サイバーセキュリティをシンプルに：製造業者は「ゴールから逆算」で始めよ

サイバーセキュリティは、どの業界垂直に適用しても複雑なトピックです。この複雑さを減らすには、ビジネスの文脈でサイバーセキュリティをフレーミングすることが有効です。製造業者には、馴染みのある概念が使えます：「ゴールから逆算して始める」。

では、サイバーセキュリティにおける「ゴール」とは何か？インシデント対応です。サイバーセキュリティソリューション、ベンダー、マネージドサービスのめまぐるしい状況は、通常サイバーセキュリティインシデントの「予防」を中心に回っています。「予防は治療に勝る」ですが、サイバーセキュリティは根本的にリスク管理プロセスであり、最近のヘッドラインをざっと見れば、完全な予防は不可能だと分かります。実際、エリートサイバーセキュリティ運営と巨額予算を持つ世界最大級の企業でさえ、「強固な防御にもかかわらず、すでに侵害されている」との前提で始めています。

これは国際的コングロマリットには妥当な前提ですが、中小製造業者にも妥当でしょうか？絶対にそうです。 第13回ベライゾンデータ侵害調査レポート（年間で最も権威があり期待されるレポートの一つ）は、16業界垂直、80以上の研究貢献者から収集された15万件以上のサイバーインシデントを分析し、製造業を含めています。レポートによると、製造業は組織的サイバー犯罪者と国家主導アクターの両方から一貫して標的とされる点でユニークです（通常はどちらか一方）。全体として、最速のインシデント検知・対応時間でさえ「日単位」で測定されます。2020年レポート掲載の侵害の25%は「月単位以上」で検知されています。

サイバーセキュリティインシデントは避けられませんが、適切な対応計画で影響を大幅に軽減できます。ランサムウェアは、企業の存亡を脅かす脅威にも、予期せぬダウンタイムを伴う単なる迷惑にもなり得ます。すべては、企業が「ゴールから逆算して」どれだけよく計画したかにかかっています。マネージドサービスプロバイダーはインシデントを検知できるかもしれませんが、対応できることは稀です。企業が法的トラブルに巻き込まれるのは、インシデントを経験したからではなく、インシデント対応の計画と実行における「合理的な措置」を講じなかったからです。まもなくDoDサプライヤーは、堅牢なインシデント対応要件を全体的セキュリティプログラムに統合しない限り、新規契約入札ができなくなります。DoDの主要サイバーセキュリティ調達規定12段落中、わずか1段落しか「適切なセキュリティ」に割かれていないのに対し、5段落がインシデント対応と報告に割かれていることは示唆的です。

サイバーリスク管理において「ゴールから逆算する」視点を欠くと、組織の終わりを招きかねません。CMTCは、大小問わず製造業者のサイバーセキュリティプログラム再構築を豊富な経験で支援しています。本記事で議論したトピック、2020年ベライゾンDBIR、あるいは単にサイバーセキュリティの複雑な世界を解明し理解するための支援について、お気軽にお問い合わせください。

米国製造業の復活：ポストCOVID成長戦略 COVID-19を乗り越える：製造業における進化する職場安全基準

産業技術