ガートナージャパンは3月9日、2022年におけるセキュリティおよびリスク管理の7つの主要トレンドを発表した。2022年以降に登場する脅威から組織やビジネスを守るために押さえておくべきトレンドだとしている。
7つの主要トレンドは以下の通り。アナリストでバイスプレジデントを務めるPeter Firstbrook氏は、「コロナ禍でハイブリッドワークとクラウドへの移行が加速し、最高情報セキュリティ責任者は有能なセキュリティスタッフの不足に対処しながら、分散化が進む企業を保護するという課題を突き付けられている」と指摘した。また同社日本法人のアナリストでバイスプレジデントの礒田優一氏も、「日本においても共通し、業界に広範な影響をもたらす。デジタルトレンドの加速を背景とした分散と集約の議論がこれまで以上に重要になっている」と述べる。
- 攻撃対象範囲の拡大
- デジタルサプライチェーンのリスク
- アイデンティティー脅威検知／対応の見極め
- 意思決定の分散化
- ビヨンド アウェアネス（セキュリティ意識）
- ベンダーの集約
- サイバーセキュリティメッシュ
サイバー攻撃の対象範囲は、IoTやクラウドアプリケーションなどの新領域にも拡大しているとし、セキュリティ対策は監視や検知、対応の従来のアプローチに加え、より広範囲でリスクを管理する必要があるとする。ここでは、「デジタルリスクプロテクションサービス（DRPS）」「エクスターナルアタックサーフェスマネジメント（EASM）」「サイバーアセットアタックサーフェスマネジメント（CAASM）」を利用して業務システムのセキュリティ状況を可視化する。
デジタルサプライチェーンへの攻撃は、攻撃者にとって効果が高く、同社は2025年までに全世界の組織の45％が、ソフトウェアのサプライチェーンに対する攻撃を経験すると予測する。ベンダーやパートナーの分類と評価を行い、セキュリティリスクを低減する。
アイデンティティーの脅威では、サイバー攻撃がアイデンティティー／アクセス管理基盤を積極的に狙っているため、IDシステムを防御するツールやベストプラクティスの「アイデンティティー脅威検知／対応（ITDR）」の活用が期待される。
「意思決定の分散化」とは、ビジネスの拡大や複雑化に伴ってサイバーセキュリティの取り組みをセキュリティ部門などに集中させるのではなく、複数の組織単位に分散することを指し、その必要性が生じているとする。また「ビヨンド アウェアネス」は、従来のセキュリティ教育方法では、人為的なミスによるデータ侵害の減少できないことから、組織全体として安全な働き方を誘発させる新しい考え方でもって新しい行動を定着させることやり方に変化させることという。
ベンダーの集約は、セキュリティソリューションが多種多様になり、複雑でコストも高いことから、似たような機能を持つソリューションが整理され、簡素、低コストなどのメリットをもたらすというもの。エンドポイント型脅威検知・対応（EDR）とネットワーク型脅威検知・対応（NDR）を統合整理した拡張型の「XDR」などが挙げられる。クラウドセキュリティでは、現状でセキュアウェブゲートウェイ、クラウドアクセスセキュリティブローカー（CASB）、ゼロトラストネットワークアクセス（ZTNA）、拠点向けファイアウォール（FWaaS）などの機能、サービスを異なるベンダーから調達する傾向にあるが、2024年までに企業の30％が調達先を1つに絞るようになるという。
最後の「サイバーセキュリティメッシュ」は、セキュリティ製品の集約化、アーキテクチャーなどの統合を指すという。オンプレミス、データセンター、クラウドなどの場所に関係することなく共通のポリシー、手法、監視・管理によるセキュリティ対策の運用が必要になり、そのために「サイバーセキュリティメッシュアーキテクチャー（CSMA）」と呼ぶ仕組みを利用していくとする。
