このブログでは、TaniumのグローバルCISOであるクリス・ホドソン氏が、EYのサイバーセキュリティおよびインシデント対応担当エグゼクティブであるジェフ・フィッシャー氏と対談し、CISOの役割や、COVID-19のパンデミックによってその役割がどのように変化したかについて話し合いました。
サイバーセキュリティをビジネス指標に落とし込む
クリス・ホドソン： まず、パンデミックが始まって以来、よく耳にする質問から始めたいと思います。「CISOは自社のビジネスを本当に理解しているのでしょうか？」 今でも、セキュリティ機能を非常にIT中心のものであり、日常業務とは切り離されたものと捉えている人は多くいます。 これについて、どうお考えですか？
ジェフ・フィッシャー： ですから、企業レベルでは、CISOの方々は自社のビジネスを十分に理解されていると思いますが、経営陣に対して、 サイバーセキュリティや インシデント対応がなぜ重要なのかを説明するためのデータが不足しているのだと思います。 すべてのCISOは、最終的には自社の事業内容を理解しており、その視点に立ってセキュリティ対策に取り組もうとしています。 多くの場合、彼らは、なぜその取り組みを行っているのかを経営陣に説明するための適切なデータを持っていないのです。 また、彼らは物事を数値化するための可視性を持っていません。 彼らに必要なのは、ビジネス部門が予算や成長に関するニーズを説明するのと同じように、データに基づいて自らのニーズを説明する方法だと思います。
クリス・ホドソン：確かに、私もそのギャップを実感しています。 セキュリティ担当者は、セキュリティ指標を理解していますよね？ ファイアウォールが必要な理由、パッチ適用が必要な理由、堅牢なID管理が必要な理由は理解できますが、それらを一連のビジネスに即した指標に落とし込むのはまた別の話です。
新たなリスク環境への対応
クリス・ホドソン： そこで、次の質問ですが、パンデミックの間、CISOにとっての脅威の状況は変化したとお考えですか？
ジェフ・フィッシャー： 攻撃を行ってきた人々は、パンデミックによって何も変わらなかったため、今後もこの状況下で勢いを増し続けるでしょう。 攻撃者たちのTTPには、実際には何の変化も生じませんでした。 つまり、その結果、サイバーセキュリティに関しては、依然として同じ問いかけを繰り返すことになります。「自社の資産がすべてどこにあるか、把握できているでしょうか？」 これらすべてにパッチを適用しているのでしょうか？ 私は彼らを監視しているのでしょうか？ エンドユーザーのエンドポイントを迅速に調査して隔離し、その後、適切な対応に素早く切り替えることは可能でしょうか？ その点については、何も変わりませんでした。
変わったのは、どこにお金を使いたいかという点です。 今日は、人材の確保に、これまでよりも多くの費用をかけることになるかもしれません。 リスクの観点から言えば、この「最も弱い部分」が今後拡大していくことになるだろうと、私は今、理解しています。
クリス・ホドソン： 「人」のセキュリティ確保についてのお話しですが、エンドユーザーの視点に立ち、現在誰もが在宅勤務を行っているという事実を認識しておく必要があります。 彼らはフィッシング詐欺の被害に遭いやすく、疲れやストレスを抱えており、家庭生活や子育て、そして普段とは異なる環境での仕事を両立させようとしています。 ですから、それによって悪意のある行為の標的になりやすくなると思います。
防衛側、つまりセキュリティ運用チームについても同様です。 彼らは一般的に、SOCやNOCの環境下で業務を行うことに慣れています。 彼らは部門横断的なスタンドアップミーティングを実施し、協力して問題解決に取り組んでいますが、これらすべてをリモートで対応することは大きな課題となっています。
もう一つの重要な課題は、インターネットやアプリケーションへのアクセスに関するものです。 帯域幅やネットワークパフォーマンスの問題により、スプリットトンネリングを許可せざるを得なかった組織の中には、VPN経由でパッチの更新を展開しなければならないところもあります。 しかし、現在ではVPNは完全に普及し、中核となるビジネスアプリケーションの提供にも利用されるようになっています。 CISOにとっては厳しい時期です。
CISOの役割の変遷
クリス・ホドソン： CISOの役割そのものが変化したとお考えですか？
ジェフ・フィッシャー： それほど遠くない過去において、CISOという役割は、ガバナンスに重点を置き、ルールに基づいたものだったと私は考えます。 CIOとCTOの立場から、現在では対等な立場で物事を捉え、ビジネス上の意思決定を行っているのだと思います。 CISOは、結局のところ、かつてに比べてより大きな発言権を持つようになっています。 彼らは、組織内にある程度の不確実性やリスクを管理することに慣れてきており、それを適切に行うために、必要に応じて柔軟に活用できる管理手段がすぐに利用できることを理解しています。 彼らは、リスクと機能性のバランスを取りつつ、とにかく仕事をやり遂げなければならないという状況に直面しています。 ここ数ヶ月の進展こそが、業界にとって実際に良いことになると私は思います。 その結果として、CISO、CIO、CTOの皆さんが最終的に築き上げていく関係は、非常に有益なものとなるでしょう。
クリス・ホドソン： ええ、CISOの役割は、コンサルティング的な機能へと変化しつつあると思います。 パンデミックの状況下において、CISOは、組織にふさわしいリスクレベルに合わせて、管理策を策定したり、助言を行ったりする役割を担っています。 CISOの役割は変化を余儀なくされましたが、CIOやCTOも同様に変化を遂げたことは、彼らの功績であると思います。 彼らは、これまで以上に柔軟に対応し、より一層協議を重ねる必要に迫られています。
検出の枠を超えて視野を広げる
クリス・ホドソン： 本日、私が最後に受けた質問は、堅牢なセキュリティ基盤とベストプラクティスの重要性に関するものでした。 国家が関与するサイバー脅威に関するこうしたセンセーショナルなニュースが相次いでいることで、CISOが優先順位をつけるのが難しくなっているのでしょうか？
ジェフ・フィッシャー： そうですね、ここが難点だと思います。 そうした「センセーショナルな」脅威は以前から存在していましたが、表立ってはあまり注目されておらず、おそらくは重要インフラに関連するものだったのかもしれません。 世界全体に見て、本当に同じことなのかどうかは定かではありません。 私は、基本をしっかりと身につけることに誰もが注力すべきだと心から信じています。また、ごく特定の組織における、ある特定の時点での出来事をこれほどまでに大げさに取り上げることは、教育的な意味合いを全く持たないと考えています。
人々はファイルレスマルウェアに注意を払うべきでしょうか？ 100パーセントです。 プロセスホローイングについて心配すべきでしょうか？ そう思います。 しかし、自社の資産がどこにあるのか把握しておらず、JavaやPDFリーダーのパッチ適用も行っていないのであれば、基本を怠っていることになります。 私は、NIST CSFこそが、セキュリティプログラムについて考える上で本当に採用すべき考え方であると強く信じています。 しかし、対応と復旧の側面が欠けている場合――多くの小規模な組織ではそうであるように――それは問題を引き起こすことになるでしょう。
クリス・ホドソン： まったく同感です。 多くの組織は、検知に重点を置きすぎてしまっていると思います。 しかし、是正や対応を行う手段がないまま検知を行うことは、CISOをかえってより厳しい状況に追い込むことになりかねません。 火災報知器が鳴り出しましたが、彼らにはその事態に対処する権限も能力もありません。
それは、タニウムが心から信じていることです。 セキュリティ対策は極めて重要ですが、マシンを隔離したり、パッチを適用したり、システムをオフラインにしたりする機能も同様に重要です。 組織は、ネットワーク内で何が起きているかをリアルタイムで把握する必要があります。特に、従業員のほぼ全員をリモート環境に移行した後はなおさらです。そして、脅威が企業全体にわたる情報漏洩に発展する前に、迅速かつ確実にそれに対応し、是正措置を講じられるようにしなければなりません。
ジェフさん、本日はお時間をいただき、ありがとうございました。 近日開催予定の「 7月23日 」パネルディスカッションでは、Knight Inkの元ハッカーであるアリッサ・ナイト氏や、Moor Insights & Strategyのサイバーセキュリティアナリストであるクリス・ワイルダー氏と共に、引き続き議論を深められることを楽しみにしております。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、で開催予定のイベント（）にて、Taniumの専門家にご相談ください。
