グローバルサプライチェーンのセキュリティ確保：ボーダーレスデータを活用したサイバー防御

サプライチェーンへのサイバーセキュリティ攻撃は新しいものではありませんが、まだ制御下に置かれてはいません。

Resilience 360の最近の調査では、2019年にサプライチェーン関連事業体に影響を与えたサイバーセキュリティインシデントが約300件あったと報告されています。平均的なビジネスが500社以上のサードパーティとデータを共有していることを考えれば、Ponemon Instituteが米国企業の約61%がサプライチェーン内でデータ侵害を経験したと報告しているのも不思議ではありません。

地政学的緊張がそれら攻撃の広範なスワースを駆動しましたが、2020年は「パーフェクトストーム」をもたらしました。COVID-19がグローバル労働力の大部分をリモートワークへ移行させたからです。政府から企業まで、組織は自らが処理・共有するデータを保護する責任を負わなければなりません。コラボレーションがイノベーションと生産性の維持に不可欠である以上、アイデアと情報の流れを阻害したり、システムとプロセスを非実用的にしたりすることなく、これを実現しなければなりません。

COVID-19が本年初頭に米国を襲うと、組織はほぼ一夜にして従業員をリモートワークへ移行させました。2020年6月時点で、驚異的な42%の米国労働者が自宅からリモートで業務を行い、オフィスを移行していました。高度にモバイルな労働力と、ますます複雑かつグローバルに分散するサプライヤーエコシステムにより、知的財産と機密・センシティブ情報への脅威が増大しています。

プロジェクトチームはモバイルとクラウドプラットフォームを日常的に使用してデータを共有・保存し、潜在的に不正アクセスを許しています。データはスマートフォン、リムーバブルハードドライブ、USBストレージデバイスで物理的に組織外へ持ち出され、これらは盗難と紛失のリスクがあります。この文脈では、データは常に企業と国境の境界を越えています。もはや防御すべき明確な境界線は存在しません。

意図的なハッキングが今や常態化している一方で、最大の脅威の一つは、移動中のデータの盗難、紛失、誤用です。Apricornの2018年調査では、調査対象組織の29%がモバイルワーキングの直接の結果としてデータ侵害を被ったと報告しています。同じ調査の2020年実施では、回答者の半数以上が、リモートワーカーが組織をデータ侵害リスクに晒すと信じています。

さらに、Digital Guardianの最近の調査では、COVID-19襲来以来、従業員によるUSBメディアへのデータダウンロード量が123%増加したことが示されており、チームが大量のデータを持ち帰るためにリムーバブルストレージを使用していることがうかがえます。これらデバイスが暗号化されていない限り、リモートワーカーの脆弱性に関連したデータ侵害の急増は時間の問題です。

データ中心、ポリシーベースのセキュリティアプローチは、組織の中枢システムの内外、移動中と保存時の両方で情報自体を保護し、安全な通信を可能にします。答えは、人、プロセス、テクノロジーを組み合わせた多層的アプローチにあります。

内部から始める

セキュリティはテクノロジーソリューションだけではありません。セキュリティ意識向上トレーニングとエンゲージメントプログラムを、パートナーと契約業者のチームにも拡大する必要があります。ここでの目標は、全従業員にデータの価値とリスクを認識させ、データ保護における彼らの役割を定義し強化することです。

さらに、データセキュリティベストプラクティスを定め、それらの施行を管理します。チームとサプライチェーンのために、データとのやり取りと保護の方法に関するプラクティスとポリシーを策定・施行することで、組織にアドバンテージを与え、説明責任の文化を構築できます。

データをライフサイクルの観点で捉える

データの取り扱いと保護に関するベストプラクティスを策定したら、組織は以下をカバーする包括的な監査を実施すべきです：

• どの種類のデータを、何の目的で保持しているか；
• 誰がそのデータにアクセスできるか；
• データがどこに流れるか；
• 現在どう制御されているか。

これにより、コンプライアンス違反領域の特定、データが無防備な箇所のピンポイント化、リスクエクスポージャーを最小化できるテクノロジー、ポリシー、プロセスの特定が容易になります。

セキュリティを施行する

機密データの取り扱いと使用を制御するポリシーの文書化と施行を含む戦略を設定し、それらをパートナーと契約業者を含む全エンドポイントに拡張します。暗号化は戦略の重要な要素でなければなりません。リムーバブルメディアデバイスが間違った手に渡っても、暗号化された情報はアクセスを試みる誰にとっても理解不能になります。

特にリモートワークの「ニューノーマル」において、IT部門が企業標準の暗号化モバイルストレージデバイスを調査・特定・義務付け、ホワイトリストポリシーでその使用を強制することが不可欠です。デバイスは、パスワード強度などセキュリティ要件に準拠するようプリコンフィグ可能であるべきです。

サプライチェーンの文脈では、要件をサードパーティ契約に盛り込むべきです——例えば、使用必須のツールとテクノロジー、更新タイミングを定めます。組織はさらに積極的なアプローチを取り、これらの要件を提案依頼書（RFP）プロセスに組み込み、サードパーティ選定前に期待値を設定できます。

測定、監視、報告

ITとセキュリティチームにとって、「測定できないものは管理できない」という格言は特に的を射ています。組織内とサプライチェーン全体での継続的なコンプライアンス監査は、ポリシー違反の迅速な可視化を提供し、トレーニングや懲戒手続きで対処できるようにします。監視はまた、組織がコンプライアンス体制を証明し、非コンプライアンスなユーザー行動の正確な記録を残す詳細な監査証跡も提供します。

技術的・組織的措置の組み合わせにより、サプライチェーンのリスクエクスポージャーを低減しつつ、在宅勤務を継続する中で情報の安全な交換と移動性を確保できます。データを適切に管理するビジネスは、機密性、国家安全保障、自社の評判を、効率性、俊敏性、競争優位性を損なうことなく守れます。

拡大し続けるサプライチェーンと、働き方・場所の劇的な変化により、組織はサードパーティセキュリティに継続的に焦点を当てなければなりません。途中で監査と測定を行い、従業員の意識向上とトレーニングを重視した戦略的データセキュリティプランを策定することで、物理的境界の消失にもかかわらず、サプライチェーンを守ることができます。

Jon Fielding氏は、ハードウェア暗号化USBデータストレージデバイスメーカーApricornのマネージングディレクターです。