サイバーセキュリティの世界は、独特な難題に直面しています
一方で、サイバーセキュリティは私たちの日常生活において、ますます身近な存在になりつつあります。 大手企業や政府機関がサイバー攻撃を受けたというニュースを耳にしない週は、めったにありません。 今日では、情報漏洩が発生するかどうかではなく、いつ発生するかという問題となっています。 サイバーセキュリティについては、最初の大統領候補討論会において、初めて専用のコーナーが設けられました。
一方で、多くの企業は、こうした情報漏洩から自社を守るための基本的な対策を、依然として講じていません。 （ちなみに、もっとお金を使うことが「ステップ1」というわけではありません。）
私は、米国商工会議所（U.S. Chamber of Commerce）が主催する「 」第5回年次サイバーセキュリティ・サミット （新しいタブで開きます） において、このテーマについて――なぜこうした問題が根強く残っているのか、そして私たちに何ができるのかを含め――同業のリーダー数名と議論する機会を得ました。 先ほどのパネルディスカッションでも申し上げましたが、この問題を支出を増やすだけで解決することはできません。 企業は、 の基本的なサイバー衛生管理を改善することで、はるかに大きな効果を上げることができます。。
最近のブログ記事では、 によるサイバー衛生状態の評価（ ）がどのようなものか、また、ネットワーク上に誰が、何が存在しているかを常に把握することが、サイバー衛生状態の向上に不可欠である理由について解説いたしました。
一回限りの取り組みとしてのサイバーセキュリティ
多くの組織が、サイバーセキュリティを単発的な取り組みとして捉えていることがわかりました。 彼らの考え方はこうです。システムが侵害されると、対応チームが駆けつけ、それで問題は解決するというものです。 ところが、数か月後、外部の対応チームは再び同じ組織を訪れることになりました。というのも、その組織が対応チームが提案した改善策を講じていなかったからです。 企業は、常に、すべてのエンドポイントにわたって、自社のネットワーク上に誰が、何が存在しているかを把握し、ソフトウェアにパッチを適用して最新の状態に保つなど、セキュリティを継続的に向上させるための基本的な対策を講じる必要があります。
パネルディスカッションで話題に上ったクラウドとモノのインターネット（IoT）は、いずれも企業にとってセキュリティを向上させる機会となる一方で、これらの技術を誤った方法で導入すれば、セキュリティを悪化させる可能性もあります。 企業は主に経済的な理由からクラウドへの移行を進めていますが、その過程で、 セキュリティを念頭に置きながら、ビジネスプロセスやデータ保管方法を見直す絶好の機会を得ています。
同様に、インターネットに接続されたデバイスは、利便性を大幅に向上させることができますが、その一方で、ハッカーがネットワークに侵入するためのエンドポイントの数を飛躍的に増やしてしまうことにもなります。 これらのデバイスは、セキュリティ機能が組み込まれた状態で設計・製造される必要があります。そうすることで、稼働中にパッチを適用できるようになり、セキュリティシステムによって検出可能となるからです。 クラウドやインターネット接続デバイスへの移行を進めるにあたり、企業はベンダーにどのような質問をすべきかを把握し、セキュリティを犠牲にしていないという確信を持つ必要があります。 パネルディスカッションの中で、NISTとDHSが、IoTに関するベストプラクティスを確立するために民間セクターと連携していることが指摘されました。 指針が公表されましたら、その内容にご留意いただき、可能な限り、パブリックコメントの受付期間や作業部会を通じてご意見を述べてください。
しかし、技術だけでは、私たちの抱えるすべての問題を解決することはできません。 サイバーセキュリティの広範な向上を妨げる最大の要因の一つは、教育です。 サイバーセキュリティの専門家は、CEOや取締役会メンバーに対し、情報漏洩がもたらすリスクや、そのリスクを軽減するために講じることができる現実的な対策を、より深く理解できるよう支援する必要があります。 同時に、サイバーセキュリティ分野の人材を、量・質の両面で充実させる必要があります。 この組み合わせ――基本的なセキュリティ対策、新技術の適切な活用、そして従業員とCEO双方への教育――こそが、サイバーセキュリティを向上させるための3つの鍵となります。
著者について：クリス・ハレンベック氏は、Taniumのエンドポイント検出・対応（EDR）チームのディレクターを務めています。 彼は、米国コンピュータ緊急対応チーム（US-CERT）で約7年間公務員として勤務した後、タニウムに入社しました。 US-CERTでは、同機関のインシデント対応体制の設計と構築を担当するとともに、戦略的なリスク軽減ガイダンスへの重点を再構築しました。 政府や民間セクターの重要インフラの被害者との数え切れないほどのインシデント対応（IR）を通じて、彼はある共通の傾向を目の当たりにしてきました。それは、IT運用やITセキュリティの基礎が十分に重視されていないという点です。 US-CERTに入局する前は、クリス氏はRSA SecurityおよびEMCでセキュリティエンジニアとして勤務し、AOL/タイム・ワーナーでは同社のグローバルインシデント対応チームに所属していました。 彼はビンガムトン大学でUnixのシステム管理者としてキャリアをスタートさせました。 電子を追いかけていないときは、クリスは水深 50-100 フィートの熱帯の海にいることを何よりも好んでいます。
