サイバーセキュリティリスクを管理する組織は、いずれも困難な課題に直面しています。セキュリティ上の問題は毎日特定され、オンライン上で公表されていますが、その対策が講じられるまでには数週間を要することもあり、脅威は国境を越えて発生する可能性があります。特定の分野にのみ焦点を当てたベストプラクティスも、一夜にしてリスク要因となり得るのです。
徹底的かつ柔軟性に欠けるセキュリティ対策は、盗難や侵入のリスクを軽減する一方で、効率性や対応力の低下を招く可能性があります。リスクは問題が発生するまで目に見えないことがあり、信頼でき、一見安全に見えるサプライチェーンでさえ、混乱をきたしたり、侵害されたりする恐れがあります。
安全な運用を定義する基準は絶えず変化しており、既存の技術でさえ新たなセキュリティ評価が必要とされています。新しい業務手法や資産を導入する際に、想定される脅威について一度きりのリスク分析を行うだけでは不十分です。組織に対しては、サイバー攻撃の影響範囲やビジネスへの影響を定期的に把握することを推奨します。さらに、リスクを定量化・分類することで、リスク管理文化の醸成を、測定指標と明確に定義された目標を備えた具体的な取り組みとすることができます。
セキュリティに対する統合リスク管理アプローチを採用すれば、各プロセスや業務慣行がどのようにリスクを管理し、業務の回復力を高めているかを把握しやすくなります。統合リスク管理の分野をリードする企業は、セキュリティプロセスの連携を可能にする新しいツールを活用し、リスクを軽減する能力を拡大し続けています。当社のレポート『統合リスク管理の現状』をご覧いただき、堅牢なリスク防御策によって組織を保護する方法をご確認ください。
あらゆるリスクは相互に関連しており、セキュリティ対策も同様に連携すべきです
現実の世界では、強固な境界防御により、施設の保護された境界内で事業を継続しつつ、損失を軽減することができます。しかし、サイバーセキュリティにおける境界防御は、デジタルリスクや脅威の性質上、かねてより問題視されてきました。すべてがファイアウォールの堅牢性やパスワードの機密性に依存している場合、ファイアウォールが突破されたり、パスワードが漏洩したりすれば、すべてが危険にさらされることになります。
世界的な新型コロナウイルス感染症（COVID-19）のパンデミックにより職場が閉鎖されると、サイバー攻撃の機会が急増しました。サイバー脅威に対する統合的なセキュリティ対策が整っていなかった組織は、従業員がさまざまなネットワークセキュリティ設定の下で分散して勤務する状況下で、攻撃に対してより脆弱な状態に置かれました。リモートワーカーが自宅のネットワークを通じて機密資産にアクセスし始めた際、多くの組織は、従業員が保護された組織ネットワークにトンネル接続できるようにするため、VPNに依存していました。
残念ながら、これにより、組織のネットワークにリモートアクセスする従業員の人数だけ、セキュリティ上の脆弱性が生じることになります。例えば、コロニアル・パイプラインに対するランサムウェア攻撃では、仮想プライベートネットワーク（VPN）のログイン認証情報が悪用され、コロニアル・パイプライン社の業務が人質に取られました[1]。単一の障害点が、業務上不可欠なオペレーションの停止を招いたのです。
混乱に対する防衛体制の強化
「多層防御」という概念は数十年前から存在しており、可能かつ実用的な範囲で保護の層を重ねていくものです。セキュリティに対する統合的なリスク管理アプローチは、この概念を基盤とし、他のリスク管理機能のプロセスやデータを連携させるものです。というのも、業務のあらゆる部分がセキュリティ上の懸念事項やリスクの発生源となり得るからです。
セキュリティに関する統合的なリスク管理アプローチを設計・維持する上で重要なのは、そのプロセス全体が事業継続性（オペレーショナル・レジリエンス）と整合していることを確実にすることです。障害が発生しても業務を継続できる能力こそが、セキュリティアプローチの背後にある主要な原動力となるべきです。RSA Digital Risk 2020調査の回答者の5人に1人は、今後2年間において、事業継続性とエンタープライズ・リスク管理アプローチの整合性を優先すると回答しています。
セキュリティに対する 統合的なリスク管理アプローチを採用することで、組織の各部門は、全体としての業務レジリエンスを強化するような形でリスクを管理することができます。ITおよびセキュリティ部門の取り組みは、規制や企業コンプライアンス、サードパーティ管理、その他のステークホルダーとの連携を通じて、強化されたリスク管理プログラムを構築します。
詳細なリスクと対応策
組織に対しては、テクノロジーおよびデジタルセキュリティに関連するリスクの全体像を把握し、その財務的影響を理解することをお勧めします。データ漏洩が業務にどのような支障をきたすかを把握していなければ、予防策や対策に投入すべき適切な労力や資本の規模を見極めることは現実的ではありません。リスクの影響を定量化する明確なプロセスと分類体系を確立することで、リスク管理の実践を組織の目標と整合させることができます。
セキュリティに対する統合的なリスク管理アプローチが整備されていない場合、たった1つのセキュリティリスクが組織の資産全体に波及する可能性があります。ますます多くの要素がデジタル化、自動化され、ネットワーク接続された技術によって制御されるようになる中、データ漏洩は物理的な業務の混乱さえも引き起こす可能性があります。
業務のレジリエンスが単一の対策の強度だけに依存している場合、その単一の防御策が極めて重要となるため、その防御策が破られた場合に生じる影響を定量化することが困難になります。多層防御と統合リスク管理に基づくセキュリティ戦略を採用すれば、個々の業務やプロセスについて、きめ細かなリスク評価を行うことが可能になります。
多層防御によるセキュリティ対策の必要性が高まるにつれ、リスク管理の分野には新たな責任が課せられています。単一の境界防御システムの完全性は、既存の業界慣行に基づいて判断できますが、セキュリティ対策の数が膨大であることから、組織のリスク管理実務を監視・管理するための新たなプロセスが求められています。
パンデミックは、多くの組織において、これまで見過ごされていたり、対処されていなかったりした弱点を浮き彫りにしました。当社の2020年デジタルリスク調査によると、回答者の75％近くが、過去1年間の混乱や変化を背景に、自社のデジタルイニシアチブが加速すると予想しています。
この加速化の一部には、既存のアプローチや慣行の拡大も含まれますが、拡大するリスクプロファイルに対応するための新たなプロセスを導入することで、組織は変化する環境に適応しやすくなります。オペレーショナル・リスク・プログラムでは、リスク情報を一元的に集約し、自社のリスク態勢をより深く理解し、リスクへの対処方法をより容易に決定するとともに、これらのリスクが事業全体とどのように相互に関連しているかを把握できるようにすべきです。
今後の統合リスク管理
オペレーショナル・レジリエンスに対する包括的なアプローチには、リスク管理戦略のあらゆる側面における弱点を詳細に監査することが求められます。当社の顧客の多くは、今後2年間で自社のリスクプロファイルが大幅に拡大すると予想しています。当社は、強力な統合リスク管理プラットフォームを活用し、組織と連携して、拡大するリスクプロファイルの管理を支援しています。「メッシュ型セキュリティアプローチ」を採用している組織が、混乱時においてもいかに競合他社を凌駕しているかについては、当社のホワイトペーパー 『統合リスク管理の現状』 をご覧ください 。
[1]https://www.bloomberg.com/news/articles/2021-06-04/hackers-breached-colonial-pipeline-using-compromised-password
