SolarWinds侵害事件が示す、サイバーセキュリティを取締役会レベルの優先事項にすべき理由

2020年12月のSolarWindsハックは、組織が堅牢なサイバーセキュリティポリシーを欠いている場合、ソフトウェアとシステムのサプライチェーンがいかに容易に侵害されるかを浮き彫りにしました。

CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の公式声明によると、高度持続的脅威（APT）アクターが2020年3月から米国政府機関、重要インフラ、民間セクターを標的にし始め、忍耐強さ、作戦上のセキュリティ、洗練された手口を示しました。CISAは、このアクターを侵害された環境から排除することは非常に複雑で困難になると警告しています。詳細な感染経路と緩和策については、こちらの声明に記載されています。

これらの詳細は、embedded.comとEE Timesからの洞察と一致し、IoTセキュリティの重要な役割と半導体業界のセキュリティ専門家の専門性を裏付けています。

政府がセキュリティに執着しながらも、適切な保護策を講じていないサードパーティシステムを通じて脆弱性を抱えていることは驚くべきことです。私はかつて英国政府の契約社員として、厳格なセキュリティトレーニングと意識向上が求められた経験があります。ノートパソコンを施錠された車内に放置しない、常に身につけるか視界内に置くなどの実践は、見落とされがちな人的要素を示しています。

最終的に、SolarWinds事件は根本的なポリシーの欠如を浮き彫りにしました。サイバーセキュリティはハードウェアとソフトウェアの設計者のみの責任とすべきか、それとも企業統治の最高レベルに組み込むべきか。

大手コーポレートファイナンスアドバイザーのWoodside Capital Partnersは、「CEO、取締役、ボードメンバー、プライベートエクイティファームのための7つの教訓」と題したレポートを発表しました。著者はマネージングディレクターのNishant Jadhav氏です。このレポートは、SolarWindsのサプライチェーン攻撃が、経営幹部と取締役会レベルでのより深いサイバーセキュリティ理解の緊急の必要性を示していると主張しています。高度持続的脅威が不可視で潜伏する時代において、評判と企業価値を守ることはこれまで以上に重要になっています。

レポートは、取締役会メンバーが自組織に堅牢なサイバー保証があることを平易な言葉で確認できる必要性を強調しています。以下が7つの教訓です：

教訓1：コンプライアンスファーストではなく、セキュリティファーストの考え方を採用せよ——トップダウンで

セキュリティファーストのアプローチとは、経営チームと取締役会が自社が直面する特定のリスク、および顧客とパートナーに対して生み出すリスクを理解することを意味します。コンプライアンスファーストの姿勢は、単に規制のチェックリストを満たし、固定的で短期的な安全網を提供するだけです。サイバー脅威は急速に進化するため、企業の脅威態勢に関する四半期ごとの取締役会承認が不可欠です。

教訓2：CISOを経営幹部チームの一員とせよ

効果的なCISOはITの枠を超え、顧客対応役割からの意図しないデータ漏洩や新技術導入に伴うリスクなど、あらゆる潜在的脅威ベクトルを考慮します。CISOを経営レベルで説明責任を持たせることで、組織はセキュリティ推奨事項が実装され、リスク曝露が継続的に測定されることを保証できます。

教訓3：継続的な保護と修復のためのKPIでCISOを評価せよ

侵害後にCISOを解任するのではなく、適切なセキュリティ予算の配分、組織全体でのサイバーセキュリティ意識の向上、SolarWindsのような外部脅威への対応モデリング能力に焦点を当てます。KPIは運用稼働率と、ビジネスが攻撃を緩和・復旧する能力の両方を反映すべきです。

教訓4：信頼できるパートナーがセキュリティを保証するわけではない

SolarWindsの事例は、どのパートナーもリスクから免疫ではないことを証明しています。新製品開発のためにエアギャップ環境を導入することで、信頼できるベンダーからの侵入リスクを低減できます。

教訓5：セキュリティ妥協を利益のてこにするな

Woodside Capitalは、「サイバーグレード」を評価指標として提案しています。これは技術投資、トレーニング、継続的な保護ポリシー、迅速な修復を反映します。サイバーグレードが高い企業は評価額も高くなります。プライベートエクイティファームは短期的収益性よりもサイバーグレードを優先すべきです。

教訓6：取締役会レベルでサイバー保険を見直せ

多くの保険はデータ侵害による財務損失をカバーしますが、サプライチェーン攻撃や国家支援型脅威を除外している場合があります。CISOは取締役会と連携し、これらのシナリオをカバーし、攻撃の長期的な余波にも対応できる保険を確保すべきです。

教訓7：継続的な評判保護

侵害はいつでも発生し、ビジネスパフォーマンスに影響を与えます。企業は継続的な投資、教育、透明性のある修復を通じて、サイバーセキュリティがコアの差別化要因であることを示す必要があります。サイバー保証を確立し、それを顧客とパートナーに伝えることで、企業は長期的に評判を守ることができます。

Woodside Capitalのレポートには、リスク管理からサイバー保険まで包括的なサイバー保証ソリューションを提供する成長段階の企業も掲載されています。全文はこちらからご覧いただけます。