第1回 - 企業や経営陣に期待されるサイバーハイジーンの実践とその有用性

サイバーハイジーンが注目される背景（社会の変化とインシデントの傾向）

サイバーハイジーンが注目される背景には、ここ数年の急速な社会のデジタル化・オープン化という変化があります。政府が「Society5.0」「Data Free Flow with Trust」「デジタルトランスフォーメーション（DX）」などを掲げていることもあり、この後押しを受けた企業ではクラウドサービスの活用やリモートワーク環境の整備と普及が急激に進んでいます。また専門的サービスを提供する企業とデータ共有やサービス連携を行うケースも増えています。とはいえ、全ての企業がこのような取り組みを進めているわけではなく、オンプレミス型のITアーキテクチャーを多く残した上で、こうした技術・サービスを部分的に利用している企業が一般的と言えるでしょう。

こうした変化は、組織にビジネス上の利便性や競争優位性をもたらす一方、サイバーセキュリティの側面から考えると、アタックサーフェースの拡大を招いており、管理負荷や対応難易度が増大している状況とも言えます。その結果、近年では、以下のようなサイバーインシデントが急増しています。

• リモートアクセス用のVPN装置やファイヤーウォールの基本的なパッチ適用を怠り、技術的な脆弱性が悪用された不正アクセス・侵害が発生
• 接続先のマネージドサービス企業やサードパーティーが侵害された際、専用線で接続をしているという理由で接続経路上の脆弱性管理を劣後させた結果、自社においても不正アクセス・侵害拡大が発生
• 社内の端末やネットワーク上の権限管理や通信制御の設定不備などによりラテラルムーブメントを許し、社内の広範囲におけるマルウェア侵害が発生
• クラウドサービスの設定ミスによる外部からのデータ侵害が発生

サイバーハイジーンのプラクティス例 - CIS Controls バージョン8 -

企業がサイバーセキュリティ対策を検討する上で広く利用されているガイドの1つであるCIS Controlsバージョン8では、サイバーセキュリティに関するプラクティスがIG（Implementation Groups）として3段階に分類され示されています。その中で、IG1に定義された56項目が基本的なサイバーハイジーンのプラクティスとされています。これらは全ての組織が適用すべきサイバー防御の保護手段として紹介されており、企業がサイバーハイジーンの実践を検討する上で参考になります。

出典：CIS https://www.cisecurity.org/controls/v8

まとめ：経営陣こそ「サイバーハイジーン」の有用性を理解し活用を

これまで述べてきたとおり、サイバーハイジーンは、システムハードニングも含めた基本的なサイバーセキュリティに係る対策および活動を意味します。また、決して高額な製品やソリューションを導入したり、専門家を雇ってセキュリティ運用したりしないと実現できないということではありません。

もちろん、最新のセキュリティ製品の導入が必要なケースもあります。ただ、綿密な計画や準備がないままに次々と新たな製品を導入してしまうと、専門性の不足などから製品の機能を十分に活用しきれない状況で放置されたり、ランニングコストが予想以上に膨らんだり、結果として効果が乏しいにも関わらず現場の負担だけが増えたりするという、「セキュリティ疲れ」が起きるリスクも考えられます。

地味ではあるもの、IT機器の設定の点検・見直しを行い、着実にサイバーハイジーンを実践し続けていくことは、セキュリティコストを過度にかけずにインフラストラクチャーの内部からサイバー攻撃耐性を向上させる効果的なアプローチです。また、こうした取り組みを継続していくことは、組織や従業員のセキュリティの実践に関する意識を向上させる効果が期待でき、サイバーハイジーンの実践をシステム開発段階に広げて行くことで、セキュア開発ライフサイクルの実現にもつながっていきます。

企業の経営陣には、このようなサイバーハイジーンの有用性を理解し、組織全体のセキュリティーカルチャーの定着と向上を図り、高度化するサイバー攻撃の脅威に対してレジリエントなサイバーセキュリティガバナンスを構築していくことが求められています。

では、サイバーハイジーンの浸透度を自社組織のシステム・機器を対象に評価する場合、どのようなコンセプトに具体的に基づき実施すべきでしょうか。次回コラムではその点について解説を行います。