本サイト上のコンテンツは、参照目的だけのために、英語の原本から翻訳されたものです。また、本サイト上のコンテンツの一部は機械翻訳されたものです。日本語版と英語版の間に何らかの齟齬がある場合には、英語版が優先されます。当社は改善のためのあらゆる努力を行いますが、翻訳の正確性及び信頼性は保証せず、当社に故意または重大な過失がある場合を除き、不正確性又は遺漏により生じる損失又は損害に責任を負わないものとします。
4月が最も残酷な月だとすれば 、10月は間違いなく最も興味深い月です。なぜでしょうか。なぜなら、サイバーセキュリティ啓発月間を歓迎する方法としてだけでなく、業界に関する最新の対策、傾向、データを強調する方法として、CompTIA 2024 年のサイバーセキュリティの現状レポートを共有するときだからです。
このレポートが提供する、より微妙で興味深い調査結果のいくつかを見てみましょう。この分野ではまだ多くの進歩が必要であることは議論の余地がありませんが、サイバーセキュリティ業界が正しい方向に成長し、進化し続けているという実際の証拠がいくつかあります。
複数のセキュリティアーキテクチャ の台頭
「セキュリティアーキテクチャ」や「ゼロトラストアーキテクチャ」という言葉は、何年も前から話題になってきました。しかし、少なくとも適切なサイバーセキュリティ対策を実装するために複数のアーキテクチャを使用する必要性について議論したレポートはめったに見たことがありません。
おそらく、サイバーセキュリティ業界の目標は、攻撃対象領域を減らし、全体的なデータセキュリティを強化しながら、サイバーセキュリティインシデントやデータ侵害のコストと発生率を下げることです。これを実現するために、サイバーセキュリティ業界は、数十(数百とは言わないまでも)のイニシアチブ、指令、サイバーセキュリティのフレームワーク、方法論とライフサイクルを作成してきました。しかし、サイバーセキュリティを複数のアーキテクチャにモジュール化する必要性について議論したレポートを見たのはこれが初めてです。
予算編成に対する経営陣の賛同を含む、まずビジネスロジックに対処することは素晴らしい動きだと思います。これは、サイバーセキュリティ業界のある程度の成熟度を反映しています。サイバーセキュリティは、かつては組織内の技術部門に限定されていた概念でしたが、事業運営の指揮を執る人々の間では、それにふさわしい認識を得ています。このエグゼクティブの賛同により、システムを保護するためのベスト プラクティスが技術部門だけでなく、組織のあらゆる部分の個人の行動に影響を与えることが保証されます。
私は、アプリケーション ワークフロー、データ アーキテクチャ、そして楽しくて脂っこい技術者について議論するのが大好きですが、「ビジネス アーキテクチャ」を最優先に考えることは、本当に有用なステップです。つまり、このレポートは企業、MSP、または営利団体のみを対象としていることを意味します。ビジネスプロセスを順調に進めれば、素晴らしいスタートを切ることができると述べています。サイバーセキュリティの反復の成功を伴う場合、明確な道筋を確立するための明確なポリシーセットを用意することが重要です。
断絶への対処: 「ギャップ」 の新たな見方
このレポートでは、「スキルギャップ」というフレーズが避けられていることに注意してください。代わりに、サイバーセキュリティを導入する組織の意志を損なう、事実上静かではあるが強力な障壁となる複数のギャップに対処しています。レポートが断絶と呼んでいるギャップのいくつかについては、以下の表で説明します。
|
サイバーセキュリティのギャップ |
形容 |
|
価値 |
テクノロジーやビジネスプロセスの変更への計画された投資と、実際の結果の認識との間の乖離。 |
|
方法論 |
インシデント対応、ガバナンス、データ防御など、実証済みのサイバーセキュリティ戦略的アプローチの導入が遅れています。 |
|
予算 |
サイバーセキュリティが優先事項であるというリーダーの発言と、その後彼らが(投じない)資金との間には慢性的な食い違いがあります。私が最近行ったウェビナーで、CISOはコメントに「攻撃が発生するまで予算は決してありません」と書いています。 |
|
過程 |
このレポートは、サイバーセキュリティに必要な各アーキテクチャ(ビジネス、アプリケーション、データ、テクノロジー)の重要性を示す素晴らしい仕事をしています。 |
全体的な結果は、サイバーセキュリティの信頼のギャップです。組織が、これらのギャップのそれぞれを調査することで、プロセスを改善し、有意義な進歩を遂げるのにどのように役立つかを理解してくれることを願っています。
この表には「スキルギャップ」が記載されていないことに注意してください。「AI」という文字と同様に、ますます使い古されつつあるフレーズであるため、リストしません。さらに、このフレーズはレポートに見られるようなニュアンスを捉えていません。このレポートでは、専門スキルがいかに重要であるかについて論じています。ますます重要になっている具体的なスキル には、次のようなものがあります。
-
ネットワークの監視とセキュリティ
-
セキュリティ分析
-
統治
-
リスク管理と分析
-
クラウドセキュリティ
-
運用技術
針 を動かす
次に、レポートには、組織がサイバーセキュリティテクノロジーとプロセスの使用を改善している方法のリストが含まれています。ご想像のとおり、主に経営陣の賛同に焦点を当てていますが、それだけにとどまらず、レポートでは、IT およびサイバーセキュリティの従業員が使用するツールの影響をより適切に視覚化する必要性について議論しています。これは、これらのニーズを実行できる熟練したサイバーセキュリティ専門家 を持つ ことの重要性も浮き彫りにしています。
AIの誇大宣伝のピークは過ぎているのか?
人工知能(AI)とそれがサイバーセキュリティに与える影響に関する表面レベルの文書が数多く作成されています。この報告書がAIをめぐる誇大宣伝を調査しているのを見るのは新鮮です。たとえば、レポートでは、業務に AI を完全に導入していると回答している企業はわずか 7% であると述べています。このレポートは、AIの誇大宣伝のもう一つの明らかな兆候も明らかにしています:今のところ、AIはサイバーセキュリティの複雑さを増大させるのではなく、増大させているが、その主な理由は、組織がAIをどこで使用するかを正確に把握しようとしているからである。
実際、レポートによると、回答者の 47% が、生成 AI の出現が実際に何を意味するのかをまだ理解しようとしていると感じています。それは驚くべきことだと思います:それは誠実さと好奇心を示しており、非常に価値がありますが、サイバーセキュリティ業界ではあまり議論されていません。
したがって、AI については陪審員はまだ結論が出ていませんが、1 つの点は明らかです。AI 対応のサイバーセキュリティのユースケースは、コンテンツベースのアプローチを好むようです。AIを活用したサイバーセキュリティ対策を示す下の図は、AIがネットワークトラフィックの内容を監視し、脅威モデリングを行い、予測分析を行う能力を持っていることを示唆しています。
興味があり、もっと深く掘り下げてみたいですか?レポートをチェックすることを強くお勧めします。これは、時には本来あるべき進歩を遂げられないものの、長年の問題の解決にますます真剣に取り組んでいるように見える業界のかなりのスナップショットを提供します。CompTIA の 2024 年サイバーセキュリティの現状 レポートをお読みください 。
CompTIAチーフテクノロジーエバンジェリスト 、ジェームズ・スタンガー博士によるブログ寄稿