サイバーセキュリティに誤った認識で対処していませんか？

たくさんのツールが入った道具箱を持っていることと、適切なツールを道具箱に揃えることには雲泥の差があります。この事実は、特にサイバーセキュリティにおいて顕著です。セキュリティ侵害がニュースになると、セキュリティベンダーが、それぞれの製品がいかに災害を防ぐことができるかを主張してアプローチしてくるということはよくあります。

しかし、組織のセキュリティにおいて ROI を実現するには、単に攻撃を防ぐだけでなく、攻撃の影響をできるだけ早く修復し、ビジネスの中断を最小限に抑えることが重要です。組織にとって、アプリケーションのレジリエンス (回復力) は、耐久性のあるサイバー防御のための重要な構成要素となっています。

過信は防御力の低下につながる  

攻撃を受けた後にセキュリティ支出を増やすのは、自然な反射です。しかし、賢明な戦略を持たずに支出すると、また新たな問題に直面することになりかねません。役員会で、購入したいセキュリティツールがどのように付加価値をもたらすかを提示することができず、予算上の理由で却下されてしまうこともあるかもしれません。実は、ツールを買い足したことで誤った安心感が生まれてしまったり、複雑さが増したりするなど、マイナスの効果もあるのです。

昨年末、Gartner は、2023年の全世界のセキュリティおよびリスク管理への支出が 11％以上増加し、1,883億ドルに達すると予測しました。Absolute の「レジリエンス・インデックス 2023年 ～デジタルエンタープライズのセキュリティ認識と現実とのギャップ」によると、組織で支給されるノートPCには通常 11以上のセキュリティ・アプリケーションがインストールされています。また、一般に、エンドポイント管理、マルウェア対策、暗号化のアプリケーションが、それぞれ複数インストールされていることがわかっています。

このような冗長性は、一見、セキュリティを何重にもして防御力を高めるように見えますが、実は複雑さも増しています。これらのアプリケーションはそれぞれ、有効性と全体的な機能性を確保するために、管理し、最新の状態に保つ必要のあるソフトウェアとハードウェアとして認識されなければなりません。たとえば、パッチ適用に隙があって更新が漏れると、デバイスがセキュリティポリシーに沿わなくなり、攻撃者にとってのチャンスとなってしまう可能性があります。

また、設定が古いままだと、セキュリティポリシーが矛盾してしまうことがあります。「レジリエンス・インデックス 2023」での分析では、25～30％のデバイスにおいてセキュリティコントロールが不健全な状態になっていることが判明しています。「不健全」とは、インストールされていても正しく動作していなかったり、意図的に無効化されていたり、適切な脆弱性管理の一環として適用される OS や他のアプリケーションのソフトウェアパッチと競合していたりするようなものを指します。時間が経つにつれて制御の有効性が低下し、ユーザーは制御を回避しようとする可能性があります。

ここで、コンプライアンスの観点から考えてみましょう。もし監査人が、機密データにアクセスするすべてのデバイスで実施されているコントロールを検証するよう求めてきたとしたら、それを実行することは可能でしょうか？どんなものが出てくるのでしょうか？遠隔地にあるエンドポイントの中から機密データを探し出すこともできるのでしょうか？

従業員が分散した場所から IT リソースにアクセスするリモートワーク、あるいはハイブリッドワークへの移行が急激に進んだことが、問題を複雑化させています。IT チームは、適用されているパッチのレベルが異なる複数のデバイスを使用して外部ネットワークから組織リソースにアクセスするモバイルユーザーの問題を特定し、修正するために、可視性と制御の課題に直面しています。たとえば、今回のレポートでは、エンタープライズ向け端末のほとんどが Windows 10 を搭載していることがわかっています。最も状況が悪いのは政府機関で、Windows 10 パッチをあてるまでの期間に平均 214日を必要としていました。ゼロデイ攻撃や迅速な概念実証の際に発生する悪用が、数カ月ではなく数日で現実の悪用に移行することを考えると、これはよいニュースとはいえません。

この問題を、一般的なエンタープライズ端末に搭載されている数十種類のアプリケーションに広げると、問題の範囲が明らかになります。セキュリティには、可視化と脆弱性が現れたときに修正する能力が必要ですが、組織のデバイスには 60種類以上のさまざまなアプリケーションを搭載していることが多いため、IT チームはそれに対応するだけで手一杯になってしまいます。これらのアプリにはそれぞれアップデートがあり、リスクを軽減するためにインストールする必要があります。既存のソフトウェアだけのツールでは追いつきません。

複雑さとセキュリティは常に険悪な関係にあり、分散した労働力をサポートするという現実と、膨大な数のデバイスとアプリケーションを保護する必要性との間で、IT チームは追い詰められています。今日の組織には、デバイスやアプリケーションの健全性を可視化し、セキュリティホールが出現したらすぐに塞ぐことができるような、異なるアプローチが必要です。

​​アプリケーション・レジリエンスが、セキュリティ防御を強化する 

つまり、セキュリティにはレジリエンスが必要なのです。エンタープライズ向けアプリケーションやデバイスは、ソフトウェアの腐敗や悪意のある攻撃に対して耐性が必要です。Absolute は、世界のトップクラスのシステムメーカーが製造した機器のファームウェアにあらかじめ組み込まれているパーシステンス・テクノロジーを使用して、お客様が使用するエンドポイントの破損しない可視性と制御を維持しています。さらに、アプリケーションの衛生状態を監視し、不健康なサードパーティ製アプリケーションの修復や再インストールを自動的に行い、あらゆる問題を解決する「絶対的なアプリケーション耐性 (Absolute Application Resilience)」を構築しています。

現実的に、その効果は絶大です。たとえば、一般的なエンドポイントにインストールされている様々なセキュリティツールを例に挙げてみましょう。エンドポイント保護プラットフォーム (EPP)、エンドポイント検出と応答 (EDR)、およびリモートアクセスソリューションはすべて、サイバーインシデントを防止し、場合によっては対応する能力において極めて重要な役割を担っています。「レジリエンス・レポート 2023」レポートの一環として、業界レポートにおいてリーダーとして挙げられている EPP、EDR、リモートアクセス分野のセキュリティベンダーから、特に顧客が使用しているツールのアプリケーションヘルスが分析されました。対象は、Citrix、Cisco、CrowdStrike、Microsoft、Netskope、Palo Alto Networks、SentinelOne、Sophos、Trend Micro、Zscaler です。そして、アプリケーション・レジリエンスのポリシーを適用する前後の結果を比較しました。下表に、匿名化したデータを示します。

さまざまなアプリケーションにこのレベルの可視性と制御を適用することで、従業員は場所に関係なく安全で生産性の高い状態を維持することができます。検出された問題は、自動的に修復することができます。アプリケーションのレジリエンスは、セキュリティ予算の規模に起因する誤ったセキュリティ感覚を、組織がソフトウェアの腐敗や脅威の活動によってもたらされる損害を克服できるという知識に根ざした真の自信に置き換えます。アプリケーションのレジリエンスに焦点を当てることで、リーダーはビジネス中断のリスクを低減し、ユーザーにより高いレベルのセキュリティ保証を提供することができ、最終的にレジリエンスでセキュリティと複雑さの課題を解消することができます。

誤った安心感がデジタル企業をいかに危険にさらすかについては、「レジリエンス・インデックス 2023」をご参照ください。