Last Updated on 2024-07-15 05:33 by 門倉 朋宏
データ侵害は企業組織にとって一般的な問題となっており、その原因は多岐にわたる。CISO（最高情報セキュリティ責任者）は、データ侵害を防ぐために、リモートブラウザ分離（RBI）システムの導入、ゼロトラスト戦略の実施、ITポリシーの強制と監視、インシデント対応の準備、特権アクセス管理（PAM）の強化、エンドポイントセキュリティの強化など、複数の対策を講じることができる。
コンプライアンスはセキュリティと同等ではなく、現行のコンプライアンスと罰則の効果について再評価する必要がある。セキュリティリーダーは、従業員教育とセキュリティ文化の促進、新たな技術の活用とセキュリティプラクティスの改善、シンプルな対策の実施によりデータ侵害の減少を目指すべきである。
【ニュース解説】
データ侵害が企業組織にとって一般的な問題となっている現状は、世界中の企業が直面している深刻な課題です。この問題は、個人情報や企業の機密情報が不正にアクセスされ、漏洩する事態を指します。特に、最近では23&Me、Okta、United Healthcare、American Expressなどの大手企業で大規模なデータ侵害が発生し、消費者の敏感な情報が危険にさらされました。2022年から2023年にかけてデータ侵害が20%増加し、2024年の初めにもMicrosoftやRokuなど多くの企業がデータ侵害に直面しています。
データ侵害の背景には、人的要因が大きく関与しています。例えば、Oktaの事例では、社員が個人のGoogleプロファイルを会社のラップトップで使用したことが侵害の原因となりました。このような seemingly innocuous behaviors（無害に見える行動）が、セキュリティポリシーに違反し、脆弱性を生じさせることがあります。
このような状況を踏まえ、CISO（最高情報セキュリティ責任者）は、以下の6つの対策を優先事項として考慮する必要があります。
1. リモートブラウザ分離（RBI）システムの導入：人的ミスによるセキュリティインシデントを軽減します。
2. ゼロトラスト戦略の実施：すべてのリクエストを未認証と見なし、アクセス前に認証、承認、暗号化を要求します。
3. ITポリシーの強制と監視：個人アカウントの業務デバイス使用を防ぎ、ポリシー違反を自動的に検出します。
4. インシデント対応の準備：迅速かつ透明性のある対応で、侵害の影響を最小限に抑えます。
5. 特権アクセス管理（PAM）の強化：従業員の認証情報が侵害されても、アクセスを制限し、損害を最小限に抑えます。
6. エンドポイントセキュリティの強化：第三者のアカウントを介したアクセスを防ぎます。
しかし、コンプライアンスがセキュリティを保証するわけではないことに注意が必要です。GDPRやPCI DSSなどの重要な規制が導入され、違反には重大な罰金が科されますが、これらの罰則が市場全体に大きな影響を与えているわけではありません。実際、GDPR違反の罰金が企業の市場価値に与える影響は限定的であり、セキュリティ侵害の発表が企業の市場価値を平均約1%しか減少させないことが示されています。
このような状況では、セキュリティリーダーは従業員教育とセキュリティ文化の促進、新たな技術の活用とセキュリティプラクティスの改善、シンプルな対策の実施によりデータ侵害の減少を目指すべきです。セキュリティの専門家がその実践を向上させる一方で、データ侵害を引き起こす攻撃者も新たな手法を開発しています。しかし、人的ミスを防ぐための基本的な対策を講じることで、システムへの不正アクセスを困難にすることができます。セキュリティ教育を受けた従業員がいることは、デジタルシステムを極端なリスクから守るための重要な一歩です。
from Why data breaches have become ‘normalized’ and 6 things CISOs can do to prevent them.
