ボーダレスデータでグローバルサプライチェーンを保護

サプライチェーンのサイバーセキュリティ攻撃は目新しいものではありませんが、制御できるとは言えません。

Resilience 360​​の最近の調査によると、2019年にサプライチェーンエンティティに影響を与えるサイバーセキュリティインシデントは300件近くありました。500を超えるサードパーティとデータを共有する平均的なビジネスでは、Ponemon Instituteが米国企業の約61％を報告しているのも不思議ではありません。サプライチェーン内でデータ侵害が発生しました。

地政学的な緊張がこれらの攻撃の広い範囲を駆り立てましたが、COVID-19が世界の労働力の大部分をリモートワークに移すことを余儀なくされたため、2020年は絶好の機会の嵐に道を譲りました。政府から企業までの組織は、処理および共有するデータを保護する責任を負わなければなりません。イノベーションと生産性を維持するために非常に重要なコラボレーションでは、アイデアや情報の流れを阻害したり、システムやプロセスを機能させたりすることなく、これを実行する必要があります。

今年の第1四半期にCOVID-19が米国を襲ったとき、組織は従業員をほぼ一晩でリモートワークに移すことで対応しました。 2020年6月の時点で、アメリカ人労働者の信じられないほどの42％が、自宅から離れた場所でビジネスを行っていて、オフィスを移動していました。高度なモバイルワーカーと、ますます複雑になり、グローバルに分散するサプライヤエコシステムにより、知的財産や機密情報または機密情報への脅威が強まっています。

プロジェクトチームは、モバイルプラットフォームとクラウドプラットフォームを毎日使用してデータを共有および保存し、許可されていないユーザーによるアクセスにデータをさらす可能性があります。また、盗難や紛失が発生しやすいスマートフォン、リムーバブルハードドライブ、USBストレージデバイスで組織外に物理的に持ち運ばれています。この文脈の中で、データは常に企業や国の境界を越えています。防御すべき明確な境界はもはやありません。

意図的なハッキングは今では当たり前のことですが、セキュリティに対する最大の脅威の1つは、移動中のデータの盗難、紛失、悪用です。 2018年のApricornの調査によると、調査対象の組織の29％が、モバイル作業の直接の結果としてデータ侵害に見舞われていました。 2020年に実施された同じ調査によると、回答者の半数以上が、リモートワーカーが組織をデータ侵害のリスクにさらすと依然として信じています。

さらに、Digital Guardianの最近の調査によると、COVID-19がヒットして以来、従業員がUSBメディアにダウンロードするデータの量が123％増加しており、チームがリムーバブルストレージを使用して大量のデータを持ち帰っていることを示唆しています。これらのデバイスが暗号化されていない限り、リモートワーカーの脆弱性に関連するデータ侵害が急増するのは時間の問題です。

データ中心のポリシーベースのセキュリティアプローチにより、移動中と保存中の両方で、組織の中央システムの内外で情報自体を保護し、安全な通信を実現します。その答えは、人、プロセス、テクノロジーを組み合わせた多層的なアプローチにあります。

内部から開始します。 セキュリティはテクノロジーソリューションだけではありません。セキュリティ意識向上トレーニングとエンゲージメントプログラムは、パートナーと請負業者のチームにまで拡張する必要があります。ここでの目標は、すべての従業員にデータに関連する価値とリスクを認識させ、データを保護する上での役割を定義および強化することです。

さらに、データセキュリティのベストプラクティスを導入し、それらの実施を管理します。データとのやり取りやデータの保護方法に関するプラクティスとポリシーを作成することで、組織にメリットをもたらすことができます。チームとサプライチェーンのベストプラクティスを概説して実施することで、説明責任の文化を構築するのに役立ちます。

ライフサイクルの観点からデータを考えてください。 データを操作および保護するためのベストプラクティスを作成したら、組織は以下をカバーする包括的な監査を実施する必要があります。

• どのような種類のデータをどのような目的で保持するか;
• そのデータにアクセスできるのは誰か;
• データフローはどこにありますか
• 現在どのように管理されているか。

これにより、コンプライアンス違反の領域を特定し、データが保護されていない可能性のある場所を特定し、リスクにさらされる可能性を最小限に抑えることができるテクノロジー、ポリシー、およびプロセスを特定しやすくなります。

セキュリティを強化します。 機密データの処理方法と使用方法を制御し、パートナーや請負業者を含むすべてのエンドポイントに拡張されるポリシーの文書化と実施を含む戦略を設定します。暗号化は戦略の重要な要素でなければなりません。リムーバブルメディアデバイスが悪用された場合、暗号化された情報は、アクセスしようとする人には理解できなくなります。

特にリモートワークの「ニューノーマル」では、IT部門が企業標準の暗号化されたモバイルストレージデバイスを調査、特定、義務付け、ホワイトリストポリシーを通じてその使用を強制することが不可欠です。デバイスは、セキュリティ要件に準拠するように事前構成可能である必要があります。 、パスワードの強度など。

また、サプライチェーンについて話しているので、要件はサードパーティの契約に書き込む必要があります。たとえば、使用する必要のあるツールとテクノロジー、およびそれらをいつ更新するかを設定します。組織はさらに積極的なアプローチを取り、これらの要件を提案依頼書（RFP）プロセスに設定して、サードパーティが選択される前に期待が設定されるようにする場合があります。

測定、監視、報告。 ITチームとセキュリティチームにとって、「測定できないものは管理できない」ということわざは特に適切です。組織内およびサプライチェーン全体の両方で継続的なコンプライアンスの監査により、ポリシー違反の迅速な可視性が提供されるため、トレーニングまたは懲戒手続きを通じてそれらに対処できます。監視により、組織がコンプライアンスの立場を示すことができる詳細な監査証跡と、コンプライアンスに準拠していないユーザーの行動の正確な記録も提供されます。

技術的手段と組織的手段を組み合わせることで、サプライチェーンにおけるリスクの危険性を減らすと同時に、自宅で仕事を続ける際の情報の安全な交換と移動を可能にすることができます。データを適切に管理する企業は、効率、俊敏性、または競争力を損なうことなく、機密性、国家安全保障、および自社の評判を保護できます。

拡大し続けるサプライチェーンは、私たちの働き方と場所の劇的な変化と相まって、組織が継続的にサードパーティのセキュリティに焦点を当てる必要があることを意味します。従業員の意識とトレーニングに重点を置いて、途中で監査と測定を行う戦略的なデータセキュリティ計画を作成することで、物理的な境界をなくしてもサプライチェーンを保護できます。

ジョンフィールディングはのマネージングディレクターです。 アプリコーン 、ハードウェアで暗号化されたUSBデータストレージデバイスのメーカー。