2022年には、サイバー脅威や職場復帰に伴う混乱がさらに激化すると見込まれる中、万全の準備を整えている組織こそが、その恩恵を享受することになるでしょう。
その代表的な例が、学生ローンで最もよく知られている融資機関「サリー・メイ」です。 サイバーセキュリティ運用担当シニアディレクターのスティーブ・ローディン氏によると、10月に新型コロナウイルスの感染が急増したため、同組織のオフィス復帰目標日が延期され、オフィス復帰計画は混乱をきたしたとのことです。 幸いなことに、同社は 2014年に旧ローンサービス事業（Navient）を分社化した後、数年前に分散型アーキテクチャへと移行していました。 After transitioning its data center to managed services, Sallie Mae moved its server infrastructure to Amazon Web Services in 2018.
スムーズな移行を進めるため、サリー・メイは規制当局に対し、クラウドに伴う潜在的なセキュリティリスクに対処していることを保証しなければならなかったと、ロディン氏は述べています。 「私たちは早い段階から、今でいう『ゼロトラスト』と呼ばれるような取り組みを行ってきました」と彼は述べ、その一環として、ユーザーアクセス向けのソフトウェア定義境界（SDP）の構築や、ネットワーク管理プロトコルシステムのクラウド移行などを挙げています。
その結果、サリー・メイは 2020において、比較的スムーズなリモートワークへの移行を実現しました。
「コールセンターの面では少し課題がありました。そこでは、コールセンターの従業員が機密データに関してどのような行動をとれるかについて、物理的な立ち入り制限を設けていました」とロディン氏は述べています。
例えば、セキュリティチームは、 、 、、、security、、 、software といったエンドポイントを活用し、コールセンターの従業員のコンピュータから印刷可能な情報を制限しました。 それは、比較的単純ながらも効果的な防衛戦略でした。
ロディン氏によると、Sallie Maeは、ID管理とネットワークのマイクロセグメンテーションに注力してきたおかげで、脅威を撃退してきた確かな実績があるとのことです。 時折、悪意のあるリンクやメールの添付ファイルが会社のフィルタをすり抜けてしまうことがあり、その対応として、当該ユーザーのコンピュータを再イメージ化しなければなりません。 「そのようなことは年に数件ありますが、それほど多くはありません」と彼は言います。 昨年、記録上確認されたアカウントの不正アクセスは1件のみでした。
「多くの企業は、事業を継続するためだけに急いでクラウドへ移行せざるを得ませんでした。そして今なお、多くの脆弱性という代償を払っています。」ブリリアンセ・グループの創業者兼CEO、シャファイエット・イマム氏
残念ながら、パンデミック中に多くの組織が経験した定期的な緊急訓練という点では、サリー・メイは例外と言えます。
「多くの企業は、事業を継続するためだけに急いでクラウドへの移行を余儀なくされました。しかし、経験不足や時間の不足、あるいはクラウドの構築方法について十分な検討がなされなかったため、今もなお多くの脆弱性という代償を払わされているのです」と、システムアーキテクチャとサイバーセキュリティを専門とするコンサルティング会社、BrillianSe Groupの創業者兼CEOであるシャファイエット・イマム氏は述べています。
2021年には、各組織には、より体系的なアプローチの必要性を検討する時間がありました。これは、 2022年に実行しなければならないことだと、彼は述べています。
ランサムウェア攻撃の防御
Ask cybersecurity leaders about 2021, and the ongoing hangover from the work-at-home explosion is inevitably part of the conversation. 2022年になっても、その勢いは衰える気配がありません。 オフィス復帰計画の度重なる延期により、多くの経営幹部は、パンデミック以前の職場環境はもはや過去のものだと考えるようになりました。
「ランサムウェア攻撃によって祖父の会社を失う恐れがあるとして、電話口で大人の男性が泣き崩れるのを何度も目にしてきました。」ブルー・チーム・アルファのCISO、ジェフリー・ウィート氏
昨年は、ハッキングの悪用事例にとっても記録的な年となりました。 ランサムウェアの脅威は、 無視できないほど深刻化しました。、 ガソリン供給業者、製造業者、病院、学校、その他数百の組織が深刻な影響を受けました。
今年、多くのサイバーセキュリティの専門家は将来を見据え、リモートワークやハイブリッドワークの普及に伴い、避けられない ランサムウェア攻撃 から、境界のない環境を堅固に守るため、「一時的な」対策を長期的な計画へと転換しています。
「犯人たちはミスを犯したと思います」と、ランサムウェアへの対応および復旧サービスを提供するコンサルティング会社「ブルー・チーム・アルファ」のCISO、ジェフリー・ウィート氏は述べています。 「彼らがインフラを攻撃したことは、まさに戦争行為のようなものです。」 「ランサムウェア攻撃によって、おじいさんの会社を失う恐れがあるという理由で、大人の男性が電話口で泣いてしまったことがありました。」
多くの場合、こうしたリーダーたちは現場主義で、新しいプレス機に数百万ドルを費やすことには抵抗がないものの、「目に見えず、触れることもできないもの」に数千ドルを費やす必要性を理解するのに苦労することが多い、と彼は述べています。
公共部門の組織も、納税者からサイバーセキュリティのための資金を確保するという点で、同様の課題に直面しています。 When the Broward County Public Schools in Florida refused a $40 million ransomware demand after being hacked in 2021年3月, the attackers published nearly 26,000 stolen files, many of them sensitive financial and accounting records. Fortunately, the school district could use uncorrupted backups to restore systems to working order, says Vincent Vinueza, the acting CIO for the school district who was in charge of infrastructure at the time of the attack. 「もしそれらのバックアップおよび復旧対策がなければ、この攻撃はさらに深刻なものとなり、教育の提供に支障をきたすような大規模なサービス停止を引き起こしていた可能性があります。」
この情報漏洩事件をきっかけに、学区はエンドポイントセキュリティの強化や、デジタルセキュリティの専門家をさらに採用することに投資することを決めたと、ヴィヌエサ氏は述べています。 しかし、新たな求人が掲載されたとしても、現在の人材不足が深刻な状況下では、ブロワード郡がサイバーセキュリティの研修を受けた人材の獲得競争に勝ち抜くのは難しいでしょう。
[関連記事：サイバーセキュリティ分野におけるジェンダー格差の解消が、私たちの安全を守ります]
一方、各学校で勤務する の技術者 の研修は、依然として重要であるとヴィヌエサ氏は述べています。 「何かおかしいと思ったら、ぜひ私たちに教えてほしいのです。」 最終的には、人工知能が、ハッキングの兆候となり得る異常をはるかに的確に検知できるようになることを、彼は期待しています。 彼が認めているように、「人間は反応がはるかに遅いのです」。
2022 およびそれ以降の計画
たった一つのツールだけで事態が解決するとは誰も期待していませんが、リーダーたちがその実証を期待している技術分野があるとすれば、それはAIでしょう。
「何かおかしいと思ったら、ぜひ私たちに教えてほしいのです。」ブロワード郡公立学校、CIO代行のヴィンセント・ヴィヌエザ氏
「私たちにはデータの問題ではなく、データ過多の問題があるのです」と、ブルー・チーム・アルファのウィート氏は述べています。 「人間が理解できる範囲をはるかに超えるほどの情報があるため、誰もが人工知能にもっと頼らざるを得なくなるでしょう。」
AI技術はすでにセキュリティチームを支援していますが、分析すべきデータは常に増え続けています。 Sallie Mae now generates
2.5 billion log entries a day from Amazon Web Services and endpoint monitoring systems, which feed into a data lake for further analysis. 「では、問題はこうです。それをどうするか、ということです。」 ロディンが尋ねます。 AI技術は、懸念される可能性のある投稿を特定するのに役立ちますが、フラグが立てられた投稿については、外部委託チームの協力を得て、依然として手作業による確認が必要になると、同氏は述べています。
ロディン氏によると、サリー・メイ社は、セキュリティ検証ソフトウェアを活用して、システムが正しく動作しており、収集すべきデータを確実に収集していることを実証することに成功しているとのことです。 次のステップとして、彼はセキュリティ対応の優先順位付けの改善に注力したいと考えています。 例えば、同氏によると、 のパッチ適用を担当するチーム（ ）は、新たな脆弱性に関するアラートに埋もれており、どの脆弱性を優先して対処すべきかを判断するための、より優れた分析ツールを必要としているとのことです。 とはいえ、言うは易く行うは難しです。というのも、この問題は、システムを適切に把握し、それらが重要なビジネスプロセスとどのように関連しているかを把握することと密接に関連しているからです。
[関連記事：バイデン政権、各機関に対し数百件のサイバー脆弱性の修正を指示]
「費用がかかりますし、適切なデータを理解し、提供できる人材も必要です」とロディン氏は述べています。 「そのシステムには機密データが含まれていますか？ それらはインターネット上にありますか？ 「チームから、そのような重要度評価を引き出すのは難しいものです。」 そうして初めて、何をすぐに修正すべきか、何を後回しにしてもよいかが分かるのだ、と彼は言います。
これまで見てきたように、そうした可視化とリスク評価の必要性は差し迫っています。 2022年になっても、サイバーセキュリティの課題は解消されることはありません。 実際、それらはさらに大規模で複雑なものになっていくでしょう。 しかし、適切な対応をとる組織は、現実から目を背ける組織に比べ、はるかに良い成果を上げられる立場に立つことになるでしょう。
