損害を制御：サイバー回復力が問答無用で必要とされる理由

近年、ヨーロッパ、中東、アフリカ（EMEA）地域が特に大きな打撃を受けています。世界的規模で分散型サービス妨害（DDoS）攻撃が急増していますが、これは特にヨーロッパで顕著です。当地においては、当社の研究者が観測したところによると攻撃回数の劇的な増加がみられました。

金銭目的や知的財産の窃取という従来の動機に加えて、地政学的な紛争を背景に、ハクティビズムや、信頼を損ない政府の安定を揺るがそうとする動きが増加しています。

英国と EU の政府は、デジタルレジリエンスを強化するための規制フレームワークの導入については他国を一歩リードしています。次のようなものがあります。

• デジタル・オペレーショナル・レジリエンス法（DORA）は EU による規制で、銀行、保険会社、その他の金融機関を、情報通信システムに影響を与えるサイバー攻撃やその他の破壊的なイベントから回復できるようにすることを目的にしています。

• NIS2 指令は、最新版の EU 指令で、さまざまな業界におけるネットワークおよび情報システムの標準的なセキュリティレベルを定めています。サイバーセキュリティの最低基準、強固なリスク管理、およびインシデント報告要件を定めています。

• サイバーセキュリティおよびレジリエンス法案は、英国において提出予定の法案で、ヘルスケア、エネルギー、輸送、デジタルサービスなどの重要なサービスの保護を強化することを目的としています。この法案は、規制当局を強化し、より多くのインシデント報告を義務付けることで、これらの重要なサービスに対する規制を拡大しています。

• サイバーレジリエンス法（CRA）は EU の法律で、デジタル要素を備えた製品のサイバーセキュリティを強化することを目的にしています。この法律は、製品のライフサイクル全体を通じて、製造業者および小売企業にサイバーセキュリティ要件を課しています。

総合的に見ると、これらの規制は、時間の経過とともに出現したセキュリティギャップを解消することを目的とした、相互に密接に関連した一連の要件と執行のメカニズムを構成しています。その結果、サイバーレジリエンスとサイバーコンプライアンスが密接に結びついた地域が形成されています。

これらの規制は EU と英国に限定されたものですが、多くの場合、EU でビジネスを行おうとする組織にも影響があります。つまり、基本的にはすべての多国籍企業が影響を受けるのです。EU一般データ保護規則（GDPR）でも同じことが起きています。世界中の企業がこれを取り入れたことで、「事実上のブリュッセル効果」と呼ばれる現象が生まれました。EU の他のサイバーレジリエンス規則へのコンプライアンスも同様のパターンをたどることが予想されます。

ただ、コンプライアンスは目的への手段にすぎません。この場合は、よりレジリエントな社会を構築することが大事なのです。社会は、急速に進化するビジネスモデル、政治力学、サイバー脅威により、ますます複雑化しています。このような複雑さに対処するためには、組織はシンプルさでセキュリティを確保する必要があると、私は考えています。

セキュリティ戦略が複雑な場合、その管理が困難になるため、十分に実現できないことが多くなります。サイバー衛生の基本原則に重点を置き、変数を制限することで、セキュリティの複雑さが軽減され、管理しやすくなります。 

100 社のセキュリティベンダーがある場合、それらを管理するために 100 の管理制御機能があることになり、運用コストが増加し、保護に隙間ができるリスクが高まります。

これは、レジリエンスにとって重要なプラクティスになります。侵入不可能な箱にすべてを入れる必要はありません。それは現実的ではありません。代わりに、最も重要な資産をリングフェンスし、マイクロセグメンテーションを使用して、遅かれ早かれ環境内に侵入してくる可能性のあるマルウェアのラテラルムーブメント（横方向の移動）を防止しましょう。 

綿密に設計されたマイクロセグメンテーションによって、環境の進化に伴い、ワークロードとともに移動できるようにセキュリティポリシーに柔軟性が提供されます。これは、静的ファイアウォールではできないことです。

この保護を実現するには、アプリケーションとデータ資産の可視化とその制御が必要になります。シンプルさを保つには、まずは中核となる資産から着手し、段階的なプロセスで徐々に拡張し、最終的にインフラ全体を含めればよいのです。 

この可視性により、これまで気づいていなかったネットワークアクティビティや潜在的な脆弱性を特定することが可能になります。これは大きなメリットです。

最も重要なものの保護に注力し、戦略的なマイクロセグメンテーションを採用することで、ランサムウェアを隔離し、サイバー攻撃を些細な出来事に変えることができます。これこそが、まさにレジリエンスなのです。