鎌倉七口、元を辿れば京都七口と言って、幕府や都への入り口には切通しを開いたり関所を設けたりして、通行を制御したそうです。サイバー空間の中に、企業がすっぽり入ってしまったのは、まだ、そう昔というほどではありませんが、パンデミックで大きく変化したサイバー状況を踏まえて、日本企業各社は、サイバー空間の通行制御にどう取り組むべきでしょうか。
坂本龍馬ではありませんが、「サイバー五口」を広く見渡して、大きな方針を「八策」にまとめるとすれば、皆様の会社ではどういう整理がなされて居られるでしょうか。
このブログでは、いつものように、国際的な実務の標準的な考え方を、ISFの公開情報に確認して、共有させて頂きたいと思います。
（ここから引用）
サイバーセキュリティの脅威も費用も高まる5つの動向
Published: JUL 27, 2022
SOURCE：CSO Online
Steve Durbin, Information Security Forum
世界はデジタル化が進み、規制も強化され、相互接続も増えていますが、 その負のインパクトを軽減する対策を講じることは可能です。
今回のパンデミックによって、サイバーの世界はより危険な場所となりました。Hiscox Cyber Readiness Report 2022によると、米国と欧州のほぼ半数（48%）の組織が過去12カ月間にサイバー攻撃を受けたことが判明しています。さらに憂慮すべきは、企業がサイバーセキュリティへの支出を倍増しているにもかかわらず、こうした被害が相次いでいるということです。
サイバーセキュリティは、重要な転換点を迎えています。5つのメガトレンドによって、脅威は以前から報告されていたよりもリスクが高く、より複雑で、対処費用もかさむ状況になっています。そこで、この脅威の進化についてより深く理解するために、これらのトレンドについて詳しく見ていくことにしましょう。
1. あらゆるものがデジタルに移行する
McKinseyのレポートによると、インターネット接続の急激な増加により、政府や企業におけるデジタルトランスフォーメーションが 7 年近くも加速されたということです。インフラや関連サービスがCOVID以前よりもはるかにインターネットからアクセスしやすくなったことで、攻撃者たちは、リモートユーザーや脆弱なシステム、そして防御機能を侵害するための十分 なチャンスを手に入れたのです。
また、今回のパンデミックによって、従業員はよりデジタルに依存せざるを得なくなりました。Ladders社のレポートによると、米国では今年、雇用の4分の1近くがリモートワークとなり、2023年にはさらにその数が増えると予測されています。また、従来はオフィス内で従業員を保護していた企業のセキュリティシステムは、もはや意味をなさなくなってきています。従業員は個人所有のデバイスから会社の情報システムにアクセスし、安全でない公衆無線LANを使用するようになり、企業はセキュリティ侵害やサイバー攻撃の危険にさらされているのです。
2. 企業のエコシステム化が進む
企業は、自社の情報インフラや情報資産をメーカー、サプライチェーンのサプライヤー、およびパートナーに開放し、情報共有や取引における障壁の削減を図っています。このような変化によって、企業はサイバーリスクを抱え込むことになりつつあります。なぜなら、企業のコントロールが及ばないエコシステム全体を管理し、安全を確保し、統制することは容易ではなくなっているからです。NCC Groupの調査によると、サプライチェーンにおけるサイバー攻撃は昨年51%も急増したとのことです。
3. 現実空間とデジタル空間が衝突する
現実空間とデジタル空間の融合が進むにつれ、ハイブリッド型の脅威が出現し、サイバースペースでの攻撃が現実世界にも影響を及ぼすようになります（逆もまた然り）。このような脅威は、ビジネスの中断、インフラの物理的なセキュリティと安全性の低下、機密データの漏洩や喪失、訴訟の提起、さらには人命の損失といった形となって現れるでしょう。ガートナー社は、今後サイバー攻撃者たちが、オペレーション技術（金融システム、燃料やガスのパイプライン、電力供給網、水道網、ヘルスケア、あるいはインターネットそのもの）を武器として利用し、人命に危害を加えるだろうと予測しています。
4. 新たなテクノロジーが新たなリスクをもたらす
モノのインターネット、マルチクラウド、5G、エッジコンピューティングなどの技術の登場によって、何百億というハッキング可能なデバイスや 、攻撃者たちが悪用することができる無数の侵入口が生まれるでしょう。人工知能も不正操作の対象となり、偏見を固定概念化してしまったり、不当な、あるいは妥当性を欠く判断を下してしまう可能性すら出てくるでしょう。世界中で接続環境が整えば整うほど、混乱の可能性も広がっていきます。
5. 諸規制の複雑化が進む
サイバー攻撃や情報漏えいの急増により、各国政府はサイバースペースでの活動を規制することが緊急課題になっています。ほぼすべての主要国で、何らかの形でデータ保護やプライバシーに関する法律が制定されようとしています。 また、規制は急速に進化しており、ビジネスが展開されている地域の数によっては、規制の動向を把握し、その内容を実行に移すことは複雑な課題となり得ます。しかし、コンプライアンスに違反すれば、業務に支障をきたすだけでなく、高額な罰金やペナルティ、顧客の信頼喪失など、さまざまな落とし穴に陥る危険性があります。
サイバーセキュリティのパフォーマンス向上に役立つベストプラクティス
企業や団体各社が、サイバーセキュリティのパフォーマンスを向上させるためには、以下のベストプラクティスに取り組むことが望まれます。
①リスクを洗い出し、優先順位を付け、リスク制御策を実装する。セキュリティの成熟度を定期的に評価する。
②ISO27001やNIST Cybersecurity Framework などのフレームワークを採用する。セキュリティに対して体系的なアプローチを取っている企業では、侵害行為をより早く検出し、サイバーセキュリティの主要な指標において他企業よりも優れた結果を出しています。
③ヒトの特性を考慮したサイバーセキュリティを構築する。従業員の心理的反応、振る舞い、そしてパターンなどを評価し、サイバーセキュリティに対する価値観とリスクに対応した企業風土づくりを行う。
④自社のサプライチェーンを強化する。定期的にサプライチェーンのリスクアセスメントを実施し、重要なサプライヤーに焦点を当て、自社のリスクエクスポージャーをモニタリングし、自社のセキュリティ基準を満たしていないサプライヤーを排除するプロセスを実施する。
⑤あまりにも多いツールを使用することは避ける。異なる種類のテクノロジー群を導入するのではなく、プラットフォームからのアプローチをとる。セキュリティの多層化を図り、人、プロセス、技術に均等に焦点を当てる。
⑥重要な情報資産に対する防御策を優先させる。自社の重要インフラに対する潜在的な攻撃がもたらす損害について認識することが重要。
⑦自動化できるところは自動化する。サイバーセキュリティの人材は現在すでに不足しており、脅威の全貌を監視することは至難の業と考えられているのが現状。このため、人工知能や機械学習を活用したサイバーセキュリティ・ツールに投資し、人手を補い、脅威の検知や対応時間の短縮を図ることは、常に賢明な選択と言える。
⑧セキュリティの監視指標を定期的にモニタリングし、ビジネスリーダーがセキュリティの有効性や法令コンプライアンス、社内のセキュリティ意識レベルについて把握できるようにする。
サイバーセキュリティは常に未完成であり続けるものといえます。効果的なリスク管理の鍵は、攻撃対象となっている領域全体に対する先を見越した可視性とコンテクスト（状況の理解）を確立することです。これにより、どの脆弱性が悪用された場合、ビジネスに最大の損害を与えることになるかを理解することができます。すべてのリスクを軽減できるわけではなく、中には受け入れなければならないリスクもあり、妥協点も探る必要があります。
（引用おわり）
いかがでしょうか。かなり「策士」としての成熟度が問われるのが、サイバーセキュリティの専門家ひいてはセキュリティリーダーという仕事の難しさの一つではないでしょうか。
「サイバー五口」のような各社に共通のセキュリティ上の難所は、同時にビジネス発展の門でもあるでしょうから、極めて洗練された「関所のオペレーション」が必要とされるように思います。そこでは、ヒトの特性、取り分け各社の企業文化を見ながらの調整が求められると言えます。ITやコンピュータ技術さらには新しいテクノロジーのみならず、リベラルアーツや臨床医のような現場仕事の感性も要るでしょう。
前回のブログでは、マースク社の事例を垣間見ましたが、やはり、一人で全てをやろうとするのではなく、セキュリティのチームさらにはリスク管理に携わるプロフェッショナルの間で、役割分担を上手に設計して、一回り大きなリスク像を補足できるような体制設計が眼目のように思われます。
そのためにも、他社がどういうことを考えて、どういう工夫をしているのかを知れる立場に身を置くことは大きなメリットになりうると考えます。
小原：hiro.ohara@securityforum.org
