2020での激動の経験から私が学んだことの一つであり、また民間および政府のセキュリティ分野でのキャリアを通じて一貫して実感してきたのは、危機的状況においては迅速かつ的確に行動する必要があるということです。
その好例として、『 2020年12月 』誌によると、セキュリティ企業のFireEyeは、サードパーティ製のソフトウェアのアップデートを介してハッカーが自社のネットワークに侵入したことを把握すると、直ちに業界全体に警告を発しました。
ロシアの諜報機関とされる が、米国に拠点を置くSolarWinds社が開発したネットワーク管理ソフトウェアに、 という悪意のあるコードを埋め込むことで実行したとされるこのサイバー攻撃により、最終的に300 社以上と9つの連邦機関が被害を受けました。 これは、史上最悪のサイバースパイ事件となりました。
FireEyeが世界に警告を発するという決断を下していなければ、国家を背後に持つスパイたちは、今もなお政府機関のネットワークをくまなく探り回り、機密情報を次々と収集し続けていたかもしれません。
[関連記事：バイデン大統領の大統領令：サイバーセキュリティ対策の強化。]
当然のことながら、バイデン政権は現在、こうした公的な警鐘を鳴らす取り組みを法的に定めていこうとしています。 大統領は、 に基づく大統領令 を発令する見通しです。これにより、政府と取引を行うソフトウェアベンダーは、情報漏洩を検知した場合、政府に報告することが義務付けられます。
事後対応型のゲームプランは、セキュリティ対策マニュアルにおいて極めて重要な要素です。 しかし、政府がこの業界の積極的な姿勢を強化する好機を逃しているのではないか、とつい考えてしまいます。
「政府は、業界の積極的な姿勢を強化する好機を逃しているのではないかと思わずにはいられません。」
私が日々お話を伺っているCISOやCIOの方々は、ますます 巧妙化するフィッシング詐欺 やランサムウェア攻撃を食い止め、デジタルトランスフォーメーション を順調に進め、リモートワーカーの業務を円滑に支援し、そのセキュリティを確保することに注力しています。 自社のネットワークでセキュリティ侵害が発生した場合や、サードパーティのソフトウェアのサプライチェーン攻撃によって脆弱性を突かれた場合には、その事実を必ず把握しておく必要があります。
しかし、彼らはまた、こうした受け身な姿勢にはもううんざりだと私に話しています。 そのほとんど、あるいはすべてが、より積極的な姿勢へと踏み出そうとしています。 彼らは劣勢から脱却し、優位に立ちたいと考えています。
政府は支援することができます。 連邦政府の「 」サイバーセキュリティ成熟度モデル認証（ 、CMMC）プログラムでは、すでに防衛関連企業が国防総省の各機関と取引を行うにあたり、一定の基準を満たし、第三者機関による審査を受けることが義務付けられています。 他の連邦機関もそのモデルを採用すべきであり、そうすれば、予防的なセキュリティ対策のより広範な導入が促されることになるでしょう。
もちろん、CIOやCISOは、政府が対策を義務付けるのを待つ必要はありません。 企業は今日からこれらを導入し、3つの重要な技術的課題、すなわち、すべてのネットワーク資産の可視化、脆弱性へのパッチ適用、およびインシデント対応の迅速化に取り組むことで、リーダーシップを発揮することができます。
可視性を高める
CISOの方々に、より積極的なセキュリティ戦略の構築を妨げている障害を1つ挙げてもらうと、彼らは例外なく、自社の資産に関する可視性の欠如（ ）を挙げます。 長年にわたり解決されずにいた問題である、ネットワークやエンドポイント全体を把握できないという状況は、 2020において深刻化しました。 従業員がオフィスから自宅へ退避し、自分の端末を持ち出し、セキュリティ対策が施されていないWi-Fi経由で会社のネットワークにログインするにつれて、攻撃対象領域が拡大しました。 ITチームは、依然としてこれらすべての資産を特定し、台帳に記録することに苦労しています。
先手を打つための希望は、CIOやCISOが、組織のネットワーク上のすべての資産について、包括的かつ正確でリアルタイムな理解を持っているかどうかにかかっています。 これには、ノートパソコン、タブレット、PCから、仮想マシンやクラウド上のアプリケーションに至るまで、あらゆるエンドポイントに加え、ソフトウェアも含まれます。
常にパッチを適用するようにしましょう
電力会社、医療機関、製造業、金融機関などの重要事業者は、既知の脆弱性に対するパッチ適用を先延ばしにしてしまうことがよくあります。 その理由は、ダウンタイムによって業務が中断され、多額のコストがかかるからです。 パッチ適用を嫌がるその他の組織は、次々と押し寄せる脆弱性の猛攻に対応しきれないほど限られた予算に縛られているに過ぎません。 そこで、彼らは優先度の高いバグを修正し、許容できるリスク水準を受け入れることになります。
「数年前の脆弱性はハッカーの標的になっていないだろう」と見込んで、リスクを冒そうと考えている方は、エクイファックスの事例を見れば十分でしょう。 In 2017年9月, after the company had failed to patch a two-month-old bug in a web application, it revealed that hackers had breached its network, exposing sensitive data for as many as 147 million U.S. consumers. 完全に防げたはずのことです。
このような多額の損失を招く情報漏洩を防ぐ最善の方法は、 による予防的なパッチ管理プログラム を確立することです。つまり、オペレーティングシステムのソフトウェアだけでなく、サードパーティ製アプリケーションも含め、ソフトウェアを定期的な間隔で更新することです。 これには、ウェブブラウザやプラグイン、および従業員がプロジェクトを完了させるためにインストールする可能性のある単発のソフトウェアなどが含まれます。 脆弱性は侵入経路となります。
迅速に対応してください
ITのリーダーたちは、インシデント対応が予防的な措置であることを忘れがちです。 侵害が発生する前に対策を講じ、リアルタイムのアラートによる脅威の検知を自動化し、誤検知によるノイズを排除することで、組織は脅威を特定、調査、封じ込め、そして是正することができます。 インシデントを早期に特定し、対応すればするほど、その組織への影響は小さくなる傾向があります。
「ITリーダーは、インシデント対応が予防的な措置であることを忘れがちです。」
多くのセキュリティ専門家は、インシデントに迅速に対応するためのリソースや時間を確保できていません。 今日、多忙を極めるCISOたちは、分散型環境における幅広いインシデントへの対応を任されており、パンデミックの余波により、脆弱な資産がさらに増加している状況下で業務に当たっています。
従来のセキュリティツールでは役に立ちません。 それらはしばしば孤立しており、その調査能力は通常、不完全なデータや古いデータに依存しています。 しかし、最新のインシデント対応ソリューションでは、ネットワークの状況をリアルタイムで把握できるようになっています。 これにより、セキュリティチームは、数千台あるエンドポイントのうち1台のみを対象とする「外科的アプローチ」から、ネットワーク環境全体に適用される「大掛かりなアプローチ」まで、さまざまなリモート修復オプションの中から選択できるようになります。
「人」と「プロセス」を忘れないでください
後ろ足から前足へ体重を移すことは、単なるテクニックの問題だけではありません。 御社の取り組みにおいて、人材とプロセスは極めて重要です。 私が知る中で最も先見の明のあるCISOたちは、法務、コンプライアンス、IT、人事、事業部門など、組織全体のステークホルダーを巻き込むために時間を割いています。 同社は、今後発令される大統領令の要件を満たす、あるいはそれを先取りし、さらには将来の要件にも対応できる内部報告体制の構築を支援してくれるパートナーを求めています。
私が一緒に仕事をしているCISOたちは、説明責任を確実に果たすために、適切なリーダーシップ体制を整えています。 彼らは、連邦政府との業務においてコンプライアンスを監督する可能性のある機関と連携するため、連絡担当者を任命します。 そして、彼らはSolarWindsへのサイバー攻撃から得られた多くの教訓を痛感しています。
彼らは、ある企業で発生したセキュリティ上の不手際が、サプライチェーン上の他の企業の防御体制にも穴を開けてしまう可能性があることを認識しています。 彼らは、準備を整えるためには、守勢から攻勢に転じなければならないことを理解しています。
