サイバーセキュリティ戦略を効率的に進めるための5つの実践法

近年、サイバー攻撃の件数が増え続けています。Check Point Researchの研究によると、その件数は、全世界で、2022年第3四半期、2021年の同時期に比べ約28%増加したとされています。その中でも「企業」は特に標的になりやすく、サイバー攻撃を受ける回数は、週に平均1回以上となっています。

サイバー攻撃のような犯罪行為は、企業に多くの悪影響を及ぼします。サイバーセキュリティ企業Sophos社のレポートによると、調査対象となった小売業界のITリーダー層のうち約77％が、2021年に所属する組織がランサムウェア攻撃の被害を受けたと回答しています（2020年から75％増）。

テクノロジーチェーン全体のサイバーセキュリティ文化

IBMの Cost of Data Breach Report 2022によると、「クラウド移行」はデータ漏洩に関するコストに影響を与える2番目に大きな要因であることがわかります。しかし一方で、DevSecOps（開発チェーン全体にセキュリティプラクティスを組み込んだアジャイル開発プロセス）は、このコストの削減に貢献する2番目に有力な取り組みとされています。

企業のデジタルプロセスにおいて、強固なセキュリティ対策を実施する必要性が日々高まっています。クラウドは今やビジネスの根幹をなすものであり、移行する際には特に注意が必要です。

脆弱性や組織的なリスクの低減という直接的な影響だけでなく、開発効率やコスト、さらには攻撃から企業を守るために働く従業員の福利厚生にも大きな影響を与えることが確認されています。

CI&Tの調査によると、DevSecOpsの採用により、セキュリティ関連の問題修復までにかかる時間が約10分の1になり、セキュリティチームの業務手間も最大80%削減、DevSecOpsを採用していないチームと比較して燃え尽き率が最大1.4倍低くなることが分かりました。より少ない費用でより多くの業務を行う方法とその成果が明確なものとなり、セキュリティにおけるイノベーションに重点を置いて、業務範囲を拡大するよう働きかけています。

しかし、DevSecOps戦略がその能力を最大限に発揮するためには、導入方法を知ることも欠かせない要素となります。

サイバーセキュリティ文化における変革

サイバーセキュリティを実践する際に、不可欠な3つのポイントがあります：

1. テクノロジー：適切なツールがなければ、優れたDevSecOps戦略を実現することはできません；
2. プロセス：開発サイクル全体を通してセキュリティの問題に確実に対処することを習慣づけておくことで、リスクの予防と修復力を向上させます；
3. 人：メンバーのトレーニングを通じて、パフォーマンスを常に評価する文化を醸成し、製品に起こりうる脆弱性についてオープンに話せる環境を作ることが最も重要です。セキュリティ業務に従事するメンバー以外も、部署や役職に関係なく、セキュリティに対する責任を負っているというマインドセットを共通して持つことが必要となります。

情報セキュリティの効率化を促す5つの実践法：

継続的にテストを実施：
ソフトウェアエンジニアリングとその開発プロセスには、セキュリティテストの自動化が不可欠です。また、依存関係（サードパーティライブラリ）のチェーン全体が、間接的にソフトウェアに影響を与える可能性のある危険性を持っていないことを検証することに加えて、開発時にコードが優れたものであるか、あるいは脆弱性を生み出していないかを確認する自動化ツールが多く普及しています。

セキュリティ設計：
ソフトウェアアーキテクチャの設計は、コードがどれだけうまく実装されていても、攻撃ベクトルを生成し、攻撃者にとって有利となるような情報を公開してしまう可能性があります。このプロセスにおいて脅威に対応するモデリングやツールは、LGPD、GDPR、PCI、SOXなどのビジネス要件を考慮しても、開発サイクルの初期段階ではるかに高いセキュリティを実現します。脅威モデリングは、ソフトウェアに変更があるたびに行われるべきプロセスです。

クラウドとインフラセキュリティ：
インフラ向けセキュリティスキャンツールによって特定されたリスクと脆弱性を監視し、対応の優先順位を付けます。脅威モデリングと組み合わせることで、ソリューションの論理的および物理的なアーキテクチャにおけるリスクの露出を高いレベルでカバーすることができます。

リスクとコンプライアンス：
セキュリティはデジタルに限らず、幅広い分野に適用されます。ISO2700Xのような市場のフレームワークでは、例えば、従業員の物理的環境や、労働環境と契約が安全かどうか、アクセス許可が効果的に管理されているかどうかなどを評価します。

トレーニング：
従業員全員がセキュリティを意識し、業務に取り入れることができるようにするためには、優れた従業員トレーニングおよび教育プラットフォームが不可欠です。技術チーム向けのセキュリティ開発に関するトレーニングに加え、リーダー層は、自分が担当する業務において「セキュリティリーダー」となるためのトレーニングを受ける必要があります。

まず一歩を踏み出そう！

企業で成熟したセキュリティ文化を醸成するのは大きな負担がかかるものであり、指示を出されて急に実行できるものではありません。従業員のモチベーションを高めるだけでなく、価値を明確かつ効果的に示す参考資料や関連する事例を用意する必要があります。

所属するチームや企業にセキュリティ文化やDevSecOpsを導入したいという方は、ぜひ一度CI&Tまでご相談ください。

---