM）の重要性は、今年さらに一段と高まるでしょう。 その動きの多くは、ソフトウェアサプライヤーに対してSBOMの提出を求め始めている民間企業から生じるものですが、おそらく最も大きな圧力は連邦政府からかかることになるでしょう。 米国の各機関および省庁は、最も重要なデータを扱う際、ベンダーが安全なソフトウェア開発慣行を遵守し、SBOMを提供することを確実にしなければなりません。
「現在の未成熟度を考慮すると、SBOMはまだ契約要件として適していないと私たちは考えています。」情報技術産業協議会
が定めるSBOMの標準要素（ ）こそが、組織内で使用されているソフトウェアアプリケーションやコンポーネントの透明性を向上させる上で、最も大きな可能性を秘めているという点については、ほぼ普遍的な合意が得られています。 とはいえ、この規格が広く普及する準備が整っているかどうかについて、議論が巻き起こっています。
この議論は昨年11月、多くの大手テクノロジー企業で構成される業界団体「情報技術産業評議会（ITIC）」が、 に掲載された公開書簡（ ）の中で、SBOMを大規模に活用するには、その成熟化にさらなる時間が必要であると主張したことをきっかけに、さらに激化しました。 「現状の未成熟度を考慮すると、SBOMはまだ契約要件として適していないと我々は考えています」と、同グループは書簡の中で述べています。
また、連邦議会は、政府の請負業者に対しSBOMの提出を義務付けることを検討しています。 例えば、上院の「第 2023 回国防授権法」は、国防総省のために作成された、あるいは同省が取得したすべての非商用ソフトウェアについて、SBOMの提出を義務付けることを目的としています。
結局のところ、一部の専門家は、業界からの反発があるにもかかわらず、SBOMが急速に普及すると予想しています。 「SBOMを導入・自動化する技術はすでに存在しています」と、SANS Instituteの新興セキュリティ動向担当ディレクター、ジョン・ペスカトーレ氏は述べています。
データガバナンスとプライバシーに対する圧力が高まっています
のセキュリティおよびプライバシーに関する規制の強化 が、ビジネスリーダーたちの注目を集めています。 「セキュリティとプライバシーは、今日の組織が下すあらゆる技術的な意思決定の一部となっています」とペスカトーレ氏は述べています。 「データの保護方法が、今後ますます議論の焦点となっていくでしょう。」
ガートナーのアナリスト、アンソニー・カルピーノ氏もまた、各組織が非構造化データのガバナンスを強化し、データウェアハウスや分析パイプラインにおけるプライバシーコンプライアンスの向上を図るようになると予測しています。 「組織は、中核となるセキュリティアーキテクチャにデータ中心の視点を重ね合わせることに注力しなければなりません」と彼は述べています。
[関連記事：組織の「至宝」とも言えるデータを保護するための 5 のステップ]
また、経営陣は、 データプライバシーに関する法律の拡充 も想定しておく必要があります。 例えば、カリフォルニア州プライバシー権法（CPRA）に残されていた数少ない企業間取引に関する適用除外規定は、 2023年1月1日に失効しました。 同法には現在、従業員のデータ、求人応募の際に収集されたデータ、および過去および現在の従業員や契約業者のデータが含まれています。 このような動きを見せているのはカリフォルニア州だけではありません。バージニア州も、「バージニア州消費者データプライバシー法（VCDPA）」として知られる法案の制定を進めています。
ベンダーの統合が加速しています
セキュリティベンダーの大規模な再編が予想されているという見方が数多く出回っています。 観測筋は、利用可能な投資資金の減少や、財務基盤が堅実な大手テクノロジー企業による買収の減少が波及効果をもたらすと予測しています。こうした企業は、自社の機能拡充を図るため、戦略的にセキュリティベンダーを買収しているのです。
「たとえ事業再編が行われなくても、なくても済むと思われるベンダーを特定できるはずです。」Replicated社のセキュリティ担当副社長、アンドルー・ストームズ氏
2022 が終了する頃には、サイバーセキュリティへの投資は鈍化しており、企業価値も大幅に下落していました。 しかし、サイバーセキュリティ分野のベンチャーキャピタル企業YL Venturesのオペレーティング・パートナーであるアンディ・エリス氏は、業界再編が大きな要因になるとは考えていません。 「サイバーセキュリティ市場では、定期的に浮き沈みが見られます」と彼は述べています。 「セキュリティの中心がネットワークであった時代には、大手企業を中心に市場が統合されていきました。 しかし、それでもなお 50 社以上のファイアウォールベンダーが存在していました。 「ニッチなベンダーこそが、私たちがイノベーションを目の当たりにした場所でした。」
調査対象となった専門家たちは、セキュリティチームが現在のセキュリティベンダーを洗い出し、合意された目標に対してその実績を評価すべきだと提案しました。 組織は、その後、業績の優れたベンダーをセキュリティプログラムの主要目標と整合させ、統合のリスクがあるベンダーに代わる手段を講じるか、あるいはそのベンダーなしでも業務を遂行できる計画を策定すべきです。 「たとえ統合が行われなくても、なくても済むと思われるベンダーを特定できるでしょう」と、プラットフォームプロバイダーであるReplicatedのセキュリティ担当副社長、アンドルー・ストームズ氏は述べています。
「セキュリティ体験」の台頭
Demands will grow in 2023 to improve how users actually experience security tools and policies, says Jonathan Feldman, chief information officer of Wake County, North Carolina. 同氏によると、組織が顧客や 従業員体験 について語る方法は、まもなくセキュリティ体験にも拡大していくとのことです。
「セキュリティを、測定もせず、人々の日常業務にどのような影響を与えるかを確認もしないまま、孤立した状態のまま進めていくことはできません」と彼は述べています。 「 ランサムウェアに感染しないようにすることは、誰にとっても重要なことです。」 「大規模な攻撃が成功しないようにすることは、誰にとっても重要なことです。」
が実施したアーンスト・アンド・ヤングの調査（）によると、米国の従業員の 83％が、雇用主のサイバーセキュリティに関する規定を理解しているとのことです。 しかし、職場における若い世代には、なかなかアプローチしづらいかもしれません。 調査によると、Z世代とミレニアル世代の従業員は、方針を優先したり遵守したりする傾向が最も低いことが分かりました。
[関連記事：技術だけでは解決できないリスクも存在し、これもその一つです――従業員がサイバーセキュリティポリシーに違反してしまう理由とは]
今後1年間、フェルドマン氏は各組織に対し、セキュリティ体験を向上させるために何ができるかに注力するよう助言しています。 それは、シングルサインオンやパスワードレス認証の導入を意味するかもしれません。 また、従業員に煩わしい仮想プライベートネットワーク（VPN）の利用を強制するのではなく、 のゼロトラスト プロセスへの移行を意味する可能性もあります。 結局のところ、セキュリティ体験を向上させるには、セキュリティをワークフローの自然な一部とし、障害としないことが必要です。
認証はパスワードレスになります
ユーザー名とパスワードは、犯罪者しか好まないようなセキュリティ対策です。 パスワードを覚えたり、入力したり、変更の通知を受けたりすることを好む人は誰もいません。また、セキュリティの専門家たちは、パスワードが利用可能なセキュリティ対策の中でも最も信頼性の低いもののひとつであることを知っています。
「もしパスワードをなくすことができれば、それほど賢くない攻撃者の多くを排除できるでしょう。」SANSインスティテュートの新興セキュリティ動向担当ディレクター、ジョン・ペスカトーレ氏
犯罪者たちは、従業員がパスワードを繰り返し再利用するため、 のパスワードを好んで利用しています。 人々は、作りすぎてしまい、その結果、推測されやすいパスワードを選んでしまいます。 しかし、昨年の出来事のおかげで、パスワードを使わない認証、つまり「パスワードレス」なセキュリティという概念が、今後ますます普及していくものと見込まれています。 パスワードの消滅 は、20年以上前から予測されてきましたが、技術と動機がようやく一致し、ついにパスワードを「絶滅危惧技術」のリストに載せられる段階に至ったようです。
この移行は、一部、公開鍵暗号および国際規格に基づいた FIDO2 認証仕様（）に起因しています。 Apple、Google、およびMicrosoftの は、昨年5月、デバイス間でパスワードレス認証を実現するため、FIDO2 規格をサポートすると発表しました。 大手IT企業各社は、パスワードレス方式の方が、 のようなフィッシング攻撃や、 のようなパスワードの盗難から、より効果的に保護できると考えています。 The market seems to agree: The research firm MarketsandMarkets estimates the global passwordless authentication market reached a value of $6.6 billion last year, and will continue to grow at an annual rate of 26% through 2027.
[関連記事：パスワードの「プラス」としてご検討ください――多要素認証について知っておくべきことをすべてご紹介します]
「この 20 年間、攻撃にかかるコストを引き上げることができていません」と、SANSインスティテュートのペスカトーレ氏は述べています。 「しかし、パスワードをなくすことができれば、それほど賢くない攻撃者の多くを排除できるでしょう。」
こうした傾向は、CISOが今後1年間にわたって対処しなければならない、 未知のものもあれば、 既知のものもある多くの不確実性を示唆しています。 準備を整えている人々は、目前に迫るリスクに対して、はるかにうまく対処できると安心していただけます。
