心理学者ダニエル・カーネマンが最近亡くなった。彼の著書「ファスト＆スロー」では、直感に基づく即時反応の思考と、より遅く、論理的で熟考された思考の二つの方法について論じている。この本は、戦術、運用、戦略計画をどのように考えるか、そして心理学と人間理解を用いてそれらをどのように改善できるかを考えるきっかけを与える。特に、リスク管理の戦略的目標を達成するためにこれらの思考モードをどのように理解し、活用できるか、また、両方の思考モードの長所を取り入れるためにアプローチを変えることができるかが重要である。
CISO（最高情報セキュリティ責任者）は、リスクに関する長期的な目標を常に念頭に置く必要がある。組織を安全に保ち、企業データを保護することは、さまざまなスキル、先見の明、計画を要する。同時に、ITセキュリティチームは、新しい問題の発見、新しいランサムウェアギャングの活動開始、古い脅威の重要性の変動など、脅威の風景が日々変化する中で対応する必要がある。パッチの適用は迅速に行う必要があり、潜在的な悪用や武器化に先んじる必要がある。研究によると、パッチを適用するまでの平均時間は約30日である。
リスク管理は、長期計画と急速に変化するパラメータへの短期対応を含む。最大の過ちは、反応を容易かつ効果的にするために事前計画が必要な場所を見逃すことである。企業は、データセンター環境の従来のIT資産と、コンテナ化されたシステムなどの新しいクラウドネイティブアプリケーションが共存する非常に異なるITプラットフォームを持っている。これらのシステムはすべて管理され、安全に保たれる必要があり、それらを取り巻く思考とプロセスは通常、異なる考え方を必要とする。
CISOにとって、シフトレフトセキュリティのようなアプローチは、開発者がコードとパイプラインのセキュリティを向上させることを可能にするが、これらのアプローチはセキュリティと開発チーム間の協力に依存している。リスク管理は、迅速な対応と戦略的思考の両方を要求するため、過去に立てた計画は新しい証拠に基づいて変更されることがあり、迅速に反応する能力は、何年も前にインフラストラクチャに関する決定に依存することがある。リスクを軽減するためには、CISOは問題を文脈で理解し、適切にスコアリングする必要がある。
【ニュース解説】
心理学者ダニエル・カーネマンの著書「ファスト＆スロー」は、私たちの思考プロセスには二つの異なるモードがあると提唱しています。一つは直感に基づく即時反応の「ファスト」な思考であり、もう一つはより遅く、論理的で熟考された「スロー」な思考です。この理論は、特にリスク管理の分野での戦術、運用、戦略計画の見直しや改善に役立つ洞察を提供します。
CISO（最高情報セキュリティ責任者）は、組織のセキュリティとデータ保護を担う重要な役割を持ち、長期的なリスク管理目標を常に視野に入れています。しかし、ITセキュリティチームは日々変化する脅威の風景に迅速に対応する必要があり、新しい脅威の発見やランサムウェアギャングの活動開始など、即座に行動を起こす必要があります。このような状況では、パッチの迅速な適用が重要であり、研究によるとパッチを適用するまでの平均時間は約30日とされていますが、脅威が武器化されるまでの時間はそれを上回ることがあります。
リスク管理においては、長期計画と短期的な対応のバランスが求められます。計画を立てる際には、将来的な反応を容易にし、より効果的にするための事前の準備が必要です。企業は従来のIT資産と新しいクラウドネイティブアプリケーションが共存する複雑なIT環境を管理する必要があり、これらの異なるシステムは異なる思考とプロセスを必要とします。
シフトレフトセキュリティのようなアプローチは、開発者がセキュリティを強化することを可能にしますが、これはセキュリティチームと開発チーム間の協力に大きく依存しています。リスク管理は迅速な対応と戦略的思考の両方を必要とするため、過去の計画は新しい証拠に基づいて変更されることがあります。CISOは問題を文脈で理解し、適切に評価することで、リスクを軽減し、長期的な成果に集中することができます。
この理論を理解し、適用することで、CISOやITセキュリティチームは、直感的な反応と論理的な計画のバランスを取りながら、組織のセキュリティを強化し、リスクを管理することができます。これは、セキュリティ対策の効果を最大化し、組織を保護するための重要な戦略となります。