ご存じかと思いますが、次のことは繰り返し伝える価値があります。COVID-19の流行ですべてが一変し、オフィスから在宅勤務への急速な移行によって、パンデミックに乗じて広まる新しいタイプのセキュリティ脅威が生じました。

私たちの互いのつながりは、かつてないほど強まっています。このような状況では、ゼロトラスト、つまり、ユーザーやソフトウェアをデフォルトで信頼しないことを前提としたID管理とアクセス管理に取り組む必要があります。このメッセージを発したのは、ヒューレット・パッカード エンタープライズの後援の下で開催された最近のオンラインセミナー「The Element of Protection」の講演者であるサイバーセキュリティの専門家たちでした。

攻撃手法として選ばれているのは、ソーシャルエンジニアリングです。米国国防総省の元上級諜報部員であるTyler Cohen Wood氏によれば、その一例として、従業員の子供たちを標的とし、リモートで授業に参加する子供に悪質なファイルを送りつけてダウンロードさせるという手法があります。

このような攻撃に対抗するには、組織や両親がサイバーセキュリティの意識を高めるトレーニングに力を入れて、「個人、家族、ビジネス、会社、そして国の各レベルで自分を守るための対策を講じる」必要があります。その多くでは、職場と自宅の環境を切り離すことが求められます。

本質的に、家庭は、ビジネスで保護する必要がある境界線上にあるもう1つのエンドポイントになっているとモデレーターのClint Watts氏は言います。彼は米国にある外交政策研究所の著名な特別研究員であり、元FBI特別捜査官でもあります。

ゼロトラストの手法を用いた戦略の実践

ランサムウェア攻撃や知的財産の盗用が増えていることからわかるとおり、攻撃者は常に私たちのテクノロジー依存を利用しようとしているため、企業はこの問題に真剣に取り組む必要があります。HPEのバイスプレジデント兼情報セキュリティ部門副部長のDrew Simonisは、企業は自社の資産と攻撃者の能力について把握し、重要な資産を中心として予防的な保護対策を講じなければならないと助言しています。

彼は、セキュリティを高めるような企業文化を従業員が支える必要があることを認めていますが、それには時間と労力がかかります。

人、システム、ソフトウェアは今や世界中に分散しており、相互につながっています。エッジからクラウドへの移行が進んでおり、その動きはパンデミックによって加速しました。このような状況では、人や場所、システムの周りに境界線を定めるという考え方は「まったく役に立たなくなりました」と、HPEのシニアディレクターであるSunil Jamesは指摘します。

「私たちは、人もシステムも移動するのだと認める必要があります」と彼は続けます。

Jamesによれば、COVIDの流行によって、各要素が決まった場所にあるかどうかが定かではなくなった世界で、それらをまとめるシステムの構築方法を考え直す時期にきています。組織がこの大きな変化に対応するには、ゼロトラストモデルの採用を検討する必要があります。

カスタマー・エクスペリエンスにゼロトラストを組み込む

オンラインセミナーで、HPEのサーバーソフトウェアおよびセキュリティ製品担当ディレクターであるBob MooreとHPEの顧客が話し合ったテーマは、従業員の継続的な教育、信頼できるパートナーとの共同作業、組織が最新のセキュリティ製品を確実に使用することの重要性です。

「クラウド環境における資産管理の課題は、これまでとは違い、資産がまったく静的ではないということです」と、Dropbox社のセキュリティスタッフエンジニアであるToby Kohlenberg氏は指摘します。

ただし、パンデミック中にソーシャルエンジニアリングの手法が増えているとは言え、「根本的な脅威は変わっていません」と同氏は付け加えます。職場にいる従業員が攻撃対象になることは減ったかもしれませんが、現在でも、彼らはテレワークが基本の「バーチャルファースト環境」で攻撃対象になっています。

Kohlenberg氏は、Dropbox社のリードコーポレートエンジニアである同僚の講演者Andrew Bleil氏と自分は「アクセスを排除することを意味するゼロトラストよりも、きめ細やかなトラストやダイナミックトラストという表現を好んでいます」と述べています。

オンラインセミナーに出席した顧客は、セキュリティのベストプラクティスについて従業員を教育する方法についても話しました。「Dropbox社では、信頼に値することが最優先です」とKohlenberg氏は言います。同社ではトレーニングや研修が随時行われており、特に「Trustober」 (毎年10月に開催される全社的なセキュリティ啓蒙イベント) の期間中には集中して実施されています。

テキサス小児科病院のCISOであるTeresa Tonthat氏は、毎月の模擬訓練を通じて、悪意のある電子メール、業務に関する電子メールの漏洩、フィッシングに対処できるようにスタッフを教育していると言います。この訓練は年次トレーニングの必須要件にもなっています。

セキュリティバイデザインという考え方

今では多くの人が在宅勤務をしているため、ID管理が問題になっているとTownsend氏は言いますが、良いニュースもあります。ユーザーは、パスワードやセキュリティの重要性について以前よりはるかに理解しています。最終目標はゼロトラストですが、組織はID管理ツールの運用に苦労しているので、「業界全体で最大の課題はユーザー教育です」と彼は主張します。

Jamesによれば、HPEは、データが作成されて処理されるまで、その保存場所に関係なく対応できる継続的なプラットフォームを提供し、すべての過程でデータのセキュリティを確保できるソリューションに取り組んでいます。

人が関わる部分については、セキュリティが組織の文化の一部になっていることが成功には不可欠であり、セキュリティの一般的な原則に関するトレーニングだけでなく、職種別のトレーニングも必要になるとTownsend氏は言います。

さらに、組織はセキュリティバイデザインの考え方を導入すべきだと彼は付け加えます。つまり、プロジェクトを始めるときは必ずセキュリティチームに加わってもらい、セキュリティは必須だという姿勢で臨むのです。

セキュリティはできるだけ簡単に実装できるようにすべきで、セキュリティの重要性はトップダウンで強調する必要があるとTownsend氏は言います。従業員を関与させることで、彼らもセキュリティに気を使うようになります。

^{この記事/コンテンツは、記載されている特定の著者によって書かれたものであり、必ずしもヒューレット・パッカード エンタープライズの見解を反映しているわけではありません。}