Check Pointの調査によると、ランサムウェア攻撃はわずか1年で20%増加しました。
しかしサイバーリスクが高まる一方で、最高情報セキュリティ責任者（CISO）はコスト削減のプレッシャーにさらされています。
ここでは、イノベーションを優先しながらツールを可能な限り効果的に活用することで、この二つのプレッシャーのバランスを取る方法をご紹介します。
サイバーリスクは世界的に高まっており、サイバー犯罪者は今やAIを活用して活動を支援しています。
Check Pointによると、ランサムウェア攻撃だけでも前年比で20%増加しており、同時に攻撃の頻度と巧妙さも高まっています。現在、86%のビジネスリーダーは、世界的な地政学的不安定化が今後2年以内に壊滅的なサイバー事象を引き起こす可能性が中程度または非常に高いと考えています。
同時に、最高情報セキュリティ責任者（CISO）は、変化する経済的逆風の中でサイバーセキュリティ支出の削減を求める圧力が高まっています。
明るい兆しとして、財政的な慎重さは困難であり、非現実的な期待に見えることもありますが、サイバーセキュリティの専門家は、少ない投資でより多くを実現することが十分に可能です。
サイバーセキュリティ：少ない投資で多くを実現する7つの方法
CISOがセキュリティを損なうことなくサイバーセキュリティ支出を削減できる7つの方法は次のとおりです。
1. 既存のソリューションを最適化する
組織はサイバー機能のライセンスを取得しているものの、それを有効にしていないことがよくあります。また、他の組織では、現在のすべての機能を利用できるようにするためにバージョンのアップグレードが必要です。
多くのパートナーやベンダーは、セキュリティ専門家が既存のサイバーセキュリティツールに備わった機能を十分に理解し、活用できるよう、コンサルティングや教育リソースを提供しています。ある一つのツールの利用を拡大することで、CISOが別のツールを置き換えて廃止でき、運用が簡素化されコストを削減できる場合もあります。
2. 社内および社外委託のサイバーセキュリティ業務を見直す
特定のサイバーセキュリティ業務を第三者グループに委託している組織もありますが、障壁があるにもかかわらず、それらの専門業務を社内に取り込む方がコストを抑えられる場合があります。逆に、マネージドサービスプロバイダー（MSP）やマネージドセキュリティサービスプロバイダー（MSSP）に任せた方がコスト効率が高い業務を、いくつか抱えている企業もあるかもしれません。組織は、社内および社外委託のサイバーセキュリティ業務を見直すために、差分コスト分析の実施を検討すべきです。
また、組織は従業員の意識向上と継続的なトレーニングを通じて、強固なサイバーセキュリティ文化を構築・維持することが不可欠です。世界経済フォーラムの「2023年サイバーセキュリティ展望」によれば、「組織のサイバー能力は、従業員がサイバーリスクを理解し、そのリスク管理における自身の役割と責任を認識するにつれて高まる」とされています。従業員が最新の攻撃手法や防止策を把握していることは不可欠です。
3. サイバーセキュリティツールを統合する
サイバーセキュリティソリューションを統合することで、セキュリティの有効性とスタッフの士気が高まり、対応手順書が簡素化され、トレーニングや資格取得の取り組みが減少し、支出を削減できます。収益の創出にもつながります。Dimensional Research and Check Pointによる調査では、全組織の49%が6〜40のセキュリティ製品を使用しており、98%の組織が複数のコンソールでセキュリティ製品を管理し、その結果として可視性の死角が生じていることが明らかになりました。
4. レジリエンス対策を検証し強化する
強力なサイバーセキュリティチームを維持しているにもかかわらず、世界的な企業は極めて深刻な業務影響を伴うサイバーインシデントに引き続き直面しています。バックアップ機能やその他のサイバー災害復旧対策への継続的な投資は、侵害発生時の支出を抑えることができます。セキュリティチームは最新のインシデント対応計画を整備し、四半期ごとにテストすべきです。また、すべての重大（Critical）および高（High）の脆弱性がパッチ適用済みであるか、適切な代替統制が講じられていることを確保すべきです。
この目的のために追加予算の確保が必要な場合、収益への悪影響、評判への影響、事業停止コスト、サイバーセキュリティ計画のこの部分への投資不足によるリスクを明示することで、その費用を正当化できます。多くの企業は、セキュリティ支出を正当化するためにFAIRアプローチを活用しています。
5. ツールを自動化し調整する
一部のツールには既に自動化機能が備わっている場合があるため、CISOは無駄になっている人的作業や時間を特定し、まずそれらを自動化すべきです。例えば、組織が時間を浪費させたり無視されたりしている偽陽性（誤検知）の多さを認識している場合、何かを変える必要があるという兆候かもしれません。IBMのデータ侵害のコストに関するレポートによれば、完全に導入されたAIと自動化を活用している組織は、これらのツールを使用していない組織と比べ、データ侵害1件あたり305万ドルを節約しています。言い換えれば、AIと自動化を推進する企業は、侵害関連費用を最大65.2%削減できる可能性があります。
6. 決して信頼せず、常に検証する
ゼロトラストは「決して信頼せず、常に検証する」という原則に基づくセキュリティモデルです。ゼロトラストのNISTによるフレームワークを活用することで、過剰な権限の悪用やネットワーク分割の欠如をサイバー攻撃者が利用することを防ぐため、サイバー侵害のリスクが低減します。ゼロトラストのセキュリティ戦略を導入したことで、一部のケースでは92%の投資収益率を達成し、投資回収期間は半年未満となりました。ゼロトラストは、データ侵害の発生確率を最大50%低減できます。重要な点として、ゼロトラストは単一の製品ではなく、取り組みの過程であり、アプローチであることを認識しておく必要があります。
7. 予防を最優先に考える
多くのセキュリティツールは、問題を「防止」するのではなく「検知」します。攻撃の速度が速いため、検知では遅すぎることが多く、データの持ち出しや暗号化による恐喝につながり、事業に悪影響を及ぼします。災害への対応よりも、災害を予防する方がはるかにコスト効率に優れています。データ侵害の平均コストは435万ドルであり、医療および金融分野の企業は、平均よりもはるかに高いコストを負担することがしばしばあります。より高いコストを負担することがしばしばあります。予防を最優先とした投資対効果（ROI）の定量化は、予防重視のアプローチによって組織が回避できる損失額に基づく必要があります。数字を精査すると、予防を重視したセキュリティプログラムが勝利を収めることが分かります。
世界経済フォーラムは、高まるサイバーセキュリティの課題にどのように取り組んでいますか？
サイバーセキュリティセンターは、リーダーが集まり、進化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供しています。増大する相互接続されたデジタル社会において、理解と信頼の醸成に焦点を当てています。
セクターを超えた協力と知見の共有を可能にすることで、センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に対処できるよう支援しています。
サイバーセキュリティにおけるイノベーションと機会
組織は、サイバーセキュリティ予算が削減されても、準備を整え、成功を収めることができます。サイバーセキュリティは、イノベーションを追求し、サイバー犯罪者より一歩先を行くことに尽きます。その意味で、予算の制約は、セキュリティに対して革新的で新しいアプローチを取り、より大きな成果を達成する機会となります。
強固なサイバーセキュリティとレジリエンスは実現可能です。上記の対策を実施するとともに、職場で従業員とともにセキュリティ文化を強化し、適切なサイバー衛生と プロセスを確保し、テクノロジーソリューションを統合・最適化することで、少ない投資でより多くを実現することが可能です。
