CISOが2022年に安全なオートメーションを優先しサイバーセキュリティを強化

2022年は、組織がオフィスベース、決まった勤務時間、仕事の量と価値の測定という長年の伝統をついに手放す年になるでしょう。これらの変化をより良い方向で定着させるにつれ、急いで導入された働き方の調整が洗練され、組み込まれます。組織は、デジタルで実現される協働とデータ共有ツールを通じて、従業員エンゲージメントと生産性をエンパワーする柔軟な「どこからでも仕事」文化を確立・育成しようとします。ビジネスの命綱であるデータは、これまで以上に分散し、モバイル化し、アクセス可能になり、この環境を守るセキュリティチームに莫大な影響を与えます。一方、持続的なサイバーセキュリティ人材不足が、限られたリソースでデータ管理と侵害軽減の戦略的優先順位を設定しなければならないC-suite幹部の意思決定プロセスに影響を与えます。今年はどう展開すると予想されるか？

脅威ランドスケープ：多様化する脅威と複数の攻撃ベクトルには階層的セキュリティ対応が必要

新しいビジネスエコシステムは、データと運営に対するより多様で、持続的で、破壊的な脅威の背景で出現しています。これらの脅威は組織のあらゆる層を標的とします——ソフトウェアシステムとインフラから従業員とサプライチェーンまで。

十分なリソースを持った機会主義的な敵対者が、新たに分散した企業を利用し、ビジネスメール詐欺、ランサムウェア・アズ・ア・サービス、サプライチェーンに起因する洗練された多段階攻撃など、あらゆる戦線でキャンペーンを強化しています。サイバー犯罪との協調的な国際的取り組みと、これらの行為を犯す当事者への責任追及が行われるまで、これらの収益性の高い攻撃タイプが頻度と深刻さの両面でエスカレートし続けると予想されます。

この多様性と頻度の脅威に対処するには、ビジネス全体とその先でデータを追跡・保護する階層的アプローチが必要です。サプライチェーン脅威とサードパーティリスクが、サプライヤー脆弱性への暴露規模が明確になるにつれ、優先順位リストで上昇しています。

リモートワークの観点では、セキュリティスタックに潜在的に不要なツールを追加するのではなく、優れたセキュリティ基礎により重点が置かれることを期待します。強力なアイデンティティ管理（MFA等）、パッチ管理、ログ記録、適切なサイズの権限がより多く対処されるでしょう。

内部リスク：戦略的セキュリティプロジェクトのバックログ残存と人材不足

外部脅威だけが問題ではありません。過去18ヶ月の混乱で、多くの組織がリモートワークの要請が必須になったとき、戦略的セキュリティ態勢が曲線の後ろにあったことを認識しました。例えば、2020年夏に実施された調査では、セキュリティ部門が指摘した最大の脅威は、安全なリモートワーカーアクセスを実現するための多要素認証の実装不能でした——これはすでに導入済みであるべきものでした。しかし、ほぼ完全にリモートな労働力の即時的要求でリソースが限界まで伸ばされたため、多くの組織が戦略的セキュリティプロジェクトをバックバーナーに置くことを余儀なくされました。

今、それらを緊急に取り戻そうとする中、セキュリティチームは業界全体の人材不足にも直面しています。2021年（ISC）2サイバーセキュリティワークフォーススタディの最新データでは、追加で70万人の専門家がサイバーセキュリティ分野に加わったものの、組織を適切に防御するために必要な追加専門家数と現在利用可能な数のギャップは270万に達しています。これは利用可能な人々と必要な数量の間に明らかに巨大な溝があります。

量だけの問題ではありません。業界がこれほど速く動いているため、チームが必要とする正確なスキルを正確に定義することがしばしば困難です。さらに、パンデミックのストレスが全業界の従業員に仕事との関係を見直すきっかけを与え、サイバーセキュリティ分野も例外ではなく、早期退職、パートタイム雇用、全く別の道を選ぶ人々が出ています。

C-suiteリーダーにとってこれは棘のある問題です。限られたリソースで、チームに受け入れがたいプレッシャーをかけずに戦略的セキュリティ目標を達成するにはどうすればよいか？

オートメートして加速する

答えは二本立てです。第一に、オートメーションが合言葉かつ高優先度となり、新しい形のビジネスが効果的かつ安全に機能するための必須の地ならしとなります。セキュリティミックスにオートメーションを導入することで、ビジネスは熟練従業員から反復的で単調なタスクの負担を取り除き、代わりに彼らがより興味深い、より高価値な領域で才能を発揮できるようにします。

これは従業員定着にも役立ち、退屈や過剰なアラート量から生じるヒューマンエラーを排除するはずです。オートメーションは生産性を向上させ、サイバー敵対者との戦いにおける重要な投資となります。Security Orchestration Automation and Response（SOAR）ツールが次のレベルの効率とインテリジェントな適用に達することも見込まれます。これに速く動く組織は、希少リソースを採用せずにプロジェクトを加速できるため、より強い競争力のある立場に立てます。

サイバースキルの長期的視点

第二のドライバーは長期的でなければなりません。針は正しい方向にゆっくり動いています。（ISC）2が過去1年で70万人が職業に加わったと報告していますが、まだ270万の席を埋めるには、セキュリティ専門家のパイプライン構築におけるステップチェンジが必要です。サイバーセキュリティへの専用高等教育ルートは稀で、コンピュータサイエンス卒業生のプールは浅く、高い需要があります。より多様な分野からスペシャリストを採用し、自前の人材パイプラインを育成する創造性が必要です。英国のNational Cyber Security Centreは現在、より多様な人材プールの採用、若者へのサイバーセキュリティ概念とダイナミクスの導入を目的とした一連の活動を行っており、これは私たち全員が検討すべきことです。この一環として、サイバーセキュリティキャリアが提供するメリット、安定性、仕事の満足度、進歩の機会を促進する必要があります——これは高需要分野であり、近い将来変わることはないでしょう。

組織は定着についても考える必要があります。リモートワークの台頭でよりグローバルな市場が開かれ、高パフォーマーが地元エリアを超えて見ることができるようになりました。したがって、急速に進化する業界に追いつくだけでなく、挑戦的でやりがいのあるキャリアを提供するためにも、トレーニングと開発への重点は優先事項でなければなりません。

ボットに最適なタスクを自動化し、人間の才能がそのスキルと独創性で評価される適切な環境を作ることで、超接続・データ駆動型の新しいビジネスを守り防御する次世代サイバーセキュリティ人材の構築と育成に貢献できます。

2022年もサイバー分野で忙しい年になるでしょう。私たちが目の前の即時の脅威に対応することに焦点しがちなのはビジネスの性質ですが、業界の同僚全員に、長期的視点と、いかにこのユニークで不可欠なセクターにより多くの人材を引き込めるかに少し時間を割くことを強く勧めます。