ベライゾン・メディアの最高情報セキュリティ責任者であるショーン・ザディグ氏にとって、新型コロナウイルス感染症（COVID-19）の流行により、増加するハッカー攻撃から自社のネットワークを守ることはもちろん、主にリモート勤務となっている従業員に対し、「 」を装ったフィッシング詐欺について啓発を行うことなど、あらゆる種類の緊急のサイバーセキュリティ対策が求められています。
Yahoo、Engadget、TechCrunchなどのブランドを運営する同社は、各地に散らばっている従業員にセキュリティへの関心をより高めてもらうためには、通常のウェビナーやセキュリティ対策に関するFAQよりも、さらに説得力のある取り組みが必要であることに気づきました。 そこで、社内で「パラノイド」と呼ばれるセキュリティ担当チームは、最適なセキュリティ習慣をめぐる全社的な競争を仕掛けました。
このグループは、管理者が従業員のパスワード管理ソフトウェアの利用状況を把握し、その実績を他の管理者のグループと比較できるようにするためのダッシュボードを作成しました。 このコンテストへの関心は非常に高かったため、一部の経営幹部は、チームメンバーの利用率を高める手助けをするために警備スタッフを動員しました。 ザディグ氏によると、この予想外の注目は「思いがけなかった」とのことです。
多くの企業にとって、パンデミックへの対応は、予想外のサイバーセキュリティ上のメリットをもたらしました。 デジタルシステムのセキュリティ確保は、以前から重要視されてきましたが、多くの組織において、それは数ある優先事項の一つに過ぎず、必ずしも最優先事項とは限りません。 サイバーセキュリティチームは依然として、リソースの確保や経営陣の関心を引くことに奔走しており、IT部門や事業部門では、セキュリティを円滑かつ効率的な業務の妨げと見なすケースがしばしば見られます。
サイバーセキュリティへの全社的な緊急対応
現在、従業員がリモートワークを行い、 のハッカーによる攻撃が激化している状況下において、企業は組織的・文化的な観点から、セキュリティ問題により真剣に取り組んでいます。 経営幹部は、 のセキュリティ対策 が迅速に推進されるよう、より一層の注力を注いでおり、セキュリティチームは他部門と連携する新たな機会を見出しています。
新型コロナウイルス感染症（COVID）は、ITチームとセキュリティチームの間にある組織的な隔たりを埋める一助となったという点で、予想外のメリットももたらしました。 情報システムセキュリティ協会（ISSA）が実施した「 2020年7月 」に関する調査 によると、企業の3分の1が、パンデミックを契機として、セキュリティ担当幹部、IT部門、およびその他の経営幹部間の連携が大幅に改善されたと回答しました。
「企業は、セキュリティが全社的なリスク管理の問題であることを理解し始めています。」インターネット・セキュリティ・アライアンスの会長、ラリー・クリントン氏
「これまで人々は、サイバーセキュリティを技術的な問題、つまりシステム内の『ウィジェット』に何か不具合があるものだと捉えてきました」と、ワシントンD.C.に拠点を置く業界団体「 Internet Security Alliance」（）の会長、ラリー・クリントン氏は述べています。 「企業は、これがはるかに大きな問題であることを理解し始めています。」 「これは全社的なリスク管理の問題です。」
また、パンデミックをきっかけに、一部の企業では、CISOが経営トップとより密接に連携できるようになりました。 のケリ・パールソン氏（）――MITスローン経営大学院のサイバーセキュリティ・コンソーシアムのエグゼクティブ・ディレクター――によると、ある大手保険会社では、CISOの報告先が最高情報責任者（CIO）から最高執行責任者（COO）へと変更されたとのことです。 これにより、セキュリティ責任者は人事担当者とより緊密に連携し、従業員に対してサイバーセキュリティへの意識をより広く啓発することができました。 また、これにより、CISOは運用担当者と連携し、同社の多数のベンダーとのセキュリティ対策を強化することができました。
[関連記事：サプライチェーンのセキュリティ：理想的な姿とは]
急成長中のブラジルのデジタル銀行「 C6」では、CISOが最近、CEOに直接報告できるようになり、同社の最高技術責任者であるネルソン・ノヴァエス氏を経由して報告することはなくなりました。 ノヴァエス氏によると、この変更により、CISOはトップ経営者が、顔認証を利用して社内システムにアクセスするなど、模範となる行動をとっていることを確実にすることができたとのことです。
危機の中で遅れを取り戻す
Mountains of evidence over the years has shown the escalating cost of cybersecurity risks: Global corporate losses from cybercrime surpassed $1 trillion in 2020, according to a McAfee report. ここに皮肉な現実があります。セキュリティパッチを常に最新の状態に保つといった、単純な対策さえ講じれば、こうしたコストの大部分を大幅に削減できたはずなのです。 例えば、 2019年に情報漏洩被害を受けた 10 社のうち4社は、被害が発生する前にすでにその脆弱性を認識していたことが、ポネモン・インスティテュートによる「」調査（）で明らかになりました。また、 60％の企業は利用可能なパッチをすでに保有していたものの、時間内にインストールすることができませんでした。
パンデミックの影響により、こうした危険はさらに増大し、リモートワーカーが を通じて企業ネットワークに安全にアクセスできるようにすることなど、長らく放置されてきた課題 は、もはや先送りできなくなりました。
CrowdStrike社の脅威レポートによると、 2020年の上半期におけるハッカーによる企業ネットワークへの侵入試行件数は、 2019年通年の件数を上回りました。 また、脅威は以前よりもはるかに広範囲に及んでいます。 ハッカーたちは、従業員と のサプライチェーンパートナー の両方を標的とし、新型コロナウイルスに関連した巧妙なフィッシングメールやマルウェア攻撃を仕掛けています。 その例としては、米国疾病予防管理センター（CDC）から送られたと称する、居住地域における感染者数の偽のリストや、マルウェアが仕込まれたウェブサイトを通じて偽のマスク着用免除カードを販売するもの、また上司から「困っている人を助けてほしい」という呼びかけなどが挙げられます。
「安全保障は今や、はるかに多くの分野に及んでいます」とクリントン氏は述べています。 「御社の法務部門は、パートナーが脆弱な立場に置かれないよう、契約書に適切なセキュリティ手順を盛り込む必要があります。」 「御社の監査人は、自社の監査人と確認を取り合う必要があり、その繰り返しとなります。」
将来に向けた計画
また、パンデミックを契機として、 のようなゼロトラスト システムといった新しいセキュリティツールの導入が加速しました。こうしたシステムでは、通常、従業員が会社のシステムにアクセスする際、2種類の認証方法（パスワードとモバイル端末で生成される一意のコードなど）を使用することが求められます。 2020年10月 が発表したのフォレスター・レポート『 』によると、IT意思決定者の75％が、パンデミックを契機にゼロトラストセキュリティへの移行を加速または開始する計画であると回答し、 40％近くが 2020年にゼロトラストのパイロットプロジェクトを開始したと回答しました。
「もし1年前に、『パンデミックが発生し、会社が数週間以内に移行を余儀なくされた場合、ゼロトラストネットワークを導入できますか？』と私に尋ねられたとしたら、」 「『いいえ、それはあり得ない』と言っていたでしょう」と、北アイルランドのアルスター大学のサイバーセキュリティ教授、ケビン・カラン氏は述べています。
IT部門、事業部門、セキュリティ部門間の連携が深まったことで、セキュリティ分野には従来とは異なる分野の才能を持つ人材も参入するようになりました。 MITスローン校のパールソン氏によると、ある大手金融サービス企業は、技術的なバックグラウンドを持たないマーケティングの専門家を、新設された「サイバーセキュリティ・エバンジェリスト」という役職に採用するという異例の措置を講じました。 彼女の任務は、なぜ誰もがサイバーセキュリティに関心を持つべきなのかを、特にパンデミック下での在宅勤務中に、より効果的に伝える方法を見つけることです。
[関連記事：リモートワーカーをセキュリティ推進者に変える方法]
ある簡単な変更により、マーケティング責任者は、プレゼンテーションや動画、メールの中で「サイバーセキュリティ」という表現を「データ保護」に改め、それを単なる抽象的な概念ではなく、会社にとって明確な価値をもたらすものとして位置づけ直しました。
「このパンデミックは、サイバーセキュリティにおいて誰もが役割を果たし、自分にも何かできるという自信を持つことの必要性を浮き彫りにしました」とパールソン氏は述べています。 「大切なのは、人々の心と意識を変えることなのです。」
