Gartnerによると、リモートワークとクラウドコンピューティングサービスへの移行が原因で、ビジネスを攻撃から保護することがより困難になっており、熟練のセキュリティスタッフの継続的な不足が状況の悪化に拍車をかけているという。だが、それは同社が予測するセキュリティ環境の変化の一部にすぎない。
「世界中の組織が、高度なランサムウェア、デジタルサプライチェーンに対する攻撃、深く埋め込まれた脆弱性に直面している」とGartnerのリサーチバイスプレジデントであるPeter Firstbrook氏は語る。同社は新しい課題の主な分類として、「高度な脅威への新たな対応」「セキュリティプラクティスの進化」「テクノロジーの再考」の3つを挙げた。
攻撃対象範囲の拡大
Gartnerが特に警戒を呼びかけているのは、企業の攻撃対象範囲の拡大、すなわち保護が必要なシステムやアクセスポイントの数が増加していることだ。同社は、モノのインターネット（Internet of Things：IoT）、オープンソースコード、クラウドアプリケーション、複雑なソフトウェアサプライチェーンに関連するリスクを指摘し、これらによって「組織の攻撃対象範囲が一連の制御可能な資産の外側に拡大している」と警告した。Gartnerは、セキュリティ監視、検出、対応に関する従来のアプローチ以外にも目を向けて、より広範なセキュリティリスクを管理する必要がある、としている。
デジタルサプライチェーンのリスク
ソフトウェアサプライチェーンへの攻撃を検出するのは難しい。というのも、企業にはソフトウェアの更新をチェックする手段がほとんどなく、それを信用するしかない場合が多いからだ。Gartnerは、世界の組織の45％が2025年までにソフトウェアサプライチェーンへの攻撃を経験すると予測している。
「デジタルサプライチェーンのリスクには、緩和のための新たなアプローチが必要だ。これには、リスクに基づくベンダー／パートナーのより慎重な分類と評価、セキュリティ管理と安全なベストプラクティスの証拠の要求、レジリエンスに根差した考え方への転換、将来の規制に先んじて対応するための取り組みなどが挙げられる」。同社はこのように指摘した。
ID脅威の検出と対応
高度な脅威アクターは、IDおよびアクセス管理インフラストラクチャーを積極的に狙っている。今では認証情報の悪用が主要な攻撃経路だ。そのため、企業は盗難あるいは偽造のユーザー名とパスワードの使用を困難にする多要素認証へのアップグレードを頻繁に求められている。しかし、Gartnerは、IDシステムの保護に向けたさらなる対策を実施して、侵害が発生したことを検出し、効率的な修復を可能にする必要がある、と警告している。
セキュリティの意思決定の分散化
企業のサイバーセキュリティのニーズと期待は、ますます高度になっている。したがって、最高情報セキュリティ責任者（CISO）だけですべてに対応することはできない。サイバーセキュリティに関する決定は、もっと多くの人間で分担する必要があるだろう。Gartnerの予測では、2026年までに少なくとも50％のCレベル幹部の雇用契約に、サイバーセキュリティリスク関連のパフォーマンス要件が盛り込まれるとされている。単一の中央集中型のサイバーセキュリティ部門では、デジタル組織のニーズに十分俊敏に対応できなくなるという。
Gartnerは、他にも以下の3つのトレンドを挙げている。
- ビヨンドアウェアネス
- ベンダーの集約
- サイバーセキュリティメッシュアーキテクチャー
Gartnerはまた、ヒューマンエラーが今なお多くのデータ侵害の要因となっていることは、セキュリティ意識向上トレーニングに対する従来のアプローチに効果がないことを示している、と述べた。組織は「ビヨンドアウェアネス」に移行して、より広範なセキュリティ行動および文化プログラムに投資する必要がある。さらに、現在進行中のセキュリティベンダーの集約や、サイバーセキュリティメッシュアーキテクチャーなどの新しい概念の出現も把握しておかなければならない。サイバーセキュリティメッシュアーキテクチャーは、統合されたセキュリティ構造とセキュリティポスチャーを構築して、オンプレミス、データセンター、クラウド上のあらゆる資産を保護できるように支援するものだ。
提供：Nitat Termmee
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
