2022年のサイバーセキュリティ：7つのトップ・トレンド

• 巧妙で新しい脅威に対処するために、セキュリティのテクノロジ・スタックを再考する。

• セキュリティ体制を強化するために、サイバーセキュリティに関する意思決定をビジネス部門に委ねる。

• サイバーリスク・マネジメントを向上させるために、セキュリティ・プラクティスを進化させ、構成し直す。
  

セキュリティ／リスク・マネジメント (SRM) のリーダーは、組織のデジタル・フットプリントが拡大し、中央集権型のサイバーセキュリティ・コントロールが時代遅れになる中、重大な岐路に立たされています。

ハイブリッド・ワークのほか、クラウドでのデジタル・ビジネス・プロセスにより新たなリスクが発生しています。同時に、巧妙なランサムウェア、デジタル・サプライチェーンへの攻撃、深く埋め込まれた脆弱性の脅威により、企業におけるテクノロジ・ギャップとスキル不足が露呈しています。

ガートナーのアナリストでバイス プレジデントのピーター・ファーストブルック (Peter Firstbrook) は次のように述べています。「こうしたディスラプション (混乱) は単独で存在するのではなく、複合的な影響力を持ちます。リスクに対処するために、最高情報セキュリティ責任者 (CISO) は、セキュリティ侵害を防御するテクノロジストから、サイバーリスクに対処する企業ストラテジストへと役割を移行する必要があります。

今すぐダウンロード：セキュリティ／リスク・マネジメント・リーダーの戦略的優先課題トップ3

以下の7つのトレンドを理解することで、新たなリスクにより良く対応し、自身の役割レベルを高める助けとなりますが、セキュリティ・プラクティスを構成し直し、テクノロジを再考するとともに、新たな脅威に対応できるよう備える必要もあります。

現在、ナレッジ・ワーカーの60%はリモートで働いており、少なくとも18%はオフィス勤務に戻ることはないでしょう。こうした働き方の変化に加え、パブリック・クラウドの利用拡大、高度につながったサプライチェーン、サイバー・フィジカル・システムの利用も相まって、対処の難しい新たな攻撃「対象範囲」が生じています。

そのため、組織は攻撃に対して、さらに脆弱な状態になっています。ガートナーは、セキュリティ・リーダーに対し、セキュリティの監視、検知、対応という従来型のアプローチにとどまらず、より広範囲にわたって一連のリスクを管理することを推奨しています。

アイデンティティ・システムは継続的な攻撃にさらされています。今や認証情報の不正利用は、攻撃者がシステムへのアクセスや目標の達成のために用いる主要な手段です。例えば、SolarWindsのセキュリティ侵害では、攻撃者がターゲット・ネットワークに侵入するために用いたのは、サプライヤーの特権的なアクセス権でした。

ガートナーでは、アイデンティティ・システムを防御するためのツールやプロセスをまとめて「アイデンティティ脅威検知／対応」(ITDR) と称しています。長期的には、さらに集約されたソリューションが登場すると見ています。

2025年までに全世界の組織の45%が、ソフトウェア・サプライチェーンに対する攻撃を経験し、その割合は2021年から3倍に増加するとガートナーは予測しています。

セキュリティ／リスク・マネジメントのリーダーは、他の部門と連携してデジタル・サプライチェーンのリスクに優先順位を付け、サプライヤーに対してセキュリティのベスト・プラクティスを実証するよう強く要請する必要があります。

セキュリティ・プロダクトの融合が進んでいます。ベンダーは、セキュリティ機能を単一のプラットフォームに集約し、価格やライセンスのオプションを導入することで、パッケージ・ソリューションの魅力を高めようとしています。

セキュリティ機能の集約化は、交渉力の低下や単一障害点の可能性など、新たな課題を生じさせる場合もありますが、複雑さの緩和、コストの削減、運用効率の改善が可能になり、全体的なセキュリティの強化につながることから、ガートナーでは、歓迎すべきトレンドとして見ています。

サイバーセキュリティ・メッシュとは、分散型の企業が、オンプレミス、データセンター、クラウドなどの場所に関係なく、資産に対するセキュリティを導入／統合できるようにする最新の概念的なセキュリティ・アーキテクチャ・アプローチです。

2024年までに、サイバーセキュリティ・メッシュ・アーキテクチャを採用した企業は、個別のセキュリティ・インシデントによる財務への影響を平均で90%低減させられるとガートナーでは予測しています。

経営上層部は、デジタル・ビジネスの優先課題をサポートするために、迅速かつ俊敏なサイバーセキュリティ機能を必要としています。しかし、ビジネスのデジタル化が進むにつれ、この業務を中央集権型のCISOが担うには大きくなりすぎます。先進的な企業では、CISOオフィスを設立して、分散型のサイバージャッジメントを可能にしています。

今後はCISOと中央集権的な部門が引き続き方針を設定する一方で、サイバーセキュリティ・リーダーが組織の各所に配置され、セキュリティに関する意思決定が分散化されるようになるでしょう。

人的要因は依然として、大半のデータ侵害の主因になっており、従来のセキュリティ意識向上トレーニングのアプローチが効果的ではないことを示しています。進歩的な組織は、旧態依然としたコンプライアンス中心の意識向上キャンペーンではなく、よりセキュアな働き方を実現できるよう設計されている全体的な行動／文化プログラムに投資しています。