複雑なネットワーク環境のコントロールを回復

私が大手国際銀行のCISOを務めていた頃、セキュリティ関連の予算は10億ドル、担当従業員は1,500名いました。しかし、それだけのリソースがあっても、セキュリティを強化して、進化する脅威からビジネスを守るには不十分でした。さまざまな重要セキュリティツールをデプロイしましたが、予算増大、人員増加の要望がたびたび上がってきました。

環境管理の複雑さが問題を悪化させました。ツールを追加するたびに支出が増え、管理する人員を採用しなければなりませんでしたし、環境全般の可視性を保ちコントロールを維持することがますます難しくなっていきました。もちろん、規制の厳しい銀行業界の大手企業ですから、セキュリティには多額の投資が必要でした。同レベルのリソースが使える企業は少ないでしょう。しかし、同様の問題は多くの企業（小規模のスタートアップ企業から大企業まで）に見られます。可視性とコントロールを維持する難しさに加え、さまざまなセキュリティ脅威に直面しているのです。

私は自分の経験を踏まえて、セキュリティに対する旧来の戦略や考え方の一部を見直しました。例えば、複雑さの問題はお金を注ぎ込めば解決するものではないと認識を改めたのです。それと同様に重要なのは、複雑で分散した環境のコントロールを回復するにはセキュリティの自転車操業を脱し、統合に向けた取り組みを加速する必要があると悟ったことです。

1. セキュリティの自転車操業を脱却

リスクは日々増大し、際限がありません。一方、大企業の環境は拡張し、複雑化して、可用性とコントロールが失われていきます。この複雑さの原因はいったい何なのでしょうか？今日のセキュリティチームは、データセンターを保護し、パブリッククラウドやSaaSへの脅威、さらにはパブリックインターネットへの脅威にも対抗しなければなりません。私たちは皆、Webアプリケーションファイアウォール（WAF）、分散サービス妨害（DDoS）軽減、クラウドアクセスセキュリティブローカー（CASB）、侵入検知などのポイントソリューションで、進化する脅威の状況に対応しようとしてきました。しかし、それらのソリューションとベンダーの管理が加わって、問題はますます複雑になります。テクノロジーをデプロイするたびにそれを習熟し、運用の耐障害性を維持しなければならないからです。

この複雑さを克服するには、どうすればよいのでしょうか？第一歩は、現状のまま続けることはできない、コストがかかりすぎるし、あまりにも多くのリスクを抱えることになると認識することです。

2. 統合を加速

統合（つまり余剰能力の活用とテクノロジーの重複排除）によって既存セキュリティスタックのベンダーへの投資効果を最大化すれば、複雑さの排除とコントロールの回復に大いに寄与することがわかりました。例えば15のセキュリティ製品を単一のプラットフォームに統合できれば、セキュリティの効率化、コスト削減、トラブルシューティングの簡略化、リスク低減が実現します。複数の製品から単一の統合プラットフォームに移行すると運用コストを最高50%削減でき、それをビジネスに再投資できるということを、私は身をもって知りました。

とにかくシンプルさが鍵です。私がこれまで勤務してきた企業はほぼすべて、いくつものセキュリティツールを拙い設定で使っていました。使用する製品が少なければ、セキュリティチームはその機能をじっくり理解することができ、最適の設定が可能になります。最終的には、それが複数のポイントソリューションを使うことで生じたギャップを埋め、問題の検出にかかる時間を短縮し、製品コストと運用コストの両方を削減することにつながるのです。

統合を恐れてはいけません。何も、ベストインクラスのソリューションを放棄するわけではありません。ベストインクラスのプラットフォームを手に入れるのです。ベストインクラスのポイントソリューションにも限界や脆弱性はあるのです。私がCISOに就任してまもない頃、私のチームはベストインクラスのWAFを使っていましたが、それでもサービス妨害攻撃を受けました。なぜでしょうか？WAFがその種の脅威に対抗するよう設計されていなかったからです。チームは適切なテクノロジーを導入したつもりでしたが、実はそうではなかったのです。

ベンダーを統合しても、柔軟性や拡張性がなくなるわけではありません。柔軟に変更できて、ネットワークの拡大に伴って拡張可能な、接続されたコンポーザブルプラットフォームを実装すればよいのです。

3. ドメインを統合

統合できるのはセキュリティツールだけではありません。むしろ、真の簡略化、コスト削減、セキュリティ強化を実現するには、IT環境内の複数ドメインを統合して、統合的なセキュリティ対策を実装する必要があります。

従来、オンプレミスネットワーク、Webセキュリティ、パブリッククラウドサービス、その他の分野の担当チームはサイロ化していました。私の経験上、これはかなり非効率です。ツールとプロセスの分断が、漏洩に対する脆弱性を生む可能性があります。

ドメインの統合は、まず企業全体に一貫したツールとプロセスを適用することから始めるとよいでしょう。脅威インテリジェンスの共有も簡単にできるようにし、皆が最新の脅威を被害が出る前に認識できるようにします。

セキュリティの統合にはかなりの組織変更が必要になるかもしれません。特に、チームごとに特定のドメインを担当している場合はそうです。しかし、ドメイン間の壁を打ち壊すことが会社によい影響をもたらす可能性があります。

ツールやドメインを統合する取り組みを既に開始している場合は、それを加速すべき時でしょう。セキュリティの簡略化が早ければ早いほど、リスクの管理と低減が容易くなります。

コントロールの回復

企業の環境は引き続き複雑化し、脅威は絶えず襲ってくるでしょう。しかし、セキュリティのためにポイントソリューションを実装すると、管理がますます複雑になり、環境のコントロールが効きづらくなります。抜本的に新しいアプローチを採用し、ツールを統合し全ドメインを接続する統合プラットフォームにすることによって、コントロールを回復し、コストを削減し、拡張されたネットワーク環境の保護に伴うリスクを低減することができます。

Cloudflareでセキュリティを統合

Cloudflareのコネクティビティクラウドは、企業が極めて複雑な企業環境のコントロールと可視性を回復するのに役立ちます。コネクティビティクラウドは、プログラム可能なクラウドネイティブのサービスを統合したインテリジェントなプラットフォームで、単一のシンプルなインターフェイスでベンダー統合を進めやすくします。さらに、コンポーザブルでプログラム可能なアーキテクチャを提供し、全ネットワークとの統合も実現します。Cloudflareは、ポイントソリューションからの脱却を可能にすることによって、保護を強化し、マルチクラウドセキュリティの複雑さを最低限に抑えます。

この記事は、技術関連の意思決定者に影響を及ぼす最新のトレンドとトピックについてお伝えするシリーズの一環です。

著者

Grant Bourzikas — @grantbourzikas
最高セキュリティ責任者、Cloudflare

記事の要点

この記事を読めば、以下が理解できます。

• ネットワーク環境がいかに複雑になったか

• 予算だけでは可視性とコントロールの喪失を解決できない

• 従来戦略の見直しとセキュリティへのアプローチ再考をどうするか

• 安全な未来を実現する上で、統合と接続がいかに重要な役割をはたすか