How To Develop a Cyber Security Strategy

ビジネスのためのサイバーセキュリティ戦略を構築する方法

企業のサイバーセキュリティ戦略は、組織固有のセキュリティニーズに合わせて調整する必要があります。 さまざまな業界や場所の中小企業は、非常に異なる脅威に直面し、異なるセキュリティ要件を持つ可能性があります。 ここでは、効果的なサイバーセキュリティ戦略の策定と実装に向けた6つのステップをまとめました。

#1.サイバー脅威の状況を理解する

すべての組織は、さまざまな要因に依存する独自のサイバー脅威の状況に直面しています。 サイバー脅威アクターは、最近の ランサムウェア キャンペーンの急増など、年々さまざまな種類の攻撃に力を注いでいます。 特定の脅威アクターが特定の業界や地域を標的にするため、組織の業界と場所は重要な役割を果たします。 企業がサイバー脅威にさらされるかどうかは、クラウドベースのインフラストラクチャがあるかどうか、IoTシステムが企業ネットワークに接続されているかどうか、インターネットやダークウェブで利用可能なデータの種類など、他の要因によっても影響を受ける可能性があります。

効果的なサイバーセキュリティ戦略には、組織が直面する可能性のある サイバー脅威 を明確に理解する必要があります。 企業は、次のようなさまざまなソースからの潜在的な脅威に関する洞察を得ることができます。

• ビジネスに対する過去の攻撃
• 同業他社への攻撃
• 脅威インテリジェンスフィード

組織は、直面する可能性のある脅威を特定した後、それらを防止および保護するための戦略を策定できます。 その後、サイバーセキュリティのソリューション、プロセス、および手順を導入して、企業のリスクエクスポージャーへの影響を最大化できます。 たとえば、ランサムウェア対策の展開は、現在のサイバー脅威の状況において主要な優先事項です。

#2.サイバーセキュリティの成熟度を評価する

平均的な組織は IT予算の約21%をサイバーセキュリティに充て ているため、 SMBのセキュリティプログラムに利用できるリソースは、フォーチュン500企業のリソースとは大きく異なります。 企業の年齢、リソースの可用性、規制要件、およびその他の要因はすべて、組織のサイバーセキュリティの成熟度に影響を与える可能性があります。 これらのさまざまな成熟度レベルは、組織が攻撃が成功する確率と、それが企業に与える影響に影響を与えます。

サイバーセキュリティの成熟度評価は、組織のITインフラストラクチャのインベントリから始まります。企業が所有するIT資産と、収集、保存、処理するデータの種類を理解することで、組織が管理する必要があるセキュリティリスクの種類に関する洞察が得られます。 たとえば、価値の高い財務データや医療データを処理する組織は、機密性の低いデータを扱う組織よりも、より厳格なデータプライバシーと分類セキュリティ制御を実装する必要があります。 また、ITデバイスやインフラの種類が異なれば、管理しなければならないセキュリティリスクも異なります。

組織の資産とそれに関連する脅威とリスクを特定した後、企業は、実施しているセキュリティ制御と、それらの資産を保護するために必要なものを比較し始めることができます。 セキュリティの成熟度を評価する場合、コンプライアンス標準、フレームワーク、ベンチマークは有用なツールになります。

#3.セキュリティベンチマークとコンプライアンス標準の活用

効果的なセキュリティ戦略を策定することは、大変なことのように思えるかもしれません。 ただし、組織はゼロから始める必要はありません。 セキュリティのベスト プラクティスを実装し、組織にとって効果的なセキュリティ戦略を策定する方法に関するガイダンスを提供する多くのリソースが存在します。

組織が採用することを選択する可能性のあるセキュリティベンチマーク、標準、およびフレームワークは、セキュリティプログラムの目標によって異なります。 多くの場合、企業は機密データの保護方法を義務付けるさまざまな規制の対象となります。 たとえば、米国の医療情報は医療 保険の相互運用性とアクセシビリティに関する法律 (HIPAA) の下で保護され、支払いカード所有者のデータは Payment Card Industry Data Security Standard (PCI DSS) の管轄下にあり、EU の一般データ保護規則 (GDPR) などの他のデータ プライバシー法は他の集団や種類のデータを保護しています。

企業は、 ISO 27001 や SOC2 などのオプションの規格でコンプライアンスを追求することもできます。 組織がこれらの規制の対象となる場合、標準で概説されている必要なセキュリティ制御は、サイバーセキュリティ戦略の出発点として適しています。

組織のセキュリティポリシーが内部主導の場合、これを支援するための多数の標準とフレームワークが存在し、コンプライアンスの取り組みをサポートすることもできます。 例としては、 NIST サイバーセキュリティ フレームワーク (NIST CSF) や Center for Internet Security (CIS) Top 20 Controls などがあります。 これらの標準にはサイバーセキュリティのベストプラクティスが含まれており、組織はセキュリティ戦略をHIPAAや PCI DSS などの規制に合わせることができます。

#5.予防と検出の両方の方法を活用

検出に重点を置いたセキュリティ戦略により、組織は潜在的な脅威を特定し、インシデント対応をトリガーするように設計されたサイバーセキュリティソリューションを導入します。 ただし、脅威の検出はサイバーセキュリティ戦略の有用なコンポーネントですが、本質的に事後対応型です。 組織が対策を講じる頃には、脅威はすでに存在し、組織のシステムに存在する可能性があるため、攻撃者はデータを盗んだり、損害を与えたり、その他の悪意のあるアクションを実行したりする機会を得ることができます。

効果的なサイバーセキュリティ戦略は、脅威の検出ではなく、脅威対策に重点を置いています。 組織が攻撃を受ける可能性のあるさまざまな方法を特定し、これらのセキュリティギャップを埋めることで、組織は組織に対する攻撃の潜在的なリスクとコストを排除します。 脅威対策ソリューションは、脅威を排除するために可能な限り使用し、組織がギャップをすり抜ける攻撃を特定して対応できるようにする検出テクノロジによってサポートされる必要があります。

#5.サイバーセキュリティアーキテクチャの設計

サイバー脅威の状況と組織の現在のセキュリティ成熟度を理解することで、セキュリティ戦略が対処すべき問題に対する洞察が得られます。 予防に重点を置いたアプローチで実装されたサイバーセキュリティ基準は、そのためのガイダンスを提供します。 この情報を使用して、企業は サイバーセキュリティアーキテクチャの設計を開始できます。

サイバーセキュリティアーキテクチャは、セキュリティのベストプラクティスに基づいて設計する必要があります。 取り入れるべき重要な概念には、次のようなものがあります。

• Zero Trust Security: ゼロトラストセキュリティモデルでは、企業リソースへのアクセスに対するすべての要求がケースバイケースで評価されます。 ロールベースのアクセス制御とその他のリスク要因が評価され、要求を許可するか拒否するかが決定されます。 ゼロトラストを導入することで、組織はサイバーリスクを軽減し、脅威アクターが侵害されたアカウントやソフトウェアを使用して検出されずに目標を達成することをはるかに困難にします。
• 多層防御: 完璧なセキュリティソリューションはなく、攻撃者は単一の防御線を回避、バイパス、または無効化できる可能性があります。 複数の防御線を実装することで、組織がビジネスに損害を与える前に脅威を検出して対応できる可能性が高まります。

#6.セキュリティ・インフラストラクチャの統合

セキュリティチームが直面する最も一般的な課題の1つは、スタンドアロンのセキュリティソリューションの分断されたアーキテクチャによる過負荷と燃え尽き症候群です。 組織がネットワークに展開する独立した各ソリューションは、効果的に構成、保守、および監視する必要があります。 人員が限られている場合、それに伴うオーバーヘッドは、検出の見逃しや可視性、セキュリティギャップにつながります。

効果的なセキュリティ戦略は、 統合されたセキュリティアーキテクチャによって支えられています。 統合されたセキュリティアーキテクチャにより、セキュリティアナリストはセキュリティインフラストラクチャを1か所から監視および管理できます。 これには、次のような多くの利点があります。

• 視認性の向上: 統合されたセキュリティアーキテクチャは、単一のダッシュボードから組織のセキュリティアーキテクチャのあらゆる部分を可視化します。 これにより、セキュリティの監視と管理を複数のソリューションのダッシュボードに分割することで生じる可視性のギャップが解消されます。
• より良いパフォーマンス: 統合されたセキュリティアーキテクチャは、セキュリティアナリストが完全なセキュリティアーキテクチャを管理するための単一のダッシュボードを提供します。 これにより、複数のツール間でのコンテキストの切り替えや、さまざまなソースからのデータを手動で集計および分析することに伴う非効率性が解消されます。
• 効率的なカバレッジ: 統合されたセキュリティアーキテクチャは、組織のセキュリティリスクを包括的にカバーするように設計されています。 これにより、セキュリティギャップや、スタンドアロンのセキュリティソリューションによって作成される冗長で重複する機能が排除されます。
• TCOの削減: セキュリティの統合により、セキュリティチームとセキュリティアーキテクチャの効率が向上 これにより、冗長性と非効率性が排除され、総所有コスト(TCO)が削減されます。
• 自動化の促進: 統合されたセキュリティアーキテクチャは、組織のセキュリティインフラストラクチャのすべてのコンポーネントをリンクします。 これにより、自動化が進み、脅威の検出が向上し、潜在的な攻撃に協調して対応できるようになります。