サイバーセキュリティは旅の過程であって、目的地ではありません。私のキャリアの大部分を形作ってきたのがこの信念であり、デジタル化が進む世界で人々や組織を保護するという課題に取り組む際の指針となっています。サイバーセキュリティは進化し続けています。私は長年、その大変革を見守ってきましたが、常に変わらないことが1つあります。それは、基本が重要であることです。
私が初めてこの分野に足を踏み入れたとき、脅威は今よりも局所的なものに見えました。当初は、システムのセキュリティを確保し、侵害の仕組みを理解することの技術的な複雑さに魅了されていました。しかし、米国国土安全保障省に勤務する間に、私の視点は変わりました。サイバーセキュリティは単なる技術的な課題ではなくなり、そのリスクはもはや仮説でも小規模なものでもなくなりました。脅威はグローバルになり、リスクは壊滅的になりました。当時も今も、回復力を構築するには、サイバー ハイジーンの確固たる基盤が不可欠であることは明らかです。
サイバー ハイジーンとは
サイバー ハイジーンは、身の回りの衛生管理と同じように考えてください。毎日、歯を磨き、シャワーを浴び、デオドラントを使うなど、基本的なことながらも心身の健康と幸福に不可欠な作業をルーティンとして行っています。サイバー ハイジーンもこれと同じです。デジタル資産や個人情報を保護する日常的な行動や習慣のことです。個人であれば、強力なパスワードの使用や多要素認証(MFA)の有効化などが挙げられます。組織であれば、システムの継続的な更新、アクセス制御の管理、明確なプロトコルの整備などがあります。
Joviaでは、金融リテラシーとサイバー リテラシーを表裏一体と考えています。今日、個々の資産は財布の中だけでなく、デジタル取引やモバイル決済サービスのVenmo、送金サービスのZelleにもあります。残念ながら、こうした利便性にはリスクが伴います。オンラインで自分の身を守る基本を理解していなかったために、生涯の貯蓄を失う人々を私はあまりにも多く見てきました。組合員、そしてサービスを提供しているコミュニティにサイバー ハイジーンについて知ってもらうことは、最も効果的に違いを生み出せる方法の1つです。
サイバー ハイジーンによる回復力の構築
組織の場合、効果的なサイバー ハイジーンはいくつかの重要な原則に集約されます。
- あらゆる場所で多要素認証を利用
MFAは、不正アクセスに対する最もシンプルで効果的な防御策の1つです。しかし、その重要性が見過ごされていることに私はいつも驚かされます。Facebookなどの個人アカウントでも、組織の重要なシステムでも、MFAが利用できる場合はぜひ利用してください。 - パスワード マネージャの使用
脅威をめぐる今日の状況では、すべてのアカウントに強力な固有のパスワードを使用することが不可欠です。パスワード マネージャは、この作業を簡素化するだけでなく、攻撃者が悪用する一般的な脆弱性である認証情報の使い回しを防止します。 - メール セキュリティの強化
メールは今なお攻撃者にとって主な侵入口の1つです。Webゲートウェイやリンクチェック ツールも有益ですが、危険なリンクがユーザーに届かないようにすることを目指すべきです。従業員にメールのリンクをクリックしないよう指導するだけでは不十分であり、組織にはこれらのリスクをプロアクティブに軽減するシステムが必要です。 - 定期メンテナンスの重視
医師の診察を怠らないように、定期的なシステム更新も無視してはいけません。攻撃を防ぐには、常に脆弱性を修正して最新の状態を保つ必要があります。
不可避な事態に直面した場合
最善を尽くしても、侵害は起こります。私は長年、問題は組織が攻撃を受けるかどうかではなく、それをいかに迅速に検出して封じ込められるかだと指摘してきました。侵入を検出して対応するには数日、時には数週間かかることもありますが、到底それは許されるものではありません。Joviaでは、数週間や数ヶ月ではなく数時間で脅威を特定し、拡大する前に封じ込めることを目指しています。
このプロアクティブな考え方は、私がサイバーセキュリティの「ルールを変える」と呼ぶ思考に由来しています。カーク船長が勝ち目のないコバヤシマル シナリオを受け入れなかったように、サイバーセキュリティ チームも成功を定義し直す必要があります。成功とは、あらゆる攻撃を阻止することではありません。それは不可能であるからです。成功とは、影響を最小限に抑え、検出までの時間を短縮し、断固とした対応を取ることです。
透明性向上の必要性
この分野における私の最大の不満の1つは、侵害発生時の透明性の欠如です。あまりに多くの組織が法的問題を理由にインシデントを密かに処理するため、業界はこうした事象から学ぶことができません。あらゆる侵害が、航空機事故のように徹底的な調査と調査結果の公表をもって処理されたらどうなるか想像してみてください。そこから得られる教訓が、将来のインシデント防止に役立つかもしれません。しかし実際には、問題の共有に消極的であるために、同じ過ちが繰り返されています。
共有責任としてのサイバーセキュリティ
つまるところ、サイバーセキュリティとはコラボレーションです。組織やベンダー、さらには顧客も協力して、より安全なデジタル エコシステムを構築することが求められます。Joviaでは、サードパーティのリスク監視と脅威インテリジェンスを統合し、ベンダーがセキュリティ基準を満たしていることを確認しています。しかし、それだけではなく、パートナーシップも重要です。私たちは、インテリジェンス チャネルを通じてベンダーが標的になっているとの情報を得ると、直ちに行動を起こします。手を差し伸べてリスクを把握し、軽減策を支援します。このようにプロアクティブで協力的なアプローチが、全体として必要とされているのです。
サイバー脅威との戦いは手に負えないと感じるかもしれませんが、私たちは無力ではありません。サイバー ハイジーンの基本を習得し、プロアクティブな考え方を取り入れることで、形勢を変えることができます。それは好奇心から始まります。質問をして、思い込みを疑い、敵の先を行くことです。組織内、パートナーとの間、そして業界の枠を超えたコラボレーションを通じて成長します。それを維持するのは、今日より明日を良くする回復力へのコミットメントです。サイバーセキュリティは最終目的地のない旅路かもしれませんが、価値のある旅路です。
Ford氏が出演するポッドキャスト: Threat Vectorを聴いてみたいですか? こちらから聴くことができます。
