危機下の迅速なデジタル変革で「セキュリティ・バイ・デザイン」が不可欠な理由

「計画しないことは、失敗することを計画することだ。」 — 現代のことわざ

COVID-19パンデミックがヘッドラインを独占する中、テクノロジー採用への持続的影響を検証する声は少ないです。この危機は、産業機械、HVACシステム、サプライチェーンをカバーするオートメーションとリモート資産管理への持続的シフト、そしてヘルスケアにおけるバーチャルケアとテレヘルスの台頭を確実にするでしょう。

3月初旬、WHOがCOVID-19をパンデミックと宣言すると、企業はコアプロセスの再考を始めました。最も顕著な変化は、SlackやMicrosoft Teamsなどのコラボレーションツールの使用が劇的に増加したことです、とGrey HeronのマネージングディレクターChris Kocher氏は語ります。テレビ会議とテレヘルスプラットフォーム（Teladocなど）も急速な採用を見せています。

IoT Worldは北米最大のIoTイベントで、ストラテジスト、テクノロジスト、実装者が集まり、IoT、AI、5G、エッジを産業垂直分野で実践します。今すぐチケットを予約。

多くの組織で、産業制御システム（ICS）へのリモートアクセスが、以前の減少傾向から一転して急増しています。Shodanデータによれば、米国ベースのIoTデバイス約50,000台がオンラインフットプリントを露出しており、過去のセキュリティ懸念にもかかわらずRemote Desktop Protocolの使用が増加しています。

「スタッフが現場で機械を検査できたときは、基本的なリモート監視で十分だった」と、One TechのCEO Yasser Khan氏は語ります。「今日はスケルトンクルーで、プラントマネージャーは設備健全性へのより深いリアルタイム洞察を求めています。オートメーションはもはやオプションではありません。」

災害復旧戦略も進化しています。AppnomicのCEO Nitin Kumar氏は、パンデミックがシステムキャパシティを遮断すると、従来の「手動モード」対応では不十分だと説明します。「より多くの人ではなく、より多くのオートメーションが必要だ」と彼は指摘し、オートメーションに投資する組織が継続性計画を強化すると示唆します。

Bruce Schneier氏は2016年に「人的介入はますます不要になりつつある」「インターネットは今や感知し、思考し、行動する」と有名に警告しました。オートメーションが広がるにつれ、グローバルに接続された半自動化IoTエコシステムのセキュリティインプリケーションはより複雑になります。

Linux Foundationの戦略プログラム担当シニアディレクターKate Stewart氏は「システムが複雑になればなるほど、問題が起きる可能性が増える」と警告します。「潜在的失敗を理解し、害を軽減し、ソフトウェア信頼性を高める必要があります。」

セキュア・バイ・デザイン

危機が急速な変化を強いるとき、セキュア・バイ・デザイン原則が後回しになりがちです。VerizonのJohn Loveland氏は「みんなが急いでいるとき、セキュア・バイ・デザインを貫くのは困難だ」と警告し、新技術やプロセスに関するあらゆる意思決定にセキュリティチームを組み込むよう促します。

Industrial Internet Consortiumのソフトウェア信頼性タスクグループ共同議長Bob Martin氏は助言します：「ステークホルダー（ビジネスリーダーとオペレーター）を、最初からセキュリティ議論に参加させよ。」

ULのセキュリティとテクノロジーディレクターAndrew Jamieson氏は、セキュリティを基盤にすべきだと強調します：「正しい基盤を築けば、再構築は不要。そうでなければ、防げたはずのことを修正するために多くの時間を費やすことになる。」

独立セキュリティコンサルタントFrank Hißen氏は「セキュリティ・バイ・デザインは、リモートワークとオートメーションへの急速なシフト中、優先順位リストのトップに来ることは稀だ」と指摘し、セキュアな技術を迅速に適用してギャップを避ける必要性を強調します。

セキュア・バイ・デザインは複数のハードウェアとソフトウェアコンポーネントを含むため、統合は複雑になり得ます。One TechのソリューションエンジニアリングディレクターChris Catterton氏は「『パズルのピース』を売るベンダーが、しばしば堅牢なセキュリティ対策を欠いている」と警告します。IoT導入でのリモートアクセス拡大には、VPN経由でアクセスされるクラウドまたはオンプレミスシステムから、エンドツーエンドのセキュリティが求められます。

セキュリティバランスの発見と再発見

製品とプロセスにセキュリティを組み込むことは不可欠ですが、どの設計も将来のあらゆる脅威を予見できるわけではありません。「今日下した決定が永遠に有効であり続けることはない」とJamieson氏は語ります。

機能追加とセキュリティ維持の間には緊張関係があります。Stewart氏は、多くのコンシューマーアプリがクラッシュを許容する一方、クリティカルアプリケーションで使われるオープンソースソフトウェアは信頼性が不可欠だと観察します。失敗は人を傷つける可能性があるからです。

セキュリティは究極的にレジリエンスとアジリティに依存します。Jamieson氏は、レジリエンスのみのための構築は、新たな脆弱性が出現したときに不十分だと主張します。「パッチ適用、アップデート、リファクタリングを迅速に行うアジリティが必要だ。」

最初からセキュリティを組み込むことは、レジリエンスとアジリティも包含しなければなりません。「セキュリティなしで設計すれば、失敗のために設計することになる」と彼は結論づけます。