このガイドラインが制定された背景には、相次ぐセキュリティインシデントの発生と、それにともなう被害の増加があります。経済産業省はガイドラインの中で、根本原因の一つに、グローバルに比較して「セキュリティ対策に対して経営者が十分なリーダーシップをとっていない」懸念を指摘。いまやIT投資が企業競争力の強化に欠かせない要因であり、事業の基盤になっていることを踏まえ、経営者のリーダーシップのもと、サイバーセキュリティの対応強化に取り組むよう求めています。
昨年、標的型攻撃の被害が相次いで報じられた直後、多くのIT担当者が「うちはどうなっている? 大丈夫か?」と経営層に尋ねられたという声を耳にしました。しかし、突然水に飛び込んだら足がつってしまうのと同じように、緊急事態が発生してから慌てて経営陣がやってきても、スムーズに事は運ばないでしょう。
こうした事態を避けるには、インシデント発生などの緊急時だけでなく平常時から定期的に、経営陣とセキュリティ担当者がコミュニケーションをとり、「今、自社のセキュリティ対策はどの程度実施できているのか」「どの部分にリスクが残存しているか」といった情報を共有し、対応手順を確認しておくことが重要です。
過去のセキュリティ対策と被害を受けた組織で見受けられたのが、その時点でベストプラクティスとされている事柄を一通り実施はするものの、なかなか継続的な改善に取り組めないケースです。その結果、脅威側の変化に追いつくことができず、被害が明らかになってから「対策していたはずなのに、なぜ侵入が起こったのか」と慌てることになる恐れも出てきます。
経済産業省のガイドラインはこうした過去の反省を踏まえ、「PDCA」の実施を求めています。重要なのは、今目の前にある脅威にだけ対処することではありません。今後新たに登場してくるであろう攻撃手法、今後新たに生まれるリスクにも備える必要があるのです。
これを実現するには、「防御」「検知」「復旧」からなる脅威対策のライフサイクルを継続的に回し、そこから得られた知見をフィードバックし、「適応力」を高めていくことが重要です。一見地道に見えるこのような繰り返しこそが、セキュリティレベルの向上につながります。セキュリティの世界においても、まさに「継続は力」なのです。
とはいえ、これを現場の頑張りだけに頼るのは、なかなか難しいことです。また、サイバーセキュリティへの知識を深め、同時に対策のためのツールを使いこなせる人材の育成には時間もコストもかかります。インテル セキュリティでは、McAfee SIEMや新製品の「McAfee Response」といったソリューションを連携させることにより、インシデントの調査・分析や復旧に要する時間を短縮を目指しています。こうしたソリューションを活用し、自動化できるところは自動化を促進するだけでなく、運用の作業効率を向上させることによって、継続的なPDCAサイクルの実現をサポートできると考えています。