経営幹部陣のサイバーリスク管理

Ivantiでは、世界各国で3000人を超える ITとセキュリティの専門家、企業リーダーを対象にした調査を行い、サイバーセキュリティ脅威の増大に向けて起業がいかに対応しているか調査しています。 このレポートでは、CISO がリスクをいかに指揮系統の上位に伝えているかを調査しています。次の内容が含まれます。

• 能力と運のめぐりあわせによって重大な攻撃をまだ受けていない場合でも、企業が直面しているリスクの重大さを伝える
• 複雑なリスク管理の概念をCEOと取締役会に伝える
• 単なる技術的リーダーの役割から戦略的なインフルエンサーへと進化し、セキュリティポリシーの開発や実装と同様に、重要なビジネス決定への影響力を持てるようにする

Ivantiの調査研究と方法論の詳細は、最終セクションをご覧ください。

現在の問題

IT・セキュリティ専門家の過半数以上（55%）は、IT以外のリーダーがいまだ脆弱性管理について正しく理解していない、とみなしています。企業リーダーは、この評価に同意を示しています。IT以外のリーダーにおける47%が、この概念についてよく把握していないことを自認しています。

共通脆弱性識別子 （CVE）数の急増からも、優先順位付けにおける規律がますます重要になっています。

これが重要な理由とは？

脆弱性管理は、今日におけるサイバーセキュリティ戦略の根幹をなす原則です。 ここでは「管理」というタームが強調されています。 いかなるセキュリティチームであっても、侵入不可能な要塞を築くことはできません。 代わりに、尽力やリソースに優先順位を付け、最善の結果が論理的に期待できる領域に注目しなければなりません。

企業のリーダーがこれを見誤った場合には、CISO の有効性やセキュリティチームの価値表かに対する誤解を招きうります。 たとえば、IT以外のリーダーは、脅威が迅速に封じ込められて無力化されたとして、成功を収めたサイバー攻撃を失敗と見なしてしまうかもしれません。

同様に、脆弱性管理を十分に理解していない IT以外のリーダーは、セキュリティの最終ゴールを効果的なパッチの優先順位付けではなく、100% のパッチコンプライアンスだとしてしまうかもしれません。4人に1人を超える割合のIT専門家は、リーダーにおける優先順位が変更されることによって、パッチ管理が損なわれる、と回答されています。

企業幹部陣は、セキュリティ対策にまつわる対話の方向性を設定しなければなりません

ロバート・グラッツィオーリ
Ivanti 最高情報責任者

定期的に大規模セキュリティイベントがニュースに上るなか、CISO はサイバー攻撃に伴う深刻な広報や評判上のリスクを経営陣に説き伏せるために奔走する必要はありません。 これらの認識を CISO ビジョンに対する長期的で戦略的な賛同 (そして相応の予算) に変えることが、今日におけるCISO のもっとも重要な課題だといえるでしょう。 サポートを得ることによって、CISO は強力なセキュリティを支える効果的なシステム 構築に取り組むことが可能になります。すなわち、データサイロの打開、プロセスの整合、強力なコミュニケーション ラインの確保に取り組み、企業全域における点と点を結び付けながら脆弱性を明らかにし、修正していくことが可能になります。

CISO の役割を洗い直し、次世代のセキュリティリーダーを育成する

スリニバス・ムッカマラ博士
Ivanti 最高製品責任者

CISOの役割は、戦術的なセキュリティリーダーから戦略的なビジネスパートナーへと変化を遂げています。今日のビジネス環境におけるセキュリティリーダーは、リスク管理のゴールとコンプライアンス方針、社員エクスペリエンスとビジネスゴール間の調整を課題としています。そして、これら優先事項が抵触した際に難しい状況に直面することになります。優れたCISOは、自身の決定がビジネス全体にどのような影響を与えるかを見据え、そのビジョンに即して行動します。

実際には、あらゆる企業がこのよううな水準のサイバーセキュリティ成熟度に達しているわけでも、才能あるリーダーによって統率されているわけでもありません。十分な資格を有し、十分なトレーニング経験のあるバランス感覚にすぐれたCISO候補者の数は足りていません。このようなセキュリティリーダーを育成するには、優秀なサイバーセキュリティ・IT専門家によって、技術的なスキル、リーダーシップ、そしてビジネスアキュメンを養うパスが築かれねばならないでしょう。

「脆弱性管理」を使用してサイバーセキュリティの原則を定着させる

スターリング・パーカー
Ivanti グローバルテクニカルサポート担当上級副社長

脆弱性管理は、今日のサイバーセキュリティ戦略における原則の根幹を成し、サイバーセキュリティを広く普及させるうえでのまたとない教育ツールとなります。 今日の CISO は、さまざまな経営幹部陣水準にレベルアップさせて脅威と脆弱性を話し合うという課題に対峙しています。 さらには、現在そして潜在的な脅威がビジネスや顧客に与える影響を正確に描写できなくてはなりません。 また、サイバーセキュリティにおけるニーズと CIO のニーズ (ソリューションの可用性など) 間の調整も要されています。 脆弱性管理はトレードオフに関わってきます。シニアリーダーに向けて脆弱性管理を説くことで、サイバーセキュリティにおける好機と限界、そこから派生する戦略的決定に向けた対話を開始することができるでしょう。

IT 部門ではない幹部のセキュリティモデル理解を促すフレームワークとして、CIA トライアドも考慮できます。CIAは、機密性、完全性、可用性で構成されています。

• 機密性 によって、使用を許可されたユーザーのみが機密情報にアクセスできるようになります。
• 完全性は、企業がデータのライフサイクル全体を通じてその正確性、一貫性、信頼性を維持することを指します。
• そして可用性によって、ユーザーのニーズに応じ、直ちにデータとリソースにアクセスできるようになります。

CIA トライアドは、サイバーセキュリティの根幹を成す好機と脅威に対する理解獲得を使命とするCISO に向けて、バランスのとれた総合的なセキュリティアプローチを提供します。CIA は、セキュリティビジョンや、インシデント対応方針、実行戦略に対する周囲の理解ならびに賛同を得るためのすぐれたサポートとなるでしょう。

セキュリティ イベントがその他のビジネス機能に及ぼす影響を定量化する

スターリング・パーカー
Ivanti グローバルテクニカルサポート担当上級副社長

最終的に、CISO の役割とは ビジネスを可能にすることにあります。 このゴールに向けて、CISO が他のビジネス機能ならびにステークホルダーと連帯し、セキュリティイベントが企業の他領域に及ぼしうる影響を把握しなければなりません。

企業のステークホルダーと連携することで、企業の評判、顧客満足度、従業員のエンゲージメント、生産性などを考慮するCISO が、セキュリティ インシデントのビジネス全域へのインパクトを測定する指標とツールを定義し、追跡できるようになります。 このような影響測定には、より長期的な視野も要されます。たとえば、苦情、訴訟、メディア報道、あるいは顧客離れの正式な件数といった指標も測定、管理されなければなりません。

セキュリティ チーム、ならびにより広範なリーダーシップチームの双方において、盲点のない十分な情報に基づいた意思決定を促進することがねらいとされています。