サイバーセキュリティは技術的な問題であるだけでなく、人に関わる問題でもあります。したがって、安全を保つには、組織は連携、パートナーシップ、スキルといった、一見すると柔らかく聞こえる対策を、最先端のテクノロジーと組み合わせる必要があります。
サイバー攻撃は絶えず進化し、かつてないほど巧妙になっています。高度持続的脅威（APT）の台頭に加え、さらに強力な高度揮発性脅威（AVT）も登場し、一般の組織を標的とするポリモーフィック型・マルチベクトル型のハッキングが急増しています。
次世代ファイアウォール（NGFW）や侵入防止システム（IPS）など、従来型のセキュリティ対策では、スピアフィッシングのような新しい手法から身を守れなくなっています。評判の高い有能な組織であってもサイバー攻撃の被害に遭い、データの窃取や金銭的損失、ブランドの評判への損害を受ける事例が、今も報道されています。
驚くべきことに、BTのモバイルセキュリティ脅威に関する最近の報告書によると、CEOの69%はセキュリティを十分に重視していません。（詳細については、 エグゼクティブサマリーをダウンロードしてください。）
どの組織も、単独で効果的に自らを守ることはできません。連携とパートナーシップは、サイバーセキュリティに不可欠になりつつあります。最新の脅威情報を得るには、脅威環境全体に関する共有情報源にアクセスする必要があります。CERT UKの サイバーセキュリティ情報共有パートナーシップ（CiSP） は、優れた取り組みです。民間企業も脅威インテリジェンスサービスを提供しています。オープンソースのデータと匿名化された非公開データの両方をスキャンし、一般的なレポートに加えて、組織固有の脆弱性を分析するサービスを選びましょう。
組織が直面する最大級の脆弱性の一つは、技術的なものではなく、人に関わるものです。セキュリティ侵害は、多くの場合、人が原因で起こります。意図的ではなく、単に知識不足や不注意によるものです。従業員の10%は、仕事で使うBlackBerryやiPadに、簡単なパスワードすら設定していません。半数以上は、職場で自分の端末を使う際の会社のセキュリティポリシーを知りません。通常は、会社にポリシーがない（定めているのはわずか40%）か、従業員にその内容を教育していないためです。
組織の半数以上は、サイバーセキュリティに関する個人の責任について、全従業員に研修を実施していません。研修を行えば、セキュリティ侵害のリスクを減らすだけでなく、発生した場合の影響を軽減することにもつながります。しかし、セキュリティ意識の高い企業文化は、経営幹部が率先して手本を示し、トップから築く必要があります。
組織には、セキュリティを理解していない人が多すぎるだけでなく、理解している人も十分にいません。サイバーセキュリティのスキルは世界的に深刻な不足状態にあります。モバイルセキュリティ侵害を防ぐための十分なリソースを確保できていると考える組織は、わずか26%です。
自社で適切なスキルを持つセキュリティ専門家を十分に採用できない場合は、そうした人材を擁するパートナーと協力するのが有効です。複数の組織を担当するセキュリティ専門家は、新たに現れる脅威環境をより包括的かつ最新の視点で把握しているため、パートナーシップは必要な情報と専門知識を活用する優れた方法です。自社の顧客とのパートナーシップも役立ちます。顧客は、自社の関心領域の外で起きている問題が深刻化する前に知らせてくれる可能性があるからです。パートナーシップの参加者同士で情報を共有することもできます。
あらゆる種類の組織のリーダーは、セキュリティ責任者に次の3つの質問をすべきです。
高度持続的脅威に対抗する準備は、どの程度できていますか？
研修や啓発プログラムを通じて、従業員にセキュリティポリシーをどの程度徹底できていますか？
新たに現れる脅威に関する最新情報に十分アクセスでき、それらに対抗するスキルも備えていますか？
その答えは、考えるきっかけになるかもしれません。しかし、少なくとも問いかけることで、実際のセキュリティ状況を把握でき、サイバーセキュリティを十分に重視していないCEOの69%の一人にならずに済みます。
著者：Luis Alvarez、CEO、BT Global Services
画像：2013年5月21日、ベルリンで撮影されたこの写真イラストでは、コンピューター画面の前に虫眼鏡がかざされている。REUTERS/Pawel Kopczynski
