results.サイバーセキュリティとは?サイバーセキュリティとは、組織と重要なシステム/機密情報をデジタル攻撃から守るために人、ポリシー、プロセス、テクノロジを導入するプラクティスです。Contentsビジネスにとって、サイバーセキュリティとは何を意味するのか?ロシアのウクライナ侵攻によるサイバーセキュリティの影響とは?重要インフラに対するサイバーセキュリティの懸念とは?サイバー攻撃とは?DDoS攻撃とは?サイバーセキュリティ・コントロールとサイバー防御策とは?サイバーセキュリティが失敗するのはなぜ?サイバーセキュリティの未来とは?誰がサイバーセキュリティの管理責任者か?必要なサイバーセキュリティ指標とは?サイバーセキュリティに投じるべきコストは?サイバーセキュリティに関する最新の知見サイバーセキュリティに関するイニシアティブサイバーセキュリティ・リーダー向け関連情報サイバーセキュリティ・リーダー向けコンファレンス情報ビジネスにとって、サイバーセキュリティとは何を意味するのか?サイバーセキュリティは、ビジネス課題として取締役会で長年にわたり提起されていますが、説明責任については依然としてITリーダーが主に担っているのが現状です。ガートナーの2022年取締役サーベイでは、取締役の88%がサイバーセキュリティをビジネス・リスクとして捉えており、テクノロジ・リスクと捉えている取締役はわずか12%でした。(最高情報セキュリティ責任者)、またはこれらと同等の役職がサイバーセキュリティに関する説明責任を担っているという組織は、85%に達していました。今やデジタル情報/テクノロジが日常業務に深く浸透していることから、組織はサイバー脅威に対して極めて脆弱になってきています。一方で、攻撃そのものは、情報と重要インフラを標的とし、極めて高度になりつつあります。影響が及び、そのすべてに多大なコストがかかる可能性があります。した中、既存の対策では十分な効果が得られなくなってきており、大半の組織がサイバーセキュリティ対策を強化する必要があると考えられます。(英語)ロシアのウクライナ侵攻によるサイバーセキュリティの影響とは?ロシアのウクライナ侵攻は、軍事的および破壊的なマルウェア攻撃によって特徴づけられています。侵攻が拡大するにつれ、重要インフラへの攻撃の脅威、そして致命的な機能停止の可能性が高まっています。どの組織も無関係ではいられません。多くの組織は、すでにセキュリティ上のさまざまな問題に直面していますが、今、特に重要なのは、自社向けにカスタマイズされた脅威情報を活用し、政府関係者から、対応できない可能性のある攻撃にどのように備えるべきかのガイダンスを得ることです。ロシアのウクライナ侵攻への対応について経営幹部が戦略を練る際には、サイバーセキュリティの計画を優先してください。コントロール可能な課題に集中し、インシデント対応計画が最新のものであることを確認します。潜在的な脅威の増加を検出し、防御するために意識と警戒を高めます。それと同時に組織が感じているストレスとプレッシャーが増していることも意識しましょう。これらの威力による人為的なミスは、実際のサイバー攻撃よりも大きな影響を組織に与える可能性があるからです。重要インフラに対するサイバーセキュリティの懸念とは?重要インフラの分野には、エネルギー生産と送電、上下水道、ヘルスケア、食品と農業が含まれます。多くの国では、重要インフラは国有であるが、米国のように民間企業がその大部分を所有し運営している国もあります。いった重要インフラの分野は、現代社会が適切に機能するために不可欠であるだけでなく、相互に依存しており、あるひとつの分野へのサイバー攻撃は他の分野に直接影響を与える可能性があります。攻撃者は、サイバー・フィジカル・システム(CPS)に対する攻撃を展開することを選択するようになってきています。ロシアがウクライナに侵攻する以前から、そのリスクは非常に現実的なものでした。重要インフラ分野の組織へのサイバーセキュリティ攻撃は、2013年の10件未満から2020年には約400件に増え、3,900%の増加となっています。そのため、世界中の政府がミッション・クリティカルなCPSに対してより多くのセキュリティ管理を義務付けているのは驚くべきことではありません。ロシアのウクライナ侵攻は、すべての組織にとってサイバー攻撃の脅威を増大させます。重要インフラに対する新たなセキュリティ勧告もガバナンスに取り込みながら、全体的かつ協調的なCPSセキュリティ戦略を策定する必要があります。優先対象としています。問題の本質は、今日のサイバー攻撃のスピードと複雑さに対抗するには、従来のネットワーク中心のポイント・ソリューション型のセキュリティ・ツールではもはや不十分であることです。組織のインフォメーション・テクノロジ(IT)を処理するテクノロジ・バックボーンと融合し続けているため、このような状況が生じているのです。モノのインターネット)セキュリティ・ソリューションの完全なインベントリを作成しましょう。スタンドアロンまたは多機能プラットフォーム・ベースのセキュリティ・オプションの評価を行い、CPSセキュリティ・スタックの収束をさらに加速させることが重要です。Vendors」(英語)サイバー攻撃とは?最も一般的かつ注目すべきサイバーセキュリティ攻撃には以下のようなものがあります。原因で生じる脅威です。権限のないユーザーが、ソフトウェアなどのハッキング手法を用いて、よく使われるパスワードや再利用されているパスワードを特定し、それを悪用して機密システム/データ/資産にアクセスする攻撃です。権限のあるユーザーが、正当なアクセス権のある情報やデータを過失または故意により広めたり、またはその他の方法で誤用したりすることです。組織のファイアウォール内外でメッセージを暗号化しなかったために、攻撃者によって、セキュリティ保護されていないネットワーク・トラフィックの盗聴や、トラフィックのリダイレクト/中断が可能になることです。よって侵害される攻撃です。企業システムへの攻撃や情報流出のきっかけとなります。攻撃者が企業システムに過剰な負荷をかけ、一時的なシャットダウンやスローダウンを引き起こす攻撃です。(「DDos攻撃とは何か」も参照してください)。ランサムウェア組織のシステムに感染する不正なソフトウェアであり、身代金が攻撃者に支払われるまで、暗号化されたデータやシステムへのアクセスを制限します。身代金を支払わないとデータを流出させると脅す攻撃者もいます。再考する」DDoS攻撃とは?DDoS攻撃とは、サイバー攻撃者がデバイスのネットワークを利用して、企業システムに過剰な負荷をかける攻撃のことです。この形態のサイバー攻撃はサービスをシャットダウンさせることが可能ですが、実際のところ、ほとんどの攻撃は、サービスを完全に中断させるのではなく、混乱を引き起こすよう設計されています。現在、何千件ものDDoS攻撃が毎日報告されていますが、その大半は、通常業務の中で軽減されており、特別な注意を払う必要はありません。サイバー攻撃者は攻撃範囲を拡大することができ、DDoS攻撃は複雑さ、量、頻度において増大し続けています。そのため、小規模な企業であっても、ネットワーク・セキュリティに対する脅威が高まっています。アプリケーションを直接狙うDDos攻撃も増えています。したがって、このタイプの脅威に対して有効かつ費用対効果の高い防御策を講じるには、以下のような多層的なアプローチが必要になります。人とプロセス:インシデント対応や軽減策のほか、攻撃を阻止するために必要なスキルセットの強化DDoSの軽減には、他のタイプのサイバー攻撃に対する防御策とは異なるスキルが要求されるため、ほとんどの組織はサードパーティのソリューションによる機能強化が必要になります。Innovations」(英語)サイバーセキュリティ・コントロールとサイバー防御策とは?IT/情報システムのさまざまなコントロール領域を用いて、サイバー攻撃に対して技術的な防御ラインを形成します。これには以下のものがあります。ネットワークと境界のセキュリティネットワーク境界とは、組織のイントラネットと外部/一般向けインターネットの境界を定めるものです。脆弱性があると、攻撃者がインターネットを利用し、それに接続されているリソースを攻撃するリスクが生じます。エンドポイント・セキュリティエンドポイントとは、ノートPC、携帯電話、サーバなど、ネットワークに接続されたデバイスのことです。エンドポイント・セキュリティは、こうした資産、ひいては資産に接続されたデータ/情報/資産を、悪意ある攻撃者や一連の攻撃から保護します。アプリケーション・セキュリティクラウド・ベースと従来型の両方のアプリケーション内にあるデータやコードを、アプリケーションのデプロイ前後に保護します。データ・セキュリティ転送中または保管中の機密情報資産を保護するためのプロセスと関連ツールで構成されます。データ・セキュリティの手法としては、機密データを確実に消去するための暗号化や、データのバックアップなどがあります。(IAM)適切な個人が適切な時間に適切な理由で適切なリソースにアクセスできるようにします。サイバー攻撃に対する防御ラインは、テクノロジ・コントロールだけではありません。先進的な組織は、自組織のサイバーリスク文化と関連部門の成熟度を厳密に調べ、サイバー防御策を拡大しています。これには、従業員の意識向上と安全な行動の確立が含まれます。✕サイバーセキュリティが失敗するのはなぜ?一言で言えば、適切なコントロールの欠如が原因です。100%安全な組織は存在しません。組織は脅威や悪質な攻撃者をコントロールすることはできません。組織がコントロールできるのは、セキュリティ対策における優先事項と投資だけです。ITコントロールとサイバー防御策に対して、いつ、どこで、どのように投資すべきかを意思決定するには、人、プロセス、テクノロジのセキュリティ能力をベンチマークで評価し、不足している点と、目標とすべき優先事項を明らかにする必要があります。サイバーセキュリティ・リスクには人的要素が深く関わってきます。サイバー犯罪者はソーシャル・エンジニアリングの専門家となり、従業員を騙して不正なリンクをクリックさせるために、ますます高度化した手法を使用するようになっています。した攻撃への防御力を向上させるために、従業員に情報とノウハウを確実に身に付けさせることが重要となります。Bait」(英語)サイバーセキュリティの未来とは?主に以下のように、サイバーセキュリティの未来は想定され、環境そのものが進化しつつあります。ネットワーク、インフラストラクチャ、アーキテクチャが複雑化し、サイバー攻撃の標的となり得る接続の数や種類が増えています。脅威が高度化し、脅威の検出が十分にできないため、増え続ける情報セキュリティのコントロール、要件、脅威を把握し続けることが困難になっています。サードパーティの脆弱性は、今後も続くと思われます。組織はサードパーティに対して、最低限かつ堅牢なコントロールを確立するのに苦心し続けているためです。依存している点も大きな要因です。サイバーセキュリティの負債は、かつてないレベルにまで膨らんでいます。セキュリティ問題に対処する前に、パブリック・クラウドをベースにした新しいデジタル・イニシアティブが導入されることが多いためです。相互作用するように設計されています。スマート・ビルディングのように、デジタル世界と物理世界をつなぐことで、脆弱性が潜む独自の領域が生じ、それが拡大していきます。誰がサイバーセキュリティの管理責任者か?サイバーセキュリティは、ほかの多くの企業リスクと相互に関連しており、脅威やテクノロジは急速に進化しています。した状況を考慮すると、複数のステークホルダーが協力して、適切なレベルのセキュリティを確保し、盲点が生じないようにする必要があります。サイバーセキュリティはビジネス・リスクであるという認識が広がっているにもかかわらず、サイバーセキュリティに関する説明責任については、依然として主にITリーダーが担っています。2021年にガートナーが実施した調査によれば、CIO、CISO、またはこれらと同等職がサイバーセキュリティに関する説明責任を担っている組織は、85%に達しています。IT部門以外の上級管理職が説明責任を担っているのは、調査対象組織のわずか10%であり、取締役会レベルで専任のサイバーセキュリティ委員会を設置している組織も12%に過ぎません。ガバナンスを共有できるようにする必要があります。(「先週受けた攻撃回数」など)。それよりも、サイバーセキュリティ・プログラムの信頼性と防御力を証明する、具体的な成果に関連した指標を重視すべきです。2024年までに、サイバーセキュリティ侵害の発生後に規制当局が課す罰金額の80%は、侵害の影響ではなく、注意義務を果たしたことを証明できないことに起因すると、ガートナーは予測しています。以下の「CARE」モデルを提唱しています。(Consistency)一貫性の評価指標は、組織全体でコントロールが長期にわたって一貫して機能しているかどうかを評価します。(Adequacy)妥当性の評価指標は、コントロールがビジネスのニーズに沿って十分に受け入れられるかどうかを評価します。(Reasonableness)合理性の評価指標は、コントロールが適切、公正、適度であるかどうかを評価します。(Effectiveness)有効性の評価指標は、コントロールが望ましい、または意図された結果を生み出すことに成功しているか、またその際に効率的であるかどうかを評価します。Risk」(英語)サイバーセキュリティに投じるべきコストは?サイバーセキュリティに投じる金額には、保護レベルは反映されません。他社がサイバーセキュリティに投じる金額が分かっても、それで自社と他社の保護レベルが比較できるわけでもありません。大半は、信頼性も防御性もありません。信頼性がある場合でも、セキュリティにおける優先事項や投資に関する日々の意思決定をサポートするものではありません。Metrics)を使用すべきです。ODMは、脅威タイプごとに投資を測定/報告したり、投資に影響を及ぼしたりするものではありません。ランサムウェア、攻撃、ハッキングに対処するために、支出を調整することはできません。した脅威に対処するためのコントロールに合わせて投資を調整すべきです。組織はランサムウェア攻撃を受けるかどうかをコントロールすることはできませんが、バックアップ/リストア、事業継続、フィッシング詐欺トレーニングという3つの重要なコントロールに合わせて投資を調整することは可能です。これら3つのコントロールに関するODMは、組織がランサムウェアからどの程度保護されているか、またそのレベルの保護にどの程度のコストがかかるかというビジネス・ベースの分析を反映したものです。ビジネス・ベースの分析により、取締役会やその他の上級リーダーに説得力のあるストーリーを伝えることができます。コントロールでは、組織を保護するために所有/管理/配備している人、プロセス、テクノロジを組み合わせることがあります。(メリット)、管理されているリスクのレベルを評価するために、コスト最適化のアプローチを取り入れるべきです。かかわるすべての意思決定者に最新・最適な情報とアドバイス、コミュニティを提供します。