経営層が“守るべき資産”とは何か？ セキュリティ施策の落とし穴と回避策：セキュリティ施策は「IT投資」ではない

ゼロトラストやシフトレフトといった新たなセキュリティの概念が生まれる一方、それらの施策に経営者が第一に取り組むべきどうかは検討が必要だ。経営層が絶対に守らなければならない資産をどう定義し、それをどう守ればよいのか。

[ITmedia]

　近年、サイバー攻撃による被害が深刻化している。大手製造業がランサムウェアに感染して業務に不可欠なデータを使用できなくなり、工場の操業を停止したり、決算発表を延期したりした例は、一般のニュースメディアでも大きく報道された。ランサムウェアによってファイルを暗号化されて金銭を要求され「払わなければ外部のサイトに盗み出した個人情報を漏えいさせる」と脅してくる攻撃は、大企業ほど注目されなくても各所で発生しており、もはや「一般的なもの」になりつつある。

　近年は「定義ファイルに基づくウイルス対策ソフトだけでは不十分」と判断して、未知の脅威に対応するために機械学習を使った振る舞い検知機能を持つ製品を導入したり、「100％侵入を防止するのは不可能」という考えに基づいて侵入を前提とした検知や対処の仕組みを取り入れたりしている。また、SOC（Security Operation Center）やCSIRT（Computer Security Incident Response Team）を設けて、組織的な対策に取り組む例も出てきた。これらの動きは特に大企業で先行するが、それでも被害は後を絶たない。サイバー攻撃と防御が「いたちごっこ」になっているためだ。

　進化するサイバー攻撃を防ぐために、今後も次々と新しいセキュリティ製品を導入するしかないのか。この「いたちごっこ」のサイクルから抜けてセキュリティ施策を最適化する方法とは。