複雑さは最大のリスクになり得ます
レジリエンスを高めながらAIで前進する方法
この20年でサイバーセキュリティは本当に進化したのでしょうか？セキュリティ予算は増え、セキュリティチームは強化されているにもかかわらず、攻撃と侵害の件数は増え続けています。
最近のサイバーセキュリティ対策準備状況調査では以下のような結果となっています：
回答者の41%が過去1年 間に侵害を経験
サイバー攻撃に対する防御の準備ができていると感じている回答者が前年に比べ29%減少
回答者の58%が、今後1年間で侵害が増加すると予想
私たちは何を間違っているのでしょうか？
問題の根本には「複雑さ」があります。今回の調査では、回答者の86%が、「複雑化によって組織が攻撃に対してより脆弱になっている」と回答しています。この複雑さの問題に対処しない限り、攻撃の増加傾向を逆転させることも、組織の成長に向けた実質的な進展を遂げることもできません。
複雑さの問題
IT環境は間違いなくより複雑になってきています。ITチームが技術リソースをオンプレミスのデータセンターから、企業のオフィスだけで勤務する従業員に提供する時代は終わりました。現在、あらゆる場所で勤務する従業員を支えるために、複数のクラウド環境とSaaSアプリケーション、オンプレミスのデータセンターを使用しています。
セキュリティチームも多くのセキュリティツールを導入し、この複雑さをさらに増しています。その中には機能が重複するものを含まれています。実際、最近の準備状況調査によると、企業の49%が20以上のセキュリティツールを使用しており、そのツールの数は増加の一途をたどっています。回答者の82%が今年ベンダーとツールをさらに追加したと回答しています。
こうしたツールを管理するために、多くの組織は大規模なセキュリティチームを雇っています。調査では、回答者の半数以上が100人を超えるチームを擁していると報告しています。
しかし、私の経験から、多額の予算と大きなチームがあっても十分とは限りません。以前、私はCISOとして、10億ドルの予算と1,500人のチームを管理していました。私たちは、どんなことでもできると信じていました。しかし、戦略的な計画を立てる中、チームから挙げられた、たった2つの要求は「資金の増額」と「人員の増加」でした。
問題は無限に思えるリソースではなく、複雑さでした。
複雑さが問題である理由は、複雑さに苦しんでいる状況では、現在のセキュリティ課題を解決することはできないからです。このような状況では、漏洩が発生した際、何が起こっているかを迅速に判断し、迅速に回復することはできません。また、複雑さは、イノベーションも遅らせます。複雑な作業に費やす時間と費用が多ければ多いほど、AI利 用の実装などの新しいプロジェクトに費やせる時間と費用は減ってしまいます。
優れたレジリエンスを構築する
IT組織にとって最も差し迫った課題の1つは「レジリエンスの構築」です。今後も攻撃や侵害は続くため、迅速に対応・回復できる体制を整える必要があります。
企業の経営陣や取締役会もレジリエンスを求めており、規制当局も、レジリエンスは交渉の余地のないものと考えています。私たちが自発的にレジリエンスを計画に組み込まなければ、金融サービス機関のように規制当局からその構築を義務化されるでしょう。
しかし、複雑さはレジリエンスを非常に困難にします。まず、複雑なIT環境では、セキュリティを維持することが非常に困難です。チームは、すべてのコンポーネントにセキュリティのアップデートやパッチを適用し続けるのが困難となり、攻撃者に狙われやすい隙が生じる可能性があります。また、攻撃が発生する前にレジリエンス戦略を事前テストすることも難しくなります。
攻撃が発生した場合、迅速に対応・回復することが困難になり、システムのコンポーネントやツールが相互依存しているほど、脅威の隔離や拡散の防止が難しくなります。攻撃が収束した後も、すべてのシステムが完全に復旧するまで数日から数週間、場合によっては数か月かかることもあります。
AIに再注力する必要性
レジリエンスがなければ、組織の進歩を支援することはできず、最も重要なイニシアチブ、特にAIを中心としたイニシアチブを適切に推進することができません。
CISOとして、私はAIに関して楽観的なのか悲観的なのかをよく尋ねられます。私の答えは、「両方」です。私たちは、メリットとリスクの両方に備える必要があります。たとえリスクが大きいように見えても、後戻りはできません。近い将来、企業は「AIをうまく活用した企業」と「存在を消した企業」に二分されます。
私たちはセキュリティリーダーとして、組織のAI活用の進歩を支援しなければなりません。しかし、多数のツールの管理に追われていては、AIの必要性に対処できません。例えば、あるビジネスチームが、顧客のサポートのために新しい大規模言語モデル（LLM）の迅速な展開を希望しても、その会社のセキュリティチームが、承認やファイアウォールのルール変更に数日から数週間も必要だとしたら、その会社は競争優位性を失ってしまいます。
一方、当社に対しAIがどのように使われるかを既に目にしています。AIモデルの侵害やデータの汚染、AIを活用したフィッシング攻撃が発生しています。6つのWAFと4つのSASEプロバイダーを管理していると、こうした新たな脅威に対処することが難しくなり、ましてやAIの取り組みを支援する余裕もなくなります。私が以前勤務した会社でも、入社時には6つのWAFを管理しており、この課題を身をもって痛感しています。
AIに全面的に移行し、ビジネスがどこに向かっていくのかに焦点を当てる必要があります。次のステップとして、AIの安全性を確保する方法と、目指すべき運用モデルをどのように再定義するかを理解する必要があります。また、AIに特化したサイバーセキュリティの専門家を採用することも重要です。そして、複雑さを解消し、リソースをAIプロジェクトに集中できるようにするため、ツールを簡素化し統合することが求められます。
今すぐ行動を起こす
多くのセキュリティチームには3年や5年の計画があります。つまり、近い将来、組織の安全性が向上するということです。しかし、攻撃や侵害は今まさに増加しています。一方で、AIの未来に備えたビジネス対応も始めなければなりません。複雑さへの対処を先延ばしにする余裕はありません。
では、何から始めるべきでしょうか？
ツールの統合：以前、私が率いた組織では、当初52のセキュリティツールがありましたが、最終的に17まで減らすことができました。それは可能です。ツールを削減しても組織のセキュリティを強化することは可能です。適切なツールを選び、それを効果的に活用するリソースを確保できれば、1つのツールが3つのツールよりも効果的な場合もあります。
同業者に、複雑さの問題をどのように解決しているか、統合時にどのツールを選択したかについて尋ねるのも良いでしょう。プロセスの合理化：ツールを統合することで、プロセスも合理化されます。プロセスからツールの操作や手作業を排除することができれば、プロセスをより早く完了するとともに、ミスが起こる可能性も減らすことができます。
最新のセキュリティアーキテクチャを実装する：多くの企業にとって、コネクティビティクラウドは大幅な簡素化に役立ちます。コネクティビティクラウドは、クラウド、データセンター、ネットワークの統合に必要なエニーツーエニー接続を提供します。同時に、複数のクラウドネイティブセキュリティサービスを単一の統合プラットフォームに統合します。これにより、時間のかかる集約作 業を回避し、セキュリティの隙間を排除し、チームメンバーが複数のインターフェイス間を常に切り替えなければならない状態を回避することができます。
複雑さを減らすことで、ネットワークに流入・流出するデータの可視性を高めることができます。レジリエンスを高めることができ、攻撃からよりよく回復できるようになります。また、すべての企業にとって優先事項となっているAIイニシアチブなど、主要なイニシアチブを推進することに、より集中できるようになります。複雑さの軽減は困難ですが、今取り組むことで、セキュリティの強化とイノベーション推進の両面で早期に成果を得られるでしょう。
Cloudflareのコネクティビティクラウドは、企業が極めて複雑な企業環境のコントロールと可視性を回復するのに役立ちます。コネクティビティクラウドは、プログラム可能なクラウドネイティブのサービスを統合したインテリジェントなプラットフォームで、単一のシンプルなインターフェイスでベンダー統合を進めやすくします。
この記事は、技術関連の意思決定者に影響を及ぼす最新のトレンドとトピックについてお伝えするシリーズの一環です。
このトピックを深く掘りさげてみましょう。
コネクティビティクラウドが、組織の足かせとなっている複雑さの問題にどのように対処できるかについて、電子書籍「ITとセキュリティの制御権を再びその手に取り戻す方法」をご覧ください。
著者
Grant Bourzikas — @grantbourzikas
最高セキュリティ責任者、Cloudflare
記事の要点
この記事では、以下のことがわかるようになります。
複雑さが企業の成長を妨げる理由
複雑さがレジリエンスに与える影響とAIイノベーションへの障害
今すぐ複雑化への対応を始める方法