＜セミナーレポート vol.1＞デジタルトランスフォーメーションに伴うセキュリティへの新たなアプローチ

「セキュリティを文化として組み入れる」Dell Technologiesが掲げるセキュリティトランスフォーメーション

2018年夏にVanson Bourne社が行った調査によると、「デジタル変革推進における課題克服のための投資対象トップテクノロジー」の1位は"AI"(51％)。それに続く2位には"サイバーセキュリティ"がランクインし、ほぼ半数の経営者がデジタル変革時代において、サイバーセキュリティは重要事項と捉えていることが示された。

「デジタル変革に向けDell Technologiesが提唱するセキュリティトランスフォーメーションとは」と題して講演を行った、Dell Technologies 日本最高技術責任者 (CTO)の黒田 晴彦氏は、サイバーセキュリティに対する捉え方について次のように説く。「サイバーセキュリティは、従来は経費という捉え方だったが、今は新しいビジネスをつくるうえで必要な投資だと考える経営者が増えてきている」。さらに、その考え方も根本的に発想が変わってきており、「サイバーセキュリティを考える際に、これまでは『外付けする』かたちが多かったが、いまはセキュリティ自体を『中に組み込む』ことが求められている」と黒田氏。

• Dell Technologies
  日本最高技術責任者(CTO)
  黒田 晴彦氏

一方、サイバーセキュリティにおいて、重要なのは"文化"だという。黒田氏は「デジタル変革を支えるサイバーセキュリティを強化するには、『文化』の中に組み入れなくてはならない。そのうえで、『人』がそれを理解して『プロセス』を変え、最後に『テクノロジー』という手段を導入する。いまの時代は、この順番でサイバーセキュリティを考えることが重要」と強調する。

Dell Technologiesにおいて、セキュリティのフレームワークの出発点としているのは、"リスク"だという。「何を守りたいか、まずはリスクから考えること。そして、リスクがどのぐらい起こる可能性があるのか、起こったときにどれだけ影響があるのかということをRISK Mapとして整理しておく必要がある」と黒田氏。

• マッピングされたリスクのイメージ

リスクの影響を鑑みる際には、ビジネスリスクを考慮することが重要だ。「たとえば、パソコンやデバイス等に侵入されたとき、その機器自体が使えるかどうかではなく、それらが支えているビジネス自体がどういう影響を受ける可能性があるか、考えておかなければならない。ビジネスの原点に立ち戻ってリスクを考え続けること」と話す。

そして、実際にリスクを考える際には、いま行っている対策に対する残存リスクを適切に把握することが不可欠だという。「可能性と被害の大きさを考慮して守るべきリスクに優先順位をつけ、『これがやられたときにはこういうリスク対策をしているので、残存リスクはこれになる』と見立てておく必要がある」(黒田氏)

Dell Technologiesでは、米国国立標準技術研究所による「Cyber Security Framework」に準拠して対策を推奨している。"リスクの特定→防御→検知→対応→復旧"の5つを総合的に勘案し、セキュリティ対策を組み込んだアーキテクチャーが重要となる。「新旧様々なシステムが併存していると思うが、最早、部分的・断片的なセキュリティ対策では重要なものが守れない時代になってきている。もう一度全体を見渡して統合的なサイバーセキュリティの対応を進めていくことが必要、これを"セキュリティトランスフォーメーション"と称している」とした。

• サイバーセキュリティフレームワーク

とはいえ、抜本的なセキュリティ対策の再構築には、人的にもコストもかかる。そこで重要なのは、"費用対効果"(ROI)を考えて必要の可否を吟味することだ。「やるかどうかも含めて、ROIという視点で物事をみたら良い。全体を通してどれくらいリターンが取れるか、どこまでサイバーセキュリティにお金をかけるべきか、それには仕組み全体のROIを考える必要がある」と黒田氏は定義する。

そして、最も重要なものとして、前述の「文化」をあげる。「文化としてセキュリティが組み込まれていれることが全ての出発点。経営、IT部門、各部署が三位一体となり連携してセキュリティを考えないと必ず揺らいでしまう。セキュリティで最も重要なのは経営者の意識である」と、組織一丸でデジタル変革に取り組むことの重要性を改めて主張した。

• "人"にセキュリティが組み込まれるセキュリティトランスフォーメーション

バックアップより「元に戻せる仕組みづくり」を大切に

EMCジャパン DPS事業本部 SE部 シニア システムズエンジニアの杉原 信行氏は、「セキュリティトランスフォーメーションのラストピース：サイバー被害からの復元力を高める『Dell EMC Cyber Recovery Solution』と題して、データ保護のポイントを解説し、自社のソリューションを紹介した。

• Dell Technologies(EMCジャパン)
  DPS事業本部 SE部
  シニア システムズエンジニア
  杉原 信行氏

杉原氏によると、サイバー攻撃の手法は昨今様変わりしつつあると言い、バックアップサーバーまでもが攻撃を受けているのが実態だ。その一例として紹介されたのは、2019年5月の某国自治体が受けた事例だ。市の職員が使用するコンピューターシステムがランサムウェアに感染し、サーバーの大部分がダウンした。しかも被害はそれだけにとどまらず、バックアップサーバーも含まれていたと思われる。ハッカーはコンピューターを人質にビットコインによる約8M(ミリオン)ドルの支払いを要求した。

これに対し、自治体は支払いを拒否し、自力での復旧を試みたものの、要した費用は18M(ミリオン)ドル。システムの復旧には時間や人的リソースだけでなく、経済的にも甚大な被害を受けた事件だ。杉原氏によると、それ以外にも昨今はコンピューターウイルスの潜伏期間が100～170日と長期化する傾向にあるなど、サイバー攻撃は質も脅威度も高まっている。

杉原氏は、こうした状況に対して、「バックアップを取っているだけでは不十分」と訴える。「確実なリストア/リカバリを想定したデータ保護の仕組みを導入している企業が少ない。バックアップシステムにいま求められる要件はデータ保護＋セキュリティ対策を考慮した確実なデータ保護とリストア/リカバリができる仕組みが重要である」と述べる。

また、現在のバックアップインフラの脆弱性を"技術"と"人とプロセス"の2つの視点で見直す必要があるとする。杉原氏が具体的にあげた技術的なリスクは次の5つだ。

一方、"人とプロセス"においては次の4つのリスクを指摘する。

従前のセキュリティ対策においていずれのリスクもありがちなもので、心当たりがある企業も少なくないはずだ。これに対し、「サイバーセキュリティにおいては、異なるアーキテクチャーが必要」と説く杉原氏は、サイバー復旧への効果的な備えの考え方として、3つのポイントを提唱した。

「まずは"戻せるデータはあるか？"ということ。特に、接触感染・潜伏期間を意識した、多重・多世代で隔離された復旧データ管理が必要。次に、そのデータの"安全性"。改ざん防止、権限分掌といった復旧データの接触感染防御力の強化とデータ分析による品質が担保されていなければならない。そして、そのデータが隔離データとして適切な対象・量であるかの"適正"の見極めと、復旧訓練の実施も不可欠となる」(杉原氏)

杉原氏が所属する、EMCジャパンは、Dell Technologiesグループの1社で、データのバックアップ・リカバリーを支援する、ITストレージ・ハードウェアのソリューションプロバイダーだ。同社が提供している『Dell EMC Cyber Recovery』は、"エアギャップ"と呼ばれる手法で、データを移行する時だけネットワークに接続してバックアップを行うことが特長だという。「それ以外の通常時は外部ネットワークから遮断された状態でバックアップデータを保護することで、重要なデータを隔離してランサムウェアや破壊的サイバー攻撃から守ることができる」と杉原氏。ただし、「隔離するバックアップデータの安全性、必要世代数、隔離後の分析、復旧時の適切なデータ選択などを自動的に実行するような機能はあえて備えていない。規模・業種を問わず、企業毎に千差万別だからだ。その部分は個別に判断や準備をする必要がある」とのことだ。

• Dell EMC Cyber Recovery

しかし、そこで強みを発揮するのがDell Technologiesグループ一体でのソリューションサービスの提供だ。同じDell TechnologiesグループのRSA社がデータの分析、Secureworks社がコンサルティングを担当し、一気通貫での総合的な支援とサービスの提供を行う。

---

セミナーでは、ほかにもSBテクノロジー 技術統括 セキュリティソリューション本部 プリンシパルセキュリティリサーチャーの辻伸 弘氏による「安全からの脱出～脅威と向き合う道しるべ～」と題した基調講演や、EMCジャパン、Secureworks、RSAのDell Technologiesの3社の代表者による「2020年の業界キーワード『サイバーレジリエンシー』を語りつくす」と題したパネルディスカッションが行われた。セミナーレポート vol.2では、これらの模様を中心に、2020年にあるべき対策、その一環としてのサイバーレジリエンシーを高めるためのポイントを紹介したい。

[PR]提供：Dell Technologies