セキュアなモビリティ：全デバイスへの自動化とセキュリティ統合

ソフトウェアのアップグレードとパッチ適用を怠れば、システム管理者に侵害の責任を帰属させるには十分です。したがって、スマートウォッチに至るまで、すべてのデバイスを慎重に、一貫して、定期的に管理することが不可欠です。

あなたはこの記事をどこで、あるいはより正確には、どのデバイスで読んでいますか？

おそらく、あなたが所有する複数のデバイスのいずれかで、それらすべてについて責任を持っています。一部は個人所有、一部は勤務先企業所有、稀にサードパーティ所有かもしれません。

BYOD（私物端末業務利用）ポリシーにより、個人デバイスを職場に持ち込み、そこからマルウェアをネットワークにアップロードするリスクをもたらします。同様に、COPE（企業所有個人利用可）ポリシーで企業所有デバイスを自宅で使用すれば、これらのデバイスが非セキュアまたは侵害されたネットワークに晒されます。スマホ、タブレット、ノートPC、デスクトップがあり、後者を除いてほぼどこでも使用できます。

>関連記事: 接続デバイス時代のエンタープライズセキュリティ

これは、異なるOS、異なるアップデートレベルで動作する数百の異なるデバイスを協調的に管理する必要があることを意味します。すべてのPCのファイアウォールを更新するのに数時間費やしても、マルウェアが従業員の個人スマホから侵入すれば意味がありません。ネットワーク管理者にとってこれは途方もない頭痛の種であり、ネットワークが大きければ大きいほど頭痛も大きくなります。

Cスイートがデジタルインフラの状態に関心を持つプレッシャーも高まっています。WannaCryのような広く報じられたランサムウェアとワーム攻撃の急増がセキュリティへの重点を置かせ、GDPRのような今後の規制が企業データへのより厳格な管理をインセンティブ化しています。組織へのすべてのエントリーポイントがカバーされていることを保証するには、IT管理者が管理対象ネットワークへの明確な可視性を持ち、シャドーITを排除しなければなりません。今日の多くの企業の規模と複雑さを鑑みれば、目的に適したシステムとテクノロジーを持つことを意味します。

あなたが勤める会社がIT管理者として100名の従業員を持ち、各人が業務用スマホとノートPCを受け取っていると仮定しましょう。ほとんどの場合、彼らは個人スマホも常に職場に持ち込み、ネットワークに接続するかもしれません。中には自分のノートPCを持ち込む人もいるでしょう（別のOSを好む場合）。

>関連記事: モバイルデバイスがIT部門を妨げ、企業にコストを与える

これは、いつでも300台以上のデバイスがネットワークで稼働または接続されている可能性があり、未パッチならそれぞれがサイバー犯罪者への開いた扉になり得ます。パッチ問題とテクノロジー更新は個人デバイスでは比較的簡単ですが、ネットワークに追加されるデバイスが増えるにつれ、ますます困難になります。

この問題は、サードパーティプログラムの更新とパッチ適用の必要性によってさらに複雑化します。これらは実際、ゼロデイ攻撃や他の脆弱性エクスプロイトの主要な侵入ポイントです。メインOSが最新でも、Adobe Readerのようなプログラムの更新を怠れば、デバイス、ひいてはネットワーク全体が侵入に対して開かれたままになります。理想的には、IT管理者はネットワークに接続されているどのデバイスに、何のソフトウェアの、どのバージョンがインストールされているかを把握できるべきです。

なぜこれがこれほど重要になったのか？ 理由のいくつかを挙げます。

デバイスの更なる増加

今後5年間で現在の技術トレンドが突然変わらない限り（理由はありません）、世界は仮想的な糸球のような接続性に向かいます。まず、VRデバイスが接続ミックスに徐々に追加され、追加のOSが管理と相互接続を必要とします。外出先での作業が普及するにつれ、デバイスはこれまで以上に多くのネットワークと相互作用し、より定期的なメンテナンスが必要になります。Internet of Things（IoT）は単なるバズワードではなく、究極の到達点です。

時間は金なり

これまで以上に「時間は金なり」という格言が真実であることを証明しています。特にセキュリティにおいて：Ponemon Instituteの研究によると、金融サービス企業がネットワーク侵入を検知するのに平均98日、小売業で197日かかります。しかしGDPRが2018年5月に発効すれば、企業は侵害報告にわずか72時間しか猶予がありません。

>関連記事: 現代の労働力向けBYOD管理の3つの方法

ネットワーク上の異常活動を特定するのに3日しかなく、VeritasのDataberg Report 2015によると、英国組織が保存・処理するデータの59%が不可視で、猫動画からアダルトコンテンツまであらゆるものを含み得るため、コンプライアンス違反リスクが高いです。

このパニックシナリオを回避するには、エンドポイントへの可視性が不可欠です。特にほとんどの企業が特に大規模なIT部門を持たないため。ITマネージャーは、脅威に晒される前に、脆弱なエンドポイントを迅速に特定、評価、必要ならネットワークから排除しなければなりません。一度侵害が発生すれば、拡散を食い止めるしかなく、再び可視性と一元管理が不可欠になります。

データの重要性増大

プライバシーを巡る議論の高まりが、データの明確な責任と所有権を決定するための協調的なグローバルな取り組みを生みました。これらの問題はGDPRの導入により二重に重要になります。GDPRは、違反に対し法外な懲罰的ペナルティを科すことを保証しています。違反が数百万ポンドのコストや極めて厳しい制裁をもたらすため、小規模プレイヤーはデータ管理とセキュリティを軽視する余裕がありません。

ソフトウェアのアップグレードとパッチ適用を怠れば、システム管理者に侵害の責任を帰属させるには十分です。したがって、スマートウォッチに至るまで、すべてのデバイスを慎重に、一貫して、定期的に管理することが不可欠です。

これはヨーロッパで活動する企業（認めざるを得ませんが、ヨーロッパのすべての企業と多数の国際企業）だけの話ではありません。ポスト・ブレグジットの英国を含め、多くの国がデータ対応の独自の規制枠組みを持つため、コンプライアンスプロセスはさらに複雑になります。

>関連記事: NHSの未来：新技術とそれを支えるネットワーク

5月のグローバルサイバー攻撃

WannaCryワーム攻撃が何か良いことをしたとすれば、NHSやその他への相当な損害を代償に、システムを最新に保つ重要性を浮き彫りにしたことです。

攻撃の数週間前にパッチは利用可能だったため、マイクロソフトのシステム更新勧告に従った企業はランサムウェアを免れました。被害を受けたと思われるのは、サイバーセキュリティ専門家の助言に反してデジタル変革に積極的に抵抗し、レガシーインフラを更新しなかった企業だけです。

セキュリティベンダーが常に誇張しているわけではないと経営陣を説得するのは難しいかもしれませんが、WannaCryランサムウェアは、セキュリティ専門家が声に出しにくかったことを増幅する素晴らしい仕事をしました。NSAとマイクロソフトがこの脆弱性を長期間未パッチのままにした責任の一端を負うことはあっても、週末の出来事の全責任を負うことはできません。その大部分は、影響を受けた人々の足元にあります。

>関連記事: スマートテクノロジーがオフィス環境に与える影響の3つの方法

上記リストは決して網羅的ではありません。自動化は魔法の弾ではありませんが、効率向上だけでなくセキュリティ改善にも大いに役立ちます。これらのプロセスは、大量デバイス管理、適切なリソース配分、ますます複雑化する「グローバル」な規制システムへのコンプライアンス、脆弱性エクスプロイトからのビジネス保護を支援します。モビリティの時代、相互接続がバズワードである中、追加のエンドポイントが常にネットワーク間および内部に追加されています。人間がこれらのシステムを自力で管理できるポイントはとっくに超えています。幸い、今や24時間365日、それをやってくれるデジタルパートナーがいます。

 

提供：ショーン・ハーバート LISM、カントリーマネージャー——UK、Baramundi

 

英国最大のテックリーダーシップ会議、TechLeaders Summitが9月14日に開催。40名以上のトップエグゼクティブが登壇し、企業が直面する最も破壊的なイノベーションの課題と機会を議論します。ここで登録して名誉あるサミットの席を確保してください