ガートナージャパンは1月11日、日本の企業がセキュリティに関して2024年に押さえておくべき10の重要論点を、以下のように発表した。
論点1：新たなセキュリティ・ガバナンス
社会全体としてセキュリティの取り組みにおける説明責任は増大傾向にあり、国内においても経営者の意識に変化が生まれる状況が増えている。昨今のセキュリティ環境では、サイバー攻撃や内部脅威に加え、クラウド、デジタル、法規制のリスクも絡めた高度かつ複雑な意思決定が必要になり、従来の中央集権的なセキュリティ・ガバナンスに限界を感じる組織が増加している。
SRMリーダーは、従来存在する情報セキュリティの脅威のみではなく、サイバーセキュリティおよびデジタル・トレンドを踏まえた新しい脅威の変化をファクト・ベースで経営陣、ビジネス・リーダーに伝え、理解を促すことが重要である。セキュリティはITの問題ではなく経営問題であり、組織全体として対応すべき問題であるとの共通理解を得ると共に、分散型意思決定を可能とするプロセスへ移行する必要がある。
論点2：新たな働き方とセキュリティ
ワークプレースは、従来のオフィスなどの「働く場所」を中心としたものから、従業員の「働き方」を中心とした新しいものへと移行しつつあり、そうした働き方のパターンに応じてセキュリティにも多様なパターンが求められるようになっている。Microsoft Copilot for Microsoft 365のような「日常型AI」の利用が進むことで生じる、新たなセキュリティ・リスクへの対応の必要性が高まっている。
SRMリーダーは、従業員がシステムやデータにどこからアクセスし、どのように使うのか、そうした実態を把握し、ユースケースごとに適切なセキュリティを選択できるような取り組みを推進する必要がある。「日常型AI」の利用が進むことで、ユーザーとして新たに認識すべきリスクも増えるため、2024年は、従業員に対するセキュリティ教育の在り方を見直す必要がある。
論点3：セキュリティ・オペレーションの進化
ゼロトラスト、セキュア・アクセス・サービス・エッジ (SASE) といったトレンドや、急速に変化する環境や脅威に対応するために、企業は脅威対策製品の導入を継続する一方、個々の製品のログへの対処や運用方法、運用負荷の増加などの課題を抱える組織が増えている。加えて、セキュリティ情報／イベント管理 (SIEM) プラットフォームや、拡張型の検知／対応 (XDR) 関連製品、生成AIの活用への期待が高まっている。
SRMリーダーは、脅威対策製品の検知や防御の能力に頼るだけでなく、問題が発生しないような構成を維持する事前対応プロセス (脆弱性への対処や、設定ミスの修正など) をセキュリティ・オペレーションに組み込み、そのサイクルを回していくことが求められる。また、生成AI等の活用については発展途上にあるため、セキュリティ運用の今後の姿を描き、中長期的な視点で検討していくことが重要である。
論点4：インシデント対応の強化
サイバー攻撃はさらに巧妙化が進んでおり、インシデントの原因究明にはこれまで以上に時間がかかる。OT (オペレーショナル・テクノロジー) やIoTの領域もサイバー攻撃の対象となる現在、企業が担うインシデント対応の範囲は、これまでのIT領域にとどまらず、自社製品あるいは設備などにまで拡大している
インシデントが広い範囲に影響する場合、業務停止の時間を極力短くすることが重要になるため、こうした場面ではインシデントの原因究明よりもシステムの暫定復旧が優先されるよう、インシデント対応プロセスを見直す必要がある。曖昧な想定があれば具体的なシナリオとして修正し、インシデント対応組織が複数ある場合には、各々が分断しないよう協働に向けた働きかけも重要である。
論点5：外部からの攻撃への対応
エンドポイントの検知／対応 (EDR) 製品を導入する企業は増えているものの、運用や人材スキルにおける問題を抱える組織が多い。ビジネス／テクノロジー環境の変化に伴い、企業が攻撃を受ける可能性のある脅威エクスポージャが増加しており、アタック・サーフェス・マネジメント (ASM) への関心が高まっている。
SRMリーダーは、自社の資産や保持している情報を踏まえた想定シナリオの準備や、運用プロセスの見直し、および運用スキル強化に向けた取り組みが必要である。併せて、攻撃リスクを低減するための手段として従来行われている脆弱性マネジメントと、新たに対処が必要になっている脅威エクスポージャの双方に対応するために、継続的な脅威エクスポージャ管理 (CTEM) への取り組みを検討することも必要である。
論点6：内部脅威への対応
内部関係者によるシステムや情報への不正アクセスは後を絶たない。事前に定めたルールによって内部不正を検知するという従来のアプローチだけでは検知が難しい側面もある。
内部脅威の対応範囲は広いため、まずはリスクの高いもの、たとえば高度な機密情報を扱うユーザー、特権を行使する場面、あるいは退職を予定しているユーザーなど、特定のポイントにフォーカスして取り組みを進めることが重要である。
一方、AIを活用した脅威検知への期待が高まっているが、活用する際は、不正検知に用いられる従業員情報が不適切な用途で使われることのないよう、従業員のプライバシーに配慮することを最優先事項とする必要がある。
論点7：法規制、サードパーティ／サプライチェーンのリスクへの対応
AI、データ／アナリティクス、サイバー・フィジカルなど、社会全体としてデジタル・トレンドが進む中、世界の地域／国の規制当局による新しい法案策定に向けた動きが活発になっている。サードパーティ／サプライチェーンのセキュリティ・リスクの脅威も年々高まっている。
日本はそうした新たなデジタル・トレンドや規制において必ずしも先進的とは言えず、日本の常識のみで判断することはビジネス上のリスクを高める。SRMリーダーは、デジタル、プライバシー、セキュリティなどの分野における法規制や関連ガイドを含め、国内外の主なトレンドを押さえるとともに、経営陣の認識を高め、関連部門も関与させながら取り組みを推進していく必要がある。
論点8：クラウドのリスクへの対応
マルチクラウドの利用が進み、セキュリティの構成を漏れなく評価し対応することが難しくなっています。また、利用する部門によってセキュリティ意識やルール、スキルにばらつきがあります。
クラウド・ネイティブ・アプリケーションの増加や、マルチクラウド環境に対応したセキュリティとして、クラウド・ネイティブ・アプリケーション保護プラットフォーム (CNAPP)、クラウド・セキュリティ・ポスチャ・マネジメント (CSPM)、SaaSセキュリティ・ポスチャ・マネジメント (SSPM) などの評価、導入も含め、より合理的でセキュアな運用を目指すべきである。
また、部門横断的なチームの結成や事業部門側における運用プロセス等も合わせて検討する必要がある。
論点9：データ・アナリティクスのリスクへの対応
セキュリティ・チームと事業部門との分断や、事業部門側のセキュリティやプライバシーに対する認識不足などにより、セキュリティに関する議論が十分に尽くされないまま、大規模なデータ・アナリティクス・プロジェクトが進んでしまうことがある。
SRMリーダーは、セキュリティの議論の機会を逃すことなく、プロジェクトにおけるセキュリティの確実な取り組みについて事業部門と共に推進すべきである。また、個人情報を扱う場合、セキュリティのみではなくプライバシーへの配慮の取り組みが不可欠となるため、責任ある企業としてプライバシーに取り組む姿勢を明確にし、関係者の責任と役割を明確にすることが求められる。
論点10：AIのリスクへの対応
生成AIを巡るセキュリティの側面の主な議論には、生成AIを従業員が利用する場合の対応、自社用の生成AIを構築する場合の対応、生成AIをセキュリティ・オペレーションに利用する場合の対応、生成AIを使った攻撃への対応、の4つが挙げられる。
［i Magazine・IS magazine］
