サイバーセキュリティQ＆A：今日の脅威状況と対策の方向：Gartner Insights Pickup（63）

ガートナーの米国本社発のオフィシャルサイト「Smarter with Gartner」と、ガートナー アナリストらのブログサイト「Gartner Blog Network」から、＠IT編集部が独自の視点で“読むべき記事”をピックアップして翻訳。グローバルのITトレンドを先取りし「今、何が起きているのか、起きようとしているのか」を展望する。

　この1年で、サイバーセキュリティがこれまで以上に重みを増している。深刻なランサムウェア攻撃が横行し、さらに「Spectre」や「Meltdown」といったCPUの重大な脆弱（ぜいじゃく）性という新たな課題が降りかかる中、セキュリティおよびリスク管理のリーダーは、新しいデジタル環境におけるリスクと脅威の定義と、それらへの対処方法をまとめる必要がある。サイバーセキュリティの取り組みは、これらの問題を踏まえて進化しなければならない。

　セキュリティおよびリスク管理のリーダーは、以下のような動向を考慮して技術の購入や導入の戦略を準備しなければならない。

• ここ1年の大手グローバル企業の販売や売上高に対するマルウェアベースのサイバー攻撃の影響額は、3億ドルに上る。
• セキュリティ技術のクラウド化とサブスクリプションモデル、または従量課金モデルへの移行が進み、企業にとってはセキュリティ技術を評価する機会が増えると共に、長期間を要し、リソース集約型でコストが高くつくRFPプロセスを減らせる可能性が増えてきている。
• 買収や合併（M＆A）におけるサイバーセキュリティに関するデューデリジェンス（精査）では、このプロセスの常として、あらゆる場合に適用できる特定の手法というものはない。例えば、精査すべき範囲は、M＆A当事者の業界や資産価値、規制環境、M&A規模によって変わってくる。

　Gartnerのバイスプレジデントで、「U.S. Gartner Security＆Risk Management Summit」のコンファレンス・チェアを務めるジェフリー・ウィートマン氏は、脅威の状況が変化する中でIT部門が現在および将来直面するニーズと脅威について、以下のように概説している。

メディアをにぎわす大規模なサイバー攻撃が日常的に発生している。このようにリスクが継続している状態は、セキュリティリーダーにとってどのような意味を持つか

　企業はデータ侵害の阻止に力を入れる傾向がある。だが、実はそれは負け戦だ。リーダーはビジネスの回復力のサポートに加え、ランサムウェアやDoS（サービス妨害）、その他のサイバー攻撃の対策に重点を置く必要がある。さらに、防止、検知、対応、回復のバランスが取れた戦略計画を策定、実行することが重要だ。

　サイバー攻撃の被害にあうと極めて大きな損失を被り、ビジネスリーダーとセキュリティリーダーにとって重大な結果につながることが分かっている。保険会社はサイバー保険において、こうした攻撃が発生した場合の企業の自己負担額を高くすることを要求し、企業に適切なセキュリティ投資を促している。実際、データ侵害の結果として、CIOだけでなく上級役員も仕事を失う羽目になる。また、ブランドの評判など、定量化が難しい無形資産にも、より大きな影響が及ぶようになっている。

リスクの影響度が高まる中、どうすれば企業はデジタルサプライチェーン全体にわたってセキュリティを確保できるか

　企業が多層的なリスク環境全体について、その影響度をより良く理解するための新しいツールが登場している。1つの重要なステップが、CARTA（Continuous Adaptive Risk and Trust Assessment：継続的で適応性のあるリスクおよび信頼の評価）と呼ばれる戦略を実施することだ。これは、デジタルビジネスエコシステムの関連リスクを的確に管理するための、戦略的、継続的かつプロアクティブなアプローチだ。このアプローチでは、問題を早期に発見し、阻止すべきものを阻止し、防げなかったものに対応する。

　デジタルビジネスエンティティと、そのアクションに関連する信頼とリスクのレベルは動的なものであり、やりとりの発生やコンテキストの変化に応じて継続的に評価を行う必要がある。CARTAは人、プロセス、ツールへの投資とともに、複雑なエコシステムと継続的変化に対応するのに役立つ。

2018年はどのようなトレンドがセキュリティやリスク管理の戦略に影響するか

　データ保護は新しい技術を取り込んで進化している。それらの中には、人工知能（AI）と機械学習、ブロックチェーン、OT（Operational Technology：運用技術）とITの統合、高度な分析、そして至る所に存在するモバイル、クラウド、IoTが含まれる。これらの技術は、新たなチャンスとともにリスクや課題ももたらす。例えば、こうした新技術をサポートするのに必要な高いスキルの人材が非常に不足している。だが、企業は既存リソースを活用すれば、大きな成果につなげることができる。

　クラウドセキュリティは望ましい方向に進化している。クラウドソリューションについては投資に踏み切るべき時が来た。サブスクリプション制や従量課金制の料金で利用できるセキュリティ技術では、多大な時間とコストが掛かるRFPプロセスを省略して、拡大するデジタルビジネスのニーズに対応するためのさまざまな選択肢を活用できる。

出典：Cybersecurity Q&A: The New World of Cyber（Smarter with Gartner）