現在のサイバー脅威の状況を考えると、どのような組織もサイバー犯罪者の標的にならないわけではありません。この1年間だけでも、業種や業界を問わず、あらゆる種類や規模の企業がサイバー攻撃の被害に遭っています。以前は、Eコマース企業などのデジタル分野が真っ先に犯罪者に狙われていましたが、現在では産業分野が狙われています。
このような変化が生じた理由は、これらの産業分野の企業が、長期間にわたってサイバーセキュリティプロセスの更新や強化を行なっていないことが多いためです。旧式のシステムでは、最初に導入されたときと同じセキュリティプロトコルが使用されていることが多く、攻撃によって業務が迅速かつ容易に妨害されてしまうのです。サイバー攻撃は高度化、複雑化しているという誤解がありますが、実際には犯罪者は確立された戦術を用い、最も簡単で利用可能な機会を探しています。
セキュリティ体制を強化するために、リーダはサイバーセキュリティシステムの優先順位付けを始める必要があります。そのためには、企業内のどこに最も一般的な脅威が存在するのかを理解することから始めます。
サイバーセキュリティに関しては、犯罪者の動きは企業よりも速いと言われています。一般的に、攻撃の主な目的は、重要なビジネス慣習(商行為)をターゲットにして、最短の時間枠で最大の影響を与えることです。犯罪者が業務上不可欠な慣行に影響を与えることができれば、サプライチェーンを含むビジネスの他の多くの分野で連鎖反応が起こり、影響が拡大し、波及効果が生じます。
犯罪者は、一時的な混乱を引き起こすことを目的としているのではなく、最も被害が大きくなることがわかっている場所を攻撃しています。業務上不可欠な慣行を狙っているのです。
例えば、石油会社を例に挙げてみましょう。石油ポンプを制御するサーバを停止させるようなネットワーク攻撃が成功すれば、生産が直ちに停止してしまいます。これは、石油会社のビジネスモデルの根幹を揺るがすものであり、会社の機能に甚大な影響を与えます。このような重要な領域に重点的に対策を講じる必要があります。
現代社会では、企業活動が細分化されているため、犯罪者が攻撃を仕掛ける際の入口は非常に多くなっています。多くの場合、攻撃は高度に洗練されたものではなく、標的を絞ったものでもなく、可能な限り広範囲に渡って行なわれた後、特定の人物やエンドポイントに絞られる傾向があります。多くの場合、従業員の意図しないミスや保護されていない機器から侵入します。
フィッシングなどの試行錯誤された手法は、依然として攻撃の主な対象となっており、サイバー犯罪者は、連鎖の中で最も弱いリンクに狙いを定め、そこで素早く攻撃を仕掛けます。例えば、従業員が何も考えずに電子メールのリンクをクリックしたり、安全ではない自宅のマシンで作業したりするような、単純で明白なことが考えられます。これらは、攻撃者にとって低リスク、低コストの作業であり、グローバルな市場全体を利用することができます。
従業員を守ることは、ビジネスを守るために最も重要です。サイバーハイジーンを向上させるための定期的なトレーニングを提供することで、従業員が標準的な保護方法を守り、自分たちを守るためのシステムを持つように促します。このようなシンプルな対策により、サイバー攻撃を受ける可能性を大幅に抑えることができます。
組織がテクノロジに依存すればするほど、防御しなければならない脅威の規模は大きくなります。業務上不可欠なプロセスに新しいソフトウェアやデバイスを導入する際には、そのテクノロジをどのように保護するかを知っておく必要があります。新しいシステムを導入する際に、適切なセキュリティ対策を行なわない企業は、サイバー犯罪者にとって絶好の機会となります。
デジタルプロセスへの依存度が高まる中、企業はサイバーを法律と同じように扱う必要があります。すべての企業は、自社が被害を受ける可能性のある法的脅威を認識しており、問題の発生を防ぐために、あらゆる場面で専門家が関与しています。これと同じ考え方が、サイバーセキュリティにも必要なのです。
企業では、弁護士の立会いなしに取引や大規模な合併、または通常の契約書に署名することはありえないことです。新技術についてもまったく同じ状況であるべきです。ハッカーに攻撃される可能性を抑えるために、企業は新しい技術を採用する前に、新しい契約のために弁護士に依頼するのと同じように、サイバーセキュリティの専門家やプロに依頼すべきです。このような考え方を企業に根付かせることで、サイバーハイジーンの強化に劇的な効果をもたらすことができます。
効果的なサイバーセキュリティの基本的なコンセプトは、犯罪者が貴社を攻撃しようとすることを非常に困難かつ高価なものにすることです。最初からITシステムにセキュリティ強化のアプローチを組み込んでおくだけで、潜在的な攻撃者に対する重要な抑止力となります。
企業はまず、何らかの形で可視化と検知機能を備え、脅威に対する全体的な対応速度を向上させることから始めるのがよいでしょう。効果的なサイバーセキュリティソリューションを早期に導入し、時間をかけて動的かつ継続的に改善していきましょう。シンプルなアクションプランを迅速に導入し、定期的に更新することで、潜在的な攻撃を抑止する効果は、当初考えていたよりも大きいでしょう。
製造業におけるサイバーセキュリティについては、経営陣の視点ページのサイバーセキュリティプレイリストでご覧いただけます。ここにはビジネスを安全に保つための豊富なリソースをご用意しています。
公開 2021/10/27
