フィッシング、マルウェア、ランサムウェア攻撃などの詐欺行為は、経済全体、政府、そして私たちの生活様式を脅かしています。
サイバーセキュリティはデータの保護に重点を置いていますが、もはやそれだけでは十分ではありません。企業にはサイバーレジリエンスが必要です。
企業がより高いサイバーレジリエンスを実現するためには、それを測定する枠組みが必要です。
今日、私たちはどこからでも、より多くのデバイスやネットワークを使って働いており、かつてないほど多くのリスクに直面しています。 広く蔓延するフィッシング、マルウェア、ランサムウェア攻撃、その他の詐欺行為は、個人やプラットフォームだけでなく、経済全体、政府、そして私たちの生活様式にとってもリスクとなっています。
しかし、企業やデータを守るための私たちの考え方は、実態に追いついていません。企業のリソースは依然として、データの機密性と完全性の保護に重点を置いた防御的なサイバーセキュリティに割り当てられることが多くあります。しかし、日増しに高度化する攻撃に直面して、こうした防御策は不十分であることが明らかになりつつあります。私たちにはサイバーレジリエンスが必要ですサイバーセキュリティに加えて必要であり、両者の違いを理解することが重要です。
サイバーセキュリティではなくサイバーレジリエンスが重要な理由
サイバーレジリエンスは、サイバーセキュリティの基本を徹底することから始まります。Salesforceでは、これを「ありふれたことを、非凡なまでに徹底して行う」と呼んでいます。これには、脆弱性へのパッチ適用、脅威の検知と軽減、そして企業のセキュリティを守る方法について従業員を教育することが含まれます。しかし、これらのことは一年に一度ではなく、継続的に行う必要があります。
それに加えて、業務プロセスのマッピングから、サービス可用性のエンジニアリング、重要なベンダーへの依存に至るまで、事業のあらゆる部分にレジリエンスを組み込む必要があります。さらに、企業はサイバー犯罪の影響を、企業のブランド、財務、法務、顧客の信頼に関する責務に対して抑える必要があります。これらの領域は通常、限られた注目、リソース、または経営陣の関心しか得られませんが、現実の脅威が生じた場合には重要な要素となります。
サイバーレジリエンスの目的は十分に明確です。それは、影響を最小限に抑えながら、業務と事業の継続性を確保することです。しかし、現実には把握がより困難な場合があります。現在、サイバーレジリエンスを測定する優れた方法が存在しないためです。経営者として、攻撃に対応し、顧客の信頼を維持し、財務、法務、ブランドへの影響を吸収して事業を再開する能力について、一定の自信を持つ必要があります。しかし、広く受け入れられているサイバーレジリエンスの枠組みがなく、成熟度モデルもなく、そうしたものが存在すべきだと私は考えています。
企業が能力、デジタルトランスフォーメーション、サプライチェーン、サイバーセキュリティ、データ管理などを測定することを可能にする成熟度モデルは、ほかにも数えきれないほどあります。サイバーレジリエンスの成熟度とは、どのようなものでしょうか。これは単に対応と復旧の能力だけでなく、どれだけ迅速に復旧するか、そして何を優先するかに関するものです。
私はチェックリストや自己評価の手法をもう一つ提案するつもりはありません。成熟したサイバーレジリエンスのアプローチは、柔軟で、適応性が高く、継続的に改善されるものであるべきです。私は、企業とその経営陣がサイバーレジリエンスとは何か、そしてそれをどのように実現するのかを理解するのに役立つ、一連の特性を記述する枠組みを設計することを提案します。この枠組みは、サイバーレジリエンスの提供に向けたアプローチと姿勢を示すものとなるでしょう。
例えば、あなたの組織はレジリエンスを場当たり的に実行していないでしょうか。監査人に求められたときだけ見る計画を立てていないでしょうか。連絡網を作成するよりも、PagerDutyを使うべき場面ではないでしょうか？真のレジリエンスには、事業目標を維持しながら脅威に動的に対応する多次元的なアプローチが必要です。
サイバーレジリエンスを測定するには、次のような取り組みが含まれる可能性があります。
- 最重要資産と重要な機能を特定すること。
- システムの相互接続性と、攻撃に対する脆弱性の度合いを検討すること。
- より広範な社会・政治情勢に、より迅速に適応すること。
- 同業他社、競合他社、公的機関とのパートナーシップを構築すること。
- チームが どのように人材を採用し、スキルを育成しているかを検討すること。
- アプローチを変更し、事業を保護するだけでなく事業をセキュリティを通じて可能にすること。
- 信頼と俊敏性の文化を維持しているかを測定すること。そして、
- 顧客の信頼と透明性を測定すること。
あらゆる組織には固有のリスクがあり、すべての組織に当てはまる単一のモデルは、サイバーレジリエンスに対する画一的なアプローチとはなり得ません。しかし、このアプローチは、投資判断の指針となり、共通の目標の下で利害関係者を結束させ、継続的改善の実践を促すことに役立ちます。何よりも、サイバーレジリエンスは、最悪の事態が発生したときでも組織が約束を果たし続けられるという確信を経営陣に与えるものであるべきです。
成熟度モデル活用の課題
数値スコアに基づく評価中心の枠組みは、形式的にチェックを埋めるだけの文化につながりかねません。しかし、サイバーレジリエンスは比較の問題ではなく、到達すべき最終地点もありません。この測定の枠組みは、業界全体にわたって拡張できるよう、バリューチェーン全体のレジリエンスを確保するために必要な人材、プロセス、技術に焦点を当てるべきです。
世界のサイバーセキュリティ課題に対して、フォーラムはどのように取り組んでいるのでしょうか。
サイバーセキュリティセンターは、進化するサイバーリスクとその体系的な影響を理解するために、リーダーが集う信頼できるプラットフォームを提供しています。増大するデジタル相互接続の世界において、理解と信頼の構築に注力しています。
セクターを越えた協力と知見の共有を可能にすることで、センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組めるよう支援しています。
重要インフラのサイバーセキュリティを改善するための米国国立標準技術研究所（NIST）の枠組みが導入された際、国としての行動喚起がありました。現在、社会と企業は新たな転換点を迎えています。公共部門と民間部門の組織は いずれも、より デジタル化され、より分散化された全く新しい方法で業務を行っており、これによりサイバーリスクへの扉がさらに大きく開かれています。2021年5月の大統領令は次のように述べています。「米国は、公共部門、民間部門、そして最終的には米国民の安全とプライバシーを脅かす、持続的かつ高度化する悪意あるサイバー攻撃キャンペーンに直面している。」また、ハイブリッドクラウド基盤を保護するための大胆な変革を実現するための官民パートナーシップを求めています。
NIST枠組みと同様に、産業横断的に組織が利用できる、拡張性のある新たなサイバーレジリエンスの枠組みを、まさにこのようなパートナーシップのもとで策定することが重要です。そこで、これを公開の呼びかけとして捉えてください。この枠組みを確立するために、私たちは共に協力できるでしょうか。サイバーレジリエンスを通常の事業活動の一部にできるでしょうか。全員がより強くなれるよう、私たちは共に取り組む必要があります。
