完全無欠なセキュリティ対策など存在しない
「セキュリティ事故は突然に」、インシデント後に増える予算を効果的に使うコツ
サイバーセキュリティの予算は、インシデント発生後に急激に増加する。だが、その予算を最適に使うには、どのように使うべきなのだろうか。
サイバー攻撃インシデントの発生時には、サイバーセキュリティの予算が驚異的に増加する。場合によっては、最高情報セキュリティ責任者(CISO)の辞任や最高情報責任者(CIO)の辞任につながることもある。だが、これは実際のところ保守的な対応だ。問題は再発の軽減および防止するために、どこに予算を割り当てればよいのかだ。
併せて読みたいお勧め記事
セキュリティ予算はどう使うべき?
「次世代ファイアウォール」の次を読む
「次世代ファイアウォール」とは何か
組織はどのチャネルを強化する必要があるのだろうか。複数の調査では、インシデントによってサイバーセキュリティコストが増加した場合、投資対象を見直すことが提言されている。具体的には、Ponemon Instituteによる「2015 Cost of CyberCrime: United States」(2015年の米国におけるサイバー犯罪のコスト)調査や、Kaspersky Labの「Damage Control: The Cost of Security Breaches」(被害対策:セキュリティ侵害のコスト)レポートなどでその内容が提言されている。
Ponemon Instituteの調査の分析では、サイバーセキュリティの予算に関する問題の解決策が提示されている。それは、攻撃の脅威を防ぐための特定のタスクを重視することである。具体的には次のようなタスクだ。
- セキュリティ管理とIPS(侵入防止システム)/次世代ファイアウォールを確立することで攻撃の回数減らす
- 堅牢なSIEM(Security Information and Event Management)を使用して攻撃を短時間で解決する
- 暗号化と保護によってアプリケーションとデータのセキュリティを強化し、被害を最小限に抑える
情報セキュリティには、投資対象を絞るのに役立つ3つの基本的な合言葉がある。それは、「多層防御」「最小権限の原則」「情報セキュリティのビジネスリスク対策」の3つだ。
多層防御:最適な制御方法はできるだけ入り口近くで防ぐことだ。不正開錠できない金庫の中に貴重品を保管し、金庫自体を見えない場所に置いたからといって、家の玄関の安全性が低いままでは、問題が無いと考えるのは賢明ではない。実際には、強盗は家の中に侵入してくる。必要なのは、さまざまな層に適切なレベルのセキュリティを配置し、1つの防御手段に頼らないことだ。組織についても同じことがいえる。また、防御レベルは保護すべき資産の価値に見合ったものにしなければならない。
最小権限の原則:重要な資産へのアクセスは、情報適格性に基づいて対応される必要がある。つまり、デフォルトのアクセスは「全て拒否」にし、職務に応じて必要な役割ベースのアクセス権限を実装して、経営陣によって適切な承認をしなければならない。下記などがこの取り組みで役に立つ。
- ホワイトリスト
- アプリケーション機能のセキュリティ
- 変更管理
- セグメンテーション
- 職務の分離
情報セキュリティのビジネスリスク対策:防御はビジネスリスクと足並みをそろえなければならない。これを促進するのは、情報セキュリティのリスク評価と戦略的なビジネス目標との連係だ。例えば、小売業者によってはWebサイトを持たず対外的にオンラインに存在しないところもある。その場合、小売業者に代わってクレジットカードの支払いを処理するサービスプロバイダーなどが該当する。また、小売店を持たず、Webにしか存在しない企業もある。この場合ビジネスモデルに応じて、セキュリティ予算に防御の費用を計上することをお勧めする。
全てのセキュリティのインシデントや侵害からは学ぶ必要がある。例えば下記の内容を突き止めるべきだ。
- セキュリテイのインシデントや侵害はどのように生じたのか
- どうすれば再発を防止できるのか
- インシデントやセキュリティ侵害が生じた場合や他のチャネルが侵害された場合にそれをどのように監視できるのか
リスク評価の結果と照らし合わせた強力かつテスト済みのインシデント対策を確立しなくてはらない。完全無欠なセキュリティなどというものは存在しないが、サイバーセキュリティ予算を重要な項目に費やせば、セキュリティインシデントが発生したときの企業全体に対するリスクは、大幅に軽減できる。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[ファインディ株式会社] AI利用率だけでは説明できない成果 開発組織の競争力を生む「開発資本」とは? -
製品資料
[ニュータニックス・ジャパン合同会社] AI活用を成功へ導く、シンプルで費用対効果に優れたクラウド基盤とは? -
製品資料
[ニュータニックス・ジャパン合同会社] マネージドKubernetesには限界も――メリットをフル活用する新たな選択肢とは? -
技術文書・技術解説
[ニュータニックス・ジャパン合同会社] 決断の日が迫る「vSphere 8」サポート終了問題 考慮すべきリスクと選択肢は? -
製品資料
[サイバーソリューションズ株式会社] メール誤送信対策のルールが肥大化 苦しむ情シスはどうすれば救われるのか?
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に? ベテランエンジニアを追い込む“54歳の壁”
-
2
「アップグレードできないJava」をどう守る IBMとRed HatがAIで400件超修正
-
3
「Wi-Fi 7」経由でWindowsが乗っ取られる? 最高権限奪取の恐怖
-
4
Copilot導入で陥る“目的化”の落とし穴 定着の鍵は「作り込まない」こと
-
5
パッチなしで「今すぐサーバを落とせ」 Kiteworks異例警告の波紋
-
6
kintoneで実践 製造業のための「見積もり管理」改善のヒント
-
7
「企業におけるAI導入検討度とIT投資優先度」に関するアンケート
-
8
なぜ「全社配布Copilot」は使われないのか? 失敗に学ぶAI定着
-
9
「IoT通信環境の構築・運用」に関するアンケート
-
10
OpenAIやAnthropicでさえ制御不能 2026年夏「3大サイバー攻撃」の衝撃
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する? 超速の攻撃からエンドポイントを保護する方法
-
2
家庭用Wi-Fiルーターの業務利用は危険? 避けるべき理由と具体的な対策
-
3
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
4
システムの保守がモダン化を阻む? 「変えない判断」から脱却する方法とは
-
5
不審メールの経路や見せ方に変化? 2026年夏の3事例から見えた動向と対処方法
-
6
最速72分でデータが流出? 最新の脅威トレンドや侵入手法から分かった防衛策
-
7
「IT史に名を残すシステム障害」8選
-
8
Linux初心者でも知らないとまずい「RHEL」「SLES」の違いとは?
-
9
東大教授と考える、AI時代の「データ主権」「信頼性」「ガバナンス」の在り方
-
10
マンガで学ぶXDR/MDRのメリット、中小企業のセキュリティ強化になぜ有効か?
TechTargetジャパン SNS
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー