Security, Compliance and Identity 担当 コーポレートバイスプレジデント
ヴァス ジャカル (Vasu Jakkal)
※ 本投稿は、米国時間 5 月 12 日に公開された “Securing a new world of hybrid work: What to know and what to do” の抄訳を基に掲載しています。
Nobelium、Hafnium、そして、人手によるランサムウェアの台頭を示唆する先週のコロニアルパイプラインへの攻撃など、大規模で複雑なセキュリティ攻撃から明らかなように、サイバーセキュリティの状況は大きく変化しています。
ハッカーは、平均して 1 日あたり 5,000 万回 (毎秒 579 回に相当) のパスワード攻撃を行なっています。フィッシング攻撃も増加しています。ファームウェア攻撃も増加中であり、ランサムウェアがきわめて深刻な問題になっています。昨年、マイクロソフトは、300 億件という記録的な数のメール攻撃からの防御を提供しまたが、その取り組みが終わることはありません。
現在、マイクロソフトは国家の支援を受けていると思われる 40 以上のアクター、そして、20 カ国における 140 以上の脅威グループを監視しています。かつては、この数はわずかでした。
また、マイクロソフトは、変化する状況に対応するために迅速にイノベーションを提供しています。たとえば、本日、公開したブログ記事の RSA Conference に向けた最新の製品アップデートをご参照ください。
お客様にとってセキュリティは常に最優先順位の案件ですが、世界中の多くの企業がリモートワークからハイブリッドワークに移行しようとする今、特にそれが当てはまります。この課題に真の意味で対応するためには、あらゆる業界のセキュリティ防御担当者が協力し、テクノロジエコシステム全体を包含する総合的な Zero Trust セキュリティへのアプローチを採用しなければなりません。今日、セキュリティトランスフォーメーションなしに、デジタルトランスフォーメーションを行なうことはできません。
未来はハイブリッド: 何ができるのか?
多くの人々が通常のオフィス勤務に戻り始めていますが、マイクロソフトは、将来的にはハイブリッドワークが通常になると考えています。パンデミック後に人々が新しい仕事のパターンに定着しても、リモートワークを行なう従業員の数はパンデミック前と比較して 300 パーセント増加すると、フォレスターは予測しています。マイクロソフトの Work Trend Index 調査 ”The Next Great Disruption is Hybrid Work—Are We Ready?” (「次の破壊的変化はハイブリッドワーク―準備はできていますか?」) によれば、46 パーセントの人々が、リモートワークが可能になったことを理由に転居する予定であると回答しています。
人々は企業ネットワークとホームネットワークの双方を通じて、日々のビジネスと個人的活動が頻繁に交錯する日々を過ごしています。今や、従業員のホームネットワークとデバイスは企業ネットワークの一部になっています。これは、企業にとっては、ネットワークにおける企業間の境界が突然に消滅したことを意味します。
マイクロソフトのアプローチ
私の友人であり同僚である、マイクロソフトの CISO (Chief Information Security Officer)、ブレット アーセナル (Bret Arsenault) は、2020 年 3 月に、マイクロソフトの 16 万人以上の従業員をリモートワークに移行させるという膨大な作業を実施し、ハイブリッドワークに向けたマイクロソフトのテクノロジ計画を作成しました。
この課題を解決するためのブレットのアプローチは、セキュリティがあらゆる人の仕事であるという組織文化を育成するというものでした。ちょうど本日、いくつかの領域における新たなガイドラインが公表されました。
- デバイス管理と健全性の維持: 企業のリソースにアクセスする必要があるすべてのデバイスは、フィッシングや悪意のあるウェブサイトから保護されるよう、シームレスに管理されなければなりません。
- セキュリティをすべての人の仕事に: マイクロソフトの従業員がセキュリティ向上のスキルとツールを獲得できるよう、新たな研修コース、フィードバックの収集、バーチャルセキュリティサミットを提供していきます。
- ホームオフィスのセキュリティ確保: マイクロソフトは、(部分的か全面的かにかかわらず) リモートワークを行なう従業員に対するリソースとガイドラインの提供を継続していきます。
- Zero Trust の構築: 開発者が Zero Trust の考え方に基づいて製品開発を行なうことを推奨しています。
マイクロソフトは、リモートワーク実施中に Zero Trust アプローチの一環として、従業員を企業ネットワークの外部に移行しました。このインターネットファーストのアプローチにより、データ漏洩が減少し、従業員に家でもオフィスでも一貫した体験を提供できようになりました。
マイクロソフトは、セキュリティがチームスポーツであり、学んだ教訓をシェアーすることで世界をより安全な場所にできると考えています。そのため、お客様とパートナーにもブレットのガイダンスをシェアーしていきます。これらの特定の方策は、ハイブリッドのワークフォースを可能な限り安全にするために必要な数多くのステップの最初のものです。
マイクロソフトが今後もフォーカスしていく現実的課題は他にも多くあります。あらゆる企業はハイブリッドワークに移行する上でこれらを考慮すべきです。
アイデンティティが今まで以上に重要に: 既存ツールの活用による保護
NOBELIUM などの最近の攻撃によって明らかになった点は、将来のセキュリティ攻撃ではアイデンティティが戦場になるということです。攻撃の大多数において、弱いパスワード、パスワードスプレー、フィッシングが入り口になっています。マイクロソフト CISO 、ブレット アーセナルの言葉を借りれば「ハッカーはブレークイン (侵入) しない、ログインするだけだ」ということです。
新たな脅威の環境での防御を行なう上で、あらゆる企業が最初に行なうべきことは、既に使用しているツールに注目することです。
良い例として多要素認証 (MFA) があります。MFA は既に利用可能な防御手段ですが、それを有効化しているお客様は 18 パーセントに過ぎません。Azure であれ Microsoft 365 であれビジネス向けのサブスクリプションサービスを使用しているお客様は追加費用なしに MFA を有効化できます。
パンデミックが始まった時、MFA の使用率は大きく増加しました。そして、それに伴い、情報流出の件数も激減しました。人々は、リモートアクセスのために MFA を有効化したのですが、実際には MFA はネットワーク全体の保護を向上したのです。
マイクロソフトは様々な規模の組織と協業しています。MFA の導入が単にスイッチを入れるかのように容易な組織もあります。しかし、これがそれほど単純ではない組織もいることを理解しています。お客様にとって MFA の展開が容易でシームレスなものになり、エンドユーザーの体験も可能な限りシンプルになるよう、マイクロソフトは積極的に取り組んでいます。マイクロソフトは、お客様と共にあらゆる人の安全性を高めることに腐心しています。マイクロソフトは、MFA の採用を推進するために、セキュリティのデフォルト設定の採用や社内コミュニケーション向けのツールセットの提供など、多数のプログラムを実施しています。
Zero Trust の考え方を採用する
アイデンティティが新たな戦場となる世界では、Zero Trust 戦略の採用は選択肢ではなく、ビジネスの新たな必須事項です。人々と組織は、互いにやり取りするためのテクノロジを信頼する必要があります。Zero Trust という言葉は、それと反対のように思われるかもしれません。しかし、セキュリティ違反があることを前提として、必要最小限の権限を与えることで、実際には従業員が求める柔軟性と自由度を提供することができます。
ハイブリッドの世界には、境界というものがほぼないため、アイデンティティとデバイスを保護することがきわめて重要です。また、Zero Trust 戦略の一環として、マイクロソフトはパスワードレスの未来を構想しており、本年より移行が始まると見ています。
そして、Zero Trust に取り組むお客様を支援するために、本日、新たな Zero Trust 評価ツールの提供を開始します。本ツールにより、お客様は自社の現在の位置と進むべき方向を把握できるようになります。
Zero Trust に関する行動指針、そして、境界がない世界におけるアイデンティティに関するマイクロソフトの構想についての詳細情報は、ジョイ チック (Joy Chick) の Microsoft Ignite 関連ブログ記事 ”5 identity priorities for 2021—strengthening security for the hybrid work era and beyond” (2021 年のアイデンティティに関する 5 つの優先事項 ― ハイブリッドワークの時代に備えたセキュリティの強化) をご参照ください。
クラウドの堅牢なセキュリティの活用
リモート、そして、ハイブリッドのワークフォースにとってクラウドは多大なメリットを提供します。ビジネス上重要な情報はネットワーク経由でアクセスでき、ワーカーを任意の場所に容易に配置することができます。
企業が 2020 年の状況から回復し、新たなインフラへと移行することにより、今後 6 カ月から 12 カ月間に、クラウドへの急速な移行が起きると見ています。Microsoft Intelligent Security Association (MISA) パートナーに対する調査では、90 パーセントが、パンデミックによりお客様がクラウドへの移行を加速したと回答しています。
クラウドを有効に活用することで、企業は自社だけでは達成できないレベルのセキュリティを実現できます。NOBELIUM のケースで明らかになったように、攻撃の大多数はオンプレミスから行なわれており、クラウドを経由した攻撃はほとんどの場合に失敗しています。
人々とスキルへの投資、そして、多様性へのフォーカス
攻撃者は、デジタルな抜け穴だけではなく、セキュリティ防御チームの抜け穴を悪用することを、マイクロソフトは認識しています。現在、大きな 2 つの問題があります。サイバーセキュリティ専門家の不足、そして、チーム内の多様性の不足です。今後、攻撃者はこのギャップを発見して、悪用していくでしょう。
今年度において 350 万人のセキュリティ専門家が不足すると推定されています。MISA パートナーの 91 パーセントが、サイバーセキュリティ専門家への需要は供給を上回っていると回答しています。この状況は、必要なポジションが満たされないだけではなく、既存のチームへの負担が高まっていることも意味します。
どのようにすればこの問題を解決できるでしょうか? マイクロソフトは未来のワークフォースを構築します。新たなセキュリティ防御担当者への教育、訓練、支援を行ないます。結局のところ、サイバーセキュリティの世界では誰でもスーパーヒーローになれます。必要なのは情熱と目的意識、そして、スキルです。
誰もがセキュリティ防御担当者になれると私は信じており、適切な研修プログラムがあれば、共に協力して世界全体を反映したサイバーセキュリティワークフォースが構築できるでしょう。世界中の人々の多くの視点を反映した多様性のあるチームを構築しなければなりません。今日のセキュリティとプライバシーの課題に対応するために、攻撃者自身と同じ属性を持つ人々も含める必要があります。
これが、マイクロソフトが新たにセキュリティ、コンプライアンス、アイデンティティに関する研修プログラムと認定制度を提供する理由です。セキュリティ防御者の現在の取り組み状況によらず、あらゆる知識レベル向けのプログラムが提供されます。
喜ばしいことに、リモートワークが一般的になる未来は、新しい多様な人材を育成するという点では理想的です。物理的オフィスの場所に制約されることなく、次世代のセキュリティ防御担当者を見つけ出し、育成していけるという点では、今は理想的な時期です。
今後の展望
私たちは、世界を永遠に変えてしまった 1 年を何とか切り抜けようとしています。私たちの生活と仕事は大きく変わり、サイバーセキュリティには新たな課題が生まれ、変化を実現するための簡便なガイドブックなどは存在しないことを思い知らせてくれます。
しかし、不確実性のある所には、世界を全面的により良いものに変えていく力があります。セキュリティとプライバシー保護の中核にあるのは、想像し、計画し、支援し、触発することの自由な力です。
セキュリティプロフェッショナルとして、人々と組織に安心感を与え、そして、実際に安全にし、逆境の時代に自信を持って前に進めるよう支援することが、マイクロソフトの責務です。
—
本ページのすべての内容は、作成日時点でのものであり、予告なく変更される場合があります。正式な社内承認や各社との契約締結が必要な場合は、それまでは確定されるものではありません。また、様々な事由・背景により、一部または全部が変更、キャンセル、実現困難となる場合があります。予めご了承下さい。
