サイバー攻撃が増加し、組織への信頼が低下するなか、サイバーセキュリティ・レジリエンス計画は企業にとって不可欠です。
分散したサイバーセキュリティ・システムを統合することが、予防のための重要な戦略です。
事後に信頼を取り戻すうえでは、顧客との強固なコミュニケーションも同じくらい重要です。
過去数年間で、私たちの生活と働き方は根本的に変化しました。リモートワークやハイブリッドワークへの移行は大きな混乱をもたらし、その結果として技術革新が進みました。これにより、新たなプラットフォーム・ツール、ワークフォース・コラボレーション・ソリューション、社内メッセージング連携、リモート研修などを通じて、人々は従来のセキュリティ境界の外からも職場に接続し、生産性を維持できるようになりました。
しかし、この技術革新が最盛期を迎えた一方で、組織に対する社会全体の信頼は低下しました。2019年には、回答者の約64%が大企業に対して何らかの程度の信頼を示していたと、Gallupによって報告されています。2023年までにその割合は8ポイント低下し、大企業に対してほとんど、あるいはまったく信頼を示さない人の割合は7ポイント上昇して43%に達しました。
信頼の再構築は世界中の企業にとって優先課題となっていますが、このプロセスを遅らせる顕著な逆風もあります。残念ながら、主要な組織でのセキュリティ侵害のニュースは驚くほど頻繁に届いています。この脅威環境において、企業が顧客との信頼を再構築するのに苦労しているのも無理はありません。当然ながら、これには強力で、先を見越した予防的なサイバーセキュリティ体制の確立が求められます。また、サイバーセキュリティ・インシデントが発生した際に、技術面、組織面、財務面からの影響を抑えるためのレジリエンス計画を策定することも必要です。
世界経済フォーラムは、深刻化するサイバーセキュリティの課題にどのように取り組んでいますか？
サイバーセキュリティセンターは、リーダーが一堂に会し、進化するサイバーリスクとその システミックな影響を理解するための信頼できるプラットフォームを提供しています。同センターは、ますます相互接続が進むデジタル社会における理解と信頼の構築に注力しています。
セクターを横断する協力と知見の共有を可能にすることで、同センターは、パートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組めるよう支援しています。
事前の対策
最も重要な第一の要素は、予防に重点を置くことです。そのための最善の方法は統合です。業界は、クラウドへの急速な移行の第一段階を支えるために市場が必要としていた技術革新を適切に生み出してきました。しかし、これらの製品が包括的な保護を提供する能力は、すでに限界に達しています。多くの企業は、さまざまな種類の業務を遂行するために、多数のポイント製品を導入してきました。その結果、拡散し、十分に保護されていないネットワークが生まれています。これは継ぎ接ぎのシステムであり、組織は結果として、企業とともに進化できない継ぎ接ぎの保護範囲を抱え、同時に複数のベンダーに対応することで割高なコストを支払っています。さらに、脅威アクターもこの状況に気づいています。民間産業で発生したデータ侵害の件数は、2019年以降で2倍以上に増加したと、Verizonのデータ侵害インシデント報告書
は報告しています。経営幹部もこの点を理解しています。Gartnerの調査によると、では、組織の75%がセキュリティ・ベンダーの統合を進めており、2020年の29%から増加しています。セキュア・アクセス・サービス・エッジ（SASE）と拡張検知・対応（XDR）の技術は、統合への取り組みを始めるうえで適切な出発点です。これらのソリューションは、それぞれ分散したユーザーのアクセスを保護し、チームが脅威を検知して対応できるようにするものです。最も重要なのは、これらのソリューションが脅威への対応だけでなく、脅威が侵害に発展するのを特定し、防止するように設計されている点です。統合されたプラットフォームに導入され、セキュリティ・スイートの他の要素と完全な相互運用性を備えている場合、これらは、ツールセットを先を見越した予防重視のプログラムへと転換させることで、より高い可視性と安全性を提供します。侵害が実際に発生する前に、その潜在的な影響を抑えることができます。セキュリティ・インシデントが実際に発生した場合でも、顧客は、侵入者による被害を抑えるための体制が整っていると確信できます。これにより、将来に向けた信頼の再構築の基盤が築かれます。
発生した場合
強固なセキュリティ体制は最悪の事態を防ぐことができますが、脅威アクターは一度でも運良く成功すればよいのです。完全に侵害を免れている組織はありません。こうしたインシデントによる被害は、金銭的な損害から、企業が安全に事業を行う能力に対する広範な信頼の喪失に至るまで、さまざまです。このような不正アクセスの後、企業はどのように信頼を再構築すればよいのでしょうか？
まず、被害を抑える必要があります。信頼を再構築するための最初のステップは、先を見越した対応であるからです。統合され、予防に重点を置いたセキュリティ体制を構築すれば、影響を抑えることができます。インシデント発生前にそれができなかった場合は、業務を復旧させた後に最初に取り組むべき目標とすべきです。顧客は、予防が最優先事項であることを知る必要があります。
時間をかけて信頼を再構築するための鍵は、コミュニケーションです。企業は、首尾一貫した戦略に沿って行動していることを示さなければなりません。これには、適切な情報開示が常に含まれます。侵害の迅速かつ透明性のある開示は重要であり、ほとんどの法域では「不当な遅延なく」開示することが義務付けられているため、これにはコンプライアンス上の側面もあります。それに加えて、適切な関係者が自らを守るための措置を講じたり、さらには修正策の開発に協力したりすることも可能になります。
顧客には特別なコミュニケーションを行う必要があります。業務の継続が中断された場合は、可能であれば、企業が遵守できるタイムラインを提示してください。顧客に対して、彼らが潜在的に晒されている可能性のあるリスクを知らせるとともに、利用可能になり次第、是正するためのツールを提供してください。
報道機関、ソーシャルメディア、企業ブログのいずれであっても、外部へのコミュニケーションは、情報提供的で行動志向であり、被害の範囲について明確でなければなりません。最も重要なのは、これらのコミュニケーションにおいて、企業が侵害に対処するために行ったこと、それがより広範な戦略にどのように位置付けられるか、そして同様のインシデントが将来にわたって企業を危険にさらさない理由を明確に示すことです。防御的な姿勢を取るのではなく、パートナーとして状況に向き合ってください。
要するに、侵害への対応とは、人、プロセス、技術の順に重視することです。影響を受けた人々が、常に一貫性のある明確なコミュニケーションを通じて、何よりもまず状況を把握できるようにしてください。是正の過程で、プロセスと技術の不備を特定し、修正してください。
サイバーセキュリティにおいては信頼が鍵となります
結局のところ、現代のビジネスにおいて、予防に重点を置いたサイバーセキュリティ体制の構築に代わるものはありません。サイバーセキュリティを優先しない企業は、あらゆる種類の脅威アクターにとって格好の標的となります。信頼とは、パートナーが相互の利益を守るために行動しているという確信が前提であり、それは、事業とともに、そして何より脅威環境の変化とともに進化する統合されたサイバーセキュリティへの投資を意味します。
開示やコミュニケーションは迅速かつ透明性をもって行ってください。対応の遅れは、さらなる被害を生む時間的な猶予を広げ、説明の曖昧さは、行った発表に対する顧客と社会からの信頼を損ないます。顧客と社会に、あなたを信頼するための正当な理由を示さなければなりません。信頼の構築には時間がかかり、実績に代わるものはありません。その結果、強固で統合されたサイバーセキュリティは、すでに差別化要因としての役割を果たしています。
