ハイブリッドワークは、一時的な措置から主流の働き方へと急速に変化してきました。 のマッキンゼーによる調査 （新しいタブで開きます）によると、現在、アメリカ人の半数以上（58％）が、週に少なくとも1日は在宅勤務ができると回答しています。 しかし、課題もあります。 高度に分散化されたネットワークやクラウド環境において、デバイスの状況を把握し続けることはより困難です。 多くのシステムでは、パッチが適用されていないか、設定が不適切なまま放置されており、その結果、攻撃対象領域が拡大しています。
先日、CIO誌のバーバラ・コール氏と対談し、CIOが直面している課題や、サイバー・ハイジーンがなぜ基礎的な取り組みであるのかについてお話ししました。
暗闇の中で
CIOの方々にとっては、公共部門であれ民間部門であれ、ネットワークを管理しているかどうかに関わらず、厳しい時期となっています。 今日では、リモートワーカーは、どこからでも、どのデバイスからでもログインしたいと思うかもしれません。 そのユーザーが、自称通りの人物であるかどうか、どうやって確認すればよいのでしょうか？ あるいは、適切にパッチが適用され、設定されたエンドポイントを使用している場合はどうでしょうか？ このようにIT環境が拡大するにつれ、これらのエンドポイントを完全に把握することが、これまで以上に重要になってきています。 また、方針や手続きがそれに応じて変化していく中で、コーポレート・ガバナンスをしっかりと整えておくことが極めて重要です。
これ以上の重大な局面はあり得ません。 ランサムウェアやデータ漏洩、そして金融リスクや評判リスクの津波が、ITリーダーたちを飲み込もうとしています。 しかし、多くの場合、組織は、支援に必要なサイバーセキュリティの人材を見つけるのに苦労しています。 この課題は、連携が取れておらず、部門ごとに孤立したツールの存在によってさらに深刻化しており、可視性の欠如を悪化させ、サイバー衛生管理を単なる夢物語に過ぎないものにしてしまっています。 ツールセットは標準化・統合されなければなりません。また、リアルタイムで実用的なデータを通じて、こうした可視性のギャップを明らかにするように設計される必要があります。 それ以下の対応では、IT運用、セキュリティ、およびインシデント対応の各チームは、状況を把握できなくなってしまいます。
実践に移す
公共部門のIT部門の最高幹部として30年間勤務してきた中で、私はこれらの課題の解決に直接取り組んできました。 カリフォルニア州サンホアキン郡のCIOとして、私は組織全体にわたる3か年変革計画を策定いたしました。 まずは資産の可視化と管理から始まり、継続的な脆弱性スキャンと是正措置、およびセキュリティインシデント管理に重点を置き、リスクを継続的に管理する取り組みを進めてまいりました。 また、経営幹部間のコミュニケーションを円滑にし、連携を強化するためには、共通のセキュリティ体制を構築することが重要でした。
この標準化の一環として、ITおよびセキュリティツールを 20 種類から約6種類に統合しました。 その結果、可視性と管理能力が向上したことで、サイバーリスク管理の取り組みが強化されただけでなく、不要なソフトウェアライセンスを特定し、それらを廃止することでコスト削減も実現しました。
すべてはサイバー衛生から始まります
では、CIOはまずどこから手をつければよいのでしょうか？ 優れたコーポレート・ガバナンスは、まさに鍵となります。効果的なサイバーセキュリティの意思決定を行うための枠組みを整備することが重要です。 組織全体のセキュリティを一元的に管理できる「シングル・ペイン・オブ・グラス」ソリューションを導入すれば、この作業ははるかに容易になります。さらに、エンドポイントの状況を包括的に把握するためのリアルタイム監視や、何か異常があった際に是正措置を講じるための制御機能も備わっています。
こうしたインフラが整ったことで、CIOの皆様はついに、 サイバー衛生管理の強化に着手できるようになりました。 (新しいタブで開きます)。具体的には、以下の点に重点を置いて取り組むことになります：
- セキュリティ意識の向上とソフトウェアの再利用に向けた資産の可視化
- 攻撃対象領域を最小限に抑えるための脆弱性の特定
- 設定の一貫性を確保し、異常やサイバーリスクを低減する
- すべてのプラットフォームにわたってパッチの適用効率を高め、悪意のある攻撃者が悪用できる隙を残さないようにします
- 認証済みのユーザーのみがアクセスできるよう、ライセンスの利用状況を管理する
- インシデントを迅速に発見・修正し、リスクを軽減する
- 保険の要件を満たすためのリスクの継続的な測定と管理
サイバー衛生管理は、効果的なセキュリティとシステム管理の基盤となるものです。 これを指針とすることで、CIOはリスクの低い組織へと向かう道筋を立てることができます。
その基盤を築く方法については、弊社の電子書籍『 ：サイバー衛生管理の究極ガイド』（ ）（新しいタブで開きます） をご覧ください。
