82% の企業がセキュリティ管理に苦慮している：300人の CISO たちは何を考える？

82% of Companies Struggle to Manage Security Exposure

2024/01/09 InfoSecurity — セキュリティ上の脅威と、それに対する管理能力とのギャップが拡大していると、82％ もの企業が報告している。この数値は、XM Cyber の “2024 State of Security Posture Report” から抽出したものであり、この調査では、米国と英国の主要企業の CISO およびセキュリティ意思決定者 300人 から得られた知見がまとめられている。この、2024年1月9日に発行された報告書は、サイバー・セキュリティの課題に対して、組織が取り組む際の方式を調査し、業界内の傾向と問題に注目するものになっている。

Viakoo の VP of Viakoo Labs である John Gallagher は、「この報告書から読み取れるものとしては、特に脆弱性の件数と、それを修復する能力とのギャップが、私たちの見解と一致している」とコメントしている。

John Gallagher によると、特定の脅威の種類に合わせた、適切な修復ソリューションが存在しないことが、この問題に直面している大半の組織にとって、根本的な原因になっているという。彼は、「たとえば、エージェント・ベースの IT 修復ソリューションは、エージェントレス・ソリューションを必要とする IoT 環境では機能しない」と付け加えている。

もう 1 つの重要な傾向は、修復作業への取り組みの強化である。調査対象組織の 87％ が、今後１年以内において脆弱性と暴露の問題に対する修復の強化を計画しているという。このような取り組みにもかかわらず、熟練した人材の不足やセキュリティ・チームの負担といった課題は依然として残っている。具体的に言うと、IT／Security チームの 62％ が、１週間あたり平均 12件に達する問題の修復に取り組んでいる。

Gallagherは、「つまり、脅威アクターたちが悪用する新しい攻撃ベクターに対して、組織における効果的な防御策が構築されていない状況や、自動化された修復ソリューションが不足している状況が示唆される」と説明する。

この調査は、時代遅れのレガシー・システムが、取り組むべき課題を複雑にしていることを示唆しており、新たな脅威に対して、旧式のシステムを対応させるアプローチの必要性が強調されている。

もう１つの注目すべきテーマは、クラウド・セントリックなセキュリティ上の懸念であり、 45％ の組織において、クラウドを優先したがセキュリティ体制の強化が進められている。しかし、調査対象となった組織の半数近くが、オンプレミス環境とハイブリッド・クラウド環境において問題を別々に管理しており、統合的なサイバー・セキュリティ戦略の必要性が示唆されている。

さらに、この報告書では、コミュニケーションと組織連携の課題も指摘されており、セキュリティ体制に関する情報の、リーダーへの効果的な伝達の重要性が強調されている。

Gallagherは、「この報告書から、ポジティブなメッセージがあるとすれば、多様な構成員が脆弱性の是正に注力し、組織に対して改善を促しているという点だ。取締役会や経営陣からの要求だけではなく、コンプライアンス規制／サイバー保険／顧客からの要求も、脆弱性是正への関心を高めるために機能している」と結論付けている。

セキュリティは、技術的な課題なのか、それとも、経営的な課題なのか？ このところの、仕事仲間と話すときの話題は、これです。それにより、組織としての取り組み方も変わりますし、費やすべき予算とリソースの量も変わるはずです。数多くのグラフが用いられている “2024 State of Security Posture Report” を眺めていると、そんな会話を思い出してしまいます。