幾つかのデータ漏えいや、ランサムウェア（身代金要求型マルウェア）などのマルウェアを使った攻撃が大々的に報じられたことにより、企業はセキュリティを強化する取り組みを強めている。

　確かに、企業の取締役や幹部が注意を向けるようになったのは、こうしたインシデントに関連するコストが急増したことにある。調査会社Ponemon Instituteの報告によると、データ漏えいに伴う2018年の全世界平均コストは調査時点で386万ドルに上り、2017年比で6.4％増になっている。

　専門家によると、セキュリティに対する企業の姿勢に対して経営陣の懸念が強まっているのは、最近の脅威がコストの上昇にとどまらない、深刻な影響を与えるという認識に基づく。

　サイバー攻撃は、消費者や従業員の信頼を大きく損ない、企業の市場シェアに悪影響を及ぼし、利益を食いつぶし、業務を停止させる――。そう話すのは、アプリケーションとネットワークのパフォーマンス管理製品のベンダーである、NetScout Systemsの研究部門で脅威インテリジェンスのシニアディレクターを務めるハーディク・モディ氏だ。

　GDPRのような新たな法制度の増加も、セキュリティ関連の問題を、役員室や経営陣の話題の中心に押し上げている。「こうした法制度は、セキュリティに対する企業の優先順位を上げることを求めている」と、KPMGのサイバーセキュリティサービスプラクティスの主任を務めるスティーブン・ステイン氏は話す。

改善されても残る課題

　セキュリティの姿勢を高め、データ保護の法制度への順守を強化する戦略は、企業が抱えるリスクに左右される。企業が抱えるリスク自体は業界によって異なると、KPMGでサイバーセキュリティサービスプラクティスのマネージングディレクターを務めるオーソン・ルーカス氏は語る。

　ルーカス氏によれば、最も重要な傾向の一つは、次世代セキュリティテクノロジーに重点的に投資することだという。この傾向は、特にセキュリティ業務の成熟度が高い企業で目立つ。次世代セキュリティテクノロジーは、人工知能（AI）技術と自動化を利用して、セキュリティ関連のデータを分析し、最も懸念される活動を特定する。

　Harvey NashとKPMGによる今回の調査は、セキュリティとレジリエンス（回復力）に関する人材の需要が2017年比で25％増加し、多くの企業がセキュリティの専門知識を増強しようとしていることを明らかにした。「技術的な変化に付いていけていない」と答えたCIOが65％にも達するのが現状だ。ただし厳しいIT労働者市場では、こうした人材が不足している。人材不足を補うため、自動化技術の導入を計画している企業が少なくないという。

　企業が受動的な運用から能動的な実践へと姿勢を変えることで、コンプライアンス、セキュリティ、プライバシー、リスクに対する全体的なアプローチが成熟すると、専門家は考えている。

　ステイン氏によると、企業の間でセキュリティ、データプライバシー、リスク／コンプライアンスの活動を情報ライフサイクル管理に含めようとする動きが広がっている。こうした動きは、法務やリスク、セキュリティ、ITを相互に結び付け、これらを適切に調整することで、あらゆる面でベストな結果を実現できるという期待につながる。

　ルーカス氏によると、KPMGは情報のガバナンスを重視しているという。「所有している情報、情報の転送先、情報の追跡と管理を把握している。ガバナンスが適切であれば、それがセキュリティとプライバシーの効果的な戦略の中心になる」（同氏）

　セキュリティ関連業務をより効果的かつ効率的に遂行する「セキュリティオペレーションセンター」を構築する企業が増えていると、モディ氏は説明する。「経営陣や取締役会は、人材とプロセスにさらに多くの投資をしている」（同氏）

良いところを強調する

　調査では「2018年5月の施行までに、自社がGDPRを順守できるようになる」と予測していた回答者は、15％のみだった。ルーカス氏によればGDPR順守が遅れた背景には、経営幹部によるコンプライアンスへの取り組みの遅れがあったという。企業は状況の改善に取り組んでおり、調査では企業の約半数が、GDPR順守の取り組みをほぼ完了していることが分かった。

　ルーカス氏は「自社のシステムは、サイバー攻撃に対処する準備ができていない」と語り、報告した回答者の多くと同じ見解を持つ。その上で、大半の企業が今なおセキュリティの実践を強化しようと努めていることに注目している。

　「多くの企業が準備不足を感じているだろう。大半の企業の攻撃面（攻撃対象）が著しく広がっているからだ」と、ルーカス氏は指摘する。以前のセキュリティ対策は単純な境界防御を徹底すれば、それで十分だった。現在は従業員のデバイスがオフィスに持ち込まれ、リモートで働く人々が増え、サードパーティーベンダーやパートナーによるアクセスが増えている。攻撃がますます複雑になるだけでなく、攻撃者が標的を絞り込むようになり、豊富な資金提供を受けるようになっている。

　かつてないほど企業の攻撃面が広がり、ITインフラが複雑化し、データが急増している。それでも企業は、セキュリティとプライバシーの取り組みを強化し続けている。