第1回：サイバーセキュリティ担当者に求められている3つの課題
今回は「第1回：サイバーセキュリティ担当者に求められている3つの課題」についてご紹介します。
関連ワード （セキュリティ等） についても参考にしながら、ぜひ本記事について議論していってくださいね。
本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。
コロナ禍の影響によりテレワークなど柔軟な労働環境の導入が進むにつれ、企業の情報資産やIT環境が増大しています。すなわち、サイバー攻撃を受ける可能性がある領域、「アタックサーフェス」も拡大しています。例えば、世界各地で1分間に立ち上げられるホストの数は11万7289、ドメインの数は613、発覚する新しい脅威の数は375という報告があります。毎週350件の新しい脆弱性が報告されており、クラウド上の設定ミスにおいては1日当たり平均2億3000万件が発見されています。過去2年間で、世界全体の50％の企業が「Active Directory」システムを狙う攻撃に見舞われています。DX時代のアタックサーフェスは非常に複雑になってきており、サイバーセキュリティ担当者の悩みも増えるばかりです。
セキュリティ部門は、このような状況への対応に追われつつも、数多くの脆弱性、ウェブアプリ、認証システム、クラウド資産を管理するために新しいソリューションを多数導入しなければならないという課題を抱えています。しかも、導入後には、さまざまなテクノロジーがバラバラに生成するデータを処理し、効果的に分析して、適切な情報を提供し、どのエクスポージャー（脆弱なポイント）が企業にとって最大のサイバーリスクであるかを判断するという、さらに大きな課題が待ち受けています。
サイバー犯罪者が企業のサイバー防御態勢を推し量る時、個々のデータで評価することは考えられません。彼らはアタックサーフェスを見渡して、ネットワークに素早く侵入し、IT環境の中枢にまでアクセスできる脆弱性、設定ミス、特権アクセスの組み合わせを探します。
そこで本稿は、サイバーセキュリティ担当者に求められている3つの課題を解説します。
複雑なネットワークやクラウドコンピューティングといった新しいITサービスを導入している大企業では、特にセキュリティの業務において高度な専門性を要します。多くの場合、脆弱性の検出、設定ミスの確認、クラウドや認証権限のセキュリティなどの業務は、別々の部署に割り当てられます。各部署は、用途別に異なるツールを使う場合が多く、それぞれ異なるデータやレポートが生成され、結果的にサイロ構造が形成されてしまいます。
また、事後対応に関与する部署も別に存在します。SOC（セキュリティオペレーションセンター）アナリスト、脅威分析者、インシデント対応担当などです。このような部署は、攻撃者の観点から脅威を理解することができても、企業の安全維持に必要な攻撃前のシナリオの分析や対応には、着目しないことがほとんどです。彼らは、たいていの場合において、自身に関連する範囲で業務を遂行しており、それぞれのツールセットを使い、膨大な量と種類のデータとレポートを蓄積しています。
通常、セキュリティツールの数とセキュリティの強度は比例しません。Ponemon Instituteのサイバーレジリエント（サイバーの観点から侵害・被害などに対して回復力を備えている状態）な企業に関する、ある2020年の報告書によれば、企業当たり平均45個のセキュリティソリューションやテクノロジーが導入されており、過剰な数のツールの広範囲における使用は、実効性のある脅威の検知と防御に対して逆効果です。この報告書では、ツールを50個以上導入している企業は、サイバー攻撃の検出能力が8％低い結果になっています。
企業構造の観点では、正当な理由によりセキュリティ対策がサイロ化しています。しかし、セキュリティ対策の基盤が寄せ集めのテクノロジーで、それぞれ独自の機能を提供している状況では、いくらセキュリティ担当者が努力しても、効果的なリスク削減はまず望めません。その実現に必要なのは、アタックサーフェス全体でエクスポージャー（リスクにさらされている部分や割合）を統合管理できる、予測可能な事前対応型の方法です。
大半の企業がさまざまなセキュリティツールを多数使用しているということは、実務担当者が分析の手がかりになる大量の情報に埋もれて苦しんでいるということ意味します。異種のツールセットが生成するデータを照合して分析するには、膨大な時間がかかります。
セキュリティ部門は、使用しているセキュリティソリューションが実際にサイバーリスクを総合的に削減しているかどうかを、簡潔かつ有効なインサイトとして、経営層をはじめとする幹部に提供しなければなりません。そのためには、脆弱性、設定ミス、ユーザー権限の相互関係を照らし合わせて、継続的にアタックサーフェス全体で評価できる機能が必要になります。サイバーリスクを数量化して、セキュリティ対策の効果を明示し、同業他社のサイバーエクスポージャーとの比較ができるツールが必要です。
上記3点の課題は、「エクスポージャー管理」を行うことで対策・解決できます。