もしデジタルフォレストにITツールが導入されても、誰もそれを見たり使ったりしないのであれば、それらは本当に存在していると言えるのでしょうか？
ほとんどの最高情報セキュリティ責任者（CISO）は、この禅のような質問に答えるべきではないとよく分かっています。 ソフトウェアが検出されたかどうかに関わらず、正規・非正規を問わずツールが野放しに増え続けることは、ハッカーにとって現実的かつ壊滅的な被害をもたらす可能性のあるバックドアを開くことになりかねません。
ブラッドリー・シャウフェンビュール氏は、このことをよく理解しています。 中小企業向け給与計算サービスを提供するPaychexのCISOは、「ツールの乱立」がセキュリティチームにとって大きな懸念事項となっていると述べています。 彼のチームは、不正なソフトウェアによる新たな脆弱性を毎日発見しています。 そのソフトウェアが定期的に更新されない場合、攻撃対象領域は指数関数的に拡大します。
「ツールが承認され、資産管理リストに登録されていない限り、セキュリティチームはその存在に気づかないことがよくあります」とシャウフェンビュール氏は述べています。 「そして、セキュリティチームは、その存在を知らないものについては、セキュリティを確保することはできません。」
広範囲にわたる問題
多くの非承認ツールは、IT部門の知らぬ間に企業全体に無秩序にインストールされ、そのまま放置されたまま――忘れ去られ、パッチも適用されず、脆弱な状態――となり、ハッカーがそれらを発見して企業のネットワークへの侵入に利用するまで、その状態が続きます。
Taniumが世界 2020 カ国を対象に実施した調査によると、IT意思決定者の91％が、IT資産に対する可視性や管理が不十分であることを認めています。 実際、回答者の3分の1近くが、シャドーITプロジェクトや、承認済み・未承認を問わずツールが氾濫していることが、大きな問題を引き起こしていると指摘しました。
今日の分散型労働体制は、事態をさらに悪化させてしまいました。 ネットワークセキュリティ企業のNetMotionが実施した調査によると、リモートワーカーの5人に3人が、公式のITポリシーの範囲外で不正なツール（ ）を使用していることが明らかになりました。 こうした審査を受けていないソフトウェアが氾濫している状況は、パンデミック後の職場を「通常」に近い状態に戻そうとしている企業にとって、頭痛の種となっています。 この問題は、長年にわたりグローバルなIT環境の規模と複雑さが増大し、ハイブリッド環境やマルチクラウド環境が一般的になったことで、さらに深刻化しています。
セキュリティツールは、かえって不安を招くことがあります
こうした複雑さと不正なソフトウェアがもたらす大きな皮肉は、組織のセキュリティを守るために設計されたツールそのものが、最大のサイバーセキュリティ上の脅威となり得るという点にあります。これは、最近の SolarWindsへのハッキング事件（ ）が浮き彫りにした通りです。
ある調査によると、ITの意思決定者の 55％が、セキュリティと運用分野で 20 以上のツールを使用していると回答し、70％がこれらのツールには完全な統合が欠けていると述べています。 一部のITセキュリティ専門家は、複数のセキュリティツールを導入することで、チームがより広範囲を柔軟にカバーできると考えているかもしれませんが、 のIBMによる調査（ ）によると、実際にはその逆であることが示唆されています。 こうした疎結合な個別ソリューションは、コストと複雑さを増大させ、結果として組織がセキュリティ侵害を検知し、対応する能力を阻害することになります。
しかし、Taniumのプロダクトマネジメント担当シニアディレクターであるジョシュ・スコフィールド氏は、セキュリティツールの乱立に伴う問題は、必ずしもIT部門に起因するものではないと述べています。 彼は、こうしたツールのほとんどは、従業員が自分のマシンを自分でメンテナンスするために、一度きりのインストールを行うものだと主張しています。 フリーウェア 同氏によると、企業にそれらのアプリケーションの使用料を支払うことを義務付けるライセンスが発効し、プログラムの使用が妨げられると、問題が生じるそうです。 スコフィールド氏によると、実際にそれらを削除するために手間をかけるユーザーはほとんどおらず、それがサイバーセキュリティ上の脆弱性につながる可能性があるとのことです。
「もしそのツールが真に有用であるならば、公認されるために審査プロセスを経るよう強く求めましょう。」ペイチェックスのCISO、ブラッドリー・シャウフェンビュール氏
サイバーセキュリティのコンサルタントであり、この分野の大学講師でもあるクリス・ヒューズ氏は、あらゆるサイバーセキュリティツールには、その導入、インストール、管理の方法を知っている担当者が不可欠であると述べています。 IT部門にツールの乱立を監視するサポート担当者がいる場合、攻撃に対する耐性が高くなる傾向があります。 しかし、 の深刻なセキュリティ人材不足のため、現時点でこれを適切に実行できるセキュリティチームはほとんどありません。 したがって、複数のサイバーセキュリティツールに投資することは、セキュリティの観点からはあまり意味がないとヒューズ氏は述べています。
「数十ものツールを導入しているセキュリティチームの多くは、それらのツールが実際にどれほど効果的に機能しているのか、よく分かっていないと認めています」と彼は言います。 「彼らはこれらのツールに多額の費用をかけていますが、それに見合う価値が得られているかどうかは分かりません。」 「その資金は、チームの強化など、他の分野に振り向けることもできたはずなのです。」
OktaおよびBMC Softwareの元CIOであるマーク・セトル氏は、この問題について別の側面を見出しています。 原則として、企業は、各ツールが互いに補完し合う機能を持っているため、複数のツールに投資します。そして、それらを組み合わせることで生まれるメリットは、個々のツールのメリットの合計を上回るのです。 「それが理論上の話です」と、最近『 IT管理』という本を執筆したセトル氏は述べています。 「実際には、ツールによっては機能が重複していたり、管理が難しかったり、根本的なセキュリティ上の脆弱性を抱えている場合があります。」
ツールの乱立を抑える方法
理論上、ツールの乱立に対処しようとする組織は、複数の機能を処理するために、承認済みの単一のプラットフォームを導入するだけで済むでしょう。 これにより、業務とセキュリティが効率化されると同時に、シャドーITソリューションの必要性をほぼなくすことができます。 しかし、専門家たちは、ITの衛生管理とセキュリティを直ちに改善するための、いくつかの基本的な対策を推奨しています：
資産の端末とソフトウェアを棚卸しします。 Paychex社のシャウフェンビュール氏のチームは、ツールへの支出を合理化し、ベンダーを統合するという、より大規模な取り組みの一環として、この措置を講じました。 一部の組織では、これを実現するために、すでにワークフローや包括的なエンドポイント管理プラットフォームを導入している場合があります。 そうしていない組織は、デジタルツールやアプリケーションの可視性と管理性を高めるために、こうした解決策を検討すべきです。
[関連記事：政府機関のCIOがより強固な防御体制を築くには]
また、スコフィールド氏は、このプロセスの一環として、異常の有無を確認することも推奨しています。ネットワーク上にインストールされているすべてのものを把握するだけでなく、より限定的な形でインストールされていると思われるもの、そしてその理由についても確認すべきだとしています。
「 50,000 台のデバイスにツールがインストールされていることを知るのも素晴らしいことですが、その考え方を逆転させて、たった5台のマシンにしかインストールされていない特定のツールがある状況を見つけ出せるのは、さらに興味深いことです」とスコフィールド氏は述べています。 「それはまさに注意深く見極めるべき点です。なぜなら、それが重大な攻撃経路となり得るからです。」
アクセスを充実させます。 デバイスがネットワークに登録されていない場合、そのネットワーク上に何が存在しているかを正確に把握することは、極めて困難です。 シャウフェンビュール氏は、ツールが継続的に強化・更新されるよう、ユーザーにツールの登録のための猶予期間を設けることを推奨しています。もしそれが効果がない場合は、社内のシステムから承認されていないツールを積極的にブロックまたは削除すべきだと述べています。 「ツールが真に有用であるならば、公認されるために審査プロセスを経るよう強く求めるべきです」と、シャウフェンビュール氏は提案しています。
彼は、これが万人に通用するアプローチではないと注意を促しています。 特にソフトウェア開発者にとっては、業務を行うために承認されていないツールをインストールする際、より柔軟な対応が必要となる場合があります。 「私が犯した最大の過ちの一つは、開発者のワークステーションのセキュリティ設定を厳しすぎたことです」と彼は言います。「それは生産性を低下させ、イノベーションを阻害し、セキュリティチームに対する不満を招く恐れがあります。」 開発者にとっては、より管理された方法でツールをインストールできるエンドポイント管理ソリューションを利用するのが望ましいと、彼は述べています。
ツールの支出を精査してください。 組織がツールの使い方を把握したら、次はそれらへの投資を評価する必要があります。 技術者は、最新かつ最高のツールを購入することに夢中になりすぎて、すでに投資済みの他のツールを見落としてしまうことがあります。 「私の知るCISOの中には、新しい製品やサービスの購入を承認する前に、チームに対して『手放しても構わない既存のツールを特定する』よう課題を与える人もいるのです」と、セトル氏は述べています。 「それは、都市の無秩序な拡大を抑える上で、非常に効果的な方法となり得ます。」
パッチ。 パッチ。 パッチ。 IT部門がデジタルフォレスト内のすべての木を把握できれば、それらを更新し、セキュリティを確保することができるようになります。 IT部門は、ビジネスに最も大きな影響を及ぼす可能性の高い脆弱性を未然に防ぐ、 のソフトウェアパッチ（ ）を優先的に適用すべきです。 使用されていない、あるいは古いソフトウェアが動作しているデスクトップパソコン、ノートパソコン、プリンターには、特に注意を払うことが重要です。 HP Bromiumの最近の報告書によると、Microsoft Officeの に存在する、パッチが適用されていない古いメモリ破損の脆弱性（ ）が、同社のサイバーセキュリティ機能「HP Sure Click」によって検知されたエクスプロイトのほぼ75％を占めていたことが判明しました。
パスワードの枠を超えて。 すべてのCISOは、パスワードだけではネットワークへのアクセスを管理する上で効果的な手段ではないことを承知しています。 したがって、ユーザーが強力で長く、かつ一意な認証情報を作成できるだけでなく、それを記憶できるよう支援する仕組みを導入することが重要です。 OneLoginなどのIDおよびアクセス管理ツールは、この点で役立ちます。 セキュリティの専門家によると、組織はフィッシングやブルートフォース攻撃のリスクを軽減するため、 の多要素認証（MFA） も導入すべきだとのことです。 これは、新型コロナウイルスのパンデミック中に攻撃を受けたリモートデスクトッププロトコル（RDP）のエンドポイントの数が増加していることから、特に重要です。
