サイバーセキュリティ対策の導入を強制するには依然として規制が必要である
組織のサイバー態勢の強化を支援するために設計されたガイドラインやツールは、そのような慣行が確実に導入されるようにルールが整備されていない場合、役に立たなくなります。
サイバーセキュリティ体制を強化するための対策を組織に強制するためには、依然として規制が必要です。
シンガポールは今週、中小企業（SMB）を含む組織がクラウド サービスの使用に伴うリスクと、クラウド プロバイダーだけでなくクラウド環境を保護するために何を行う必要があるかをより深く理解するのに役立つガイドを発表しました。
2 つのクラウド セキュリティ「コンパニオン ガイド」は、シンガポールのサイバー セキュリティ庁 (CSA) が開発した国家サイバーセキュリティ標準である Cyber Essentials と Cyber Trust の導入を促進する役割を果たします。CSA は毎年恒例のシンガポール国際サイバー ウィーク会議でこの発表を発表しました。
Cloud Security Alliance と並行して発行されたコンパニオン ガイドは、アマゾン ウェブ サービス (AWS)、Google Cloud、Microsoft の 3 つのクラウド ベンダーと緊密に開発され、顧客の洞察と関連する市場統計を提供しました。 CSAによると、クラウドプレーヤーはコンパニオンガイドで提供されるコンテンツも「検証」したという。
このガイドでは、組織のクラウド固有のリスクと責任、およびスタッフのトレーニングやクラウド サービス インベントリを追跡および監視するメカニズムなど、環境を保護するために組織が取るべき手順について概説しています。このドキュメントには、AWS、Microsoft、Google プラットフォームで実行される環境向けのプロバイダー固有のガイドも含まれており、サイバー エッセンシャルおよびサイバー トラスト標準の基準に基づいて編成されています。
「組織がクラウドを使用する際によくある混乱は、クラウドユーザーとしての責任の分担と、クラウドプロバイダーの責任の分担である」とCSAは述べた。 「クラウド導入では責任が共有されるため、組織は自分たちが責任を負う領域を十分に認識していない可能性があります。これにより、構成ミス、悪意のある攻撃、データ侵害の可能性が高まる可能性があります。」
Infocomm Media Development Authority (IMDA) の 2022 年の調査結果を引用し、政府機関は無料で利用できるこのガイドは、クラウド コンピューティング サービスを利用するシンガポールの企業の 27% に役立つと期待されていると述べました。
シンガポールは今週、メーカーが製品をテストできるサンドボックスをリリースし、国家安全保障ラベルの取り組みを医療機器にも拡大する方向でさらなる措置を講じた。その後、サンドボックスの参加者は要件と申請プロセスに関するフィードバックを提供し、後日開始予定の医療ラベル制度に基づいてデバイスが評価されることになります。
CSAによると、サンドボックスは9か月間実行され、必要に応じてフィードバックが運用ワークフローとスキームの要件を微調整するために使用されるという。このサンドボックスは、保健省、保健科学当局、Synapxe と協力して立ち上げられました。
CSAは、地方の公的医療機関の医療機器の15％、つまり1万6000台以上がインターネット接続を備えていることに言及し、医療機器が病院やホームネットワークに接続されるケースが増えていると述べた。これにより、サイバーセキュリティのリスクが高まる可能性があり、たとえば、臨床診断に使用されるソフトウェアのセキュリティギャップが悪用されて誤った診断が生成される可能性があります。安全でない医療機器もサービス拒否攻撃の標的となり、患者が治療を受けられなくなる可能性があります。
このような機器は、悪意のあるハッカーによって盗聴されて病院のネットワークに侵入され、データ漏洩やネットワークのシャットダウンを引き起こす可能性があります。
CSAによると、セキュリティラベル制度が医療機器を含むように拡大されることで、メーカーは自社の製品設計にセキュリティを組み込む意欲が高まり、医療従事者はそのような機器の使用について、より多くの情報に基づいた意思決定を行うことができるようになるという。このスキームには 4 つの評価が含まれており、各レベルは製品が評価された追加のテストを反映しています。
このサンドボックスを使用すると、デバイス メーカーはソフトウェア バイナリ分析、侵入テスト、セキュリティ評価などのさまざまな評価に基づいて製品をテストできます。
ただし、このような取り組みやその他のセキュリティのベスト プラクティスは、企業が採用しなければならない義務ではなく、ガイドラインや勧告として提供される場合にのみ効果を発揮します。
多くのテクノロジー実務者や CISO はガイドを参照し、業界のベスト プラクティスを検討しますが、それができるのは、これらが規制ではなく勧告としてのみ提供されている場合のみです、と公共部門副社長兼 CTO のカラン ソンディ氏は述べています。セキュリティベンダーの Trellix です。
例えば、セキュリティラベリングプログラムなどの取り組みは、強制力ではなく情報ツールとして機能する、とソンディ氏はカンファレンスの傍らでZDNETとのインタビューで述べた。
Trellix の CISO を務める Harold Rivas 氏もこれに同意し、ラベル表示スキームは購入の意思決定に役立ち、潜在的なリスクについての認識を生み出すと指摘しました。リバス氏は、これは意思決定者に代替案を検討するきっかけを提供し、独立して検証されたベストプラクティスの優れた参照点として機能すると述べた。
しかし最終的には、業界を明確な成果に向けて推進するための明確な義務が存在する必要があるとリバス氏は述べた。
たとえば、そのような要件には、適切なパッチ管理戦略や堅牢な監視システムが含まれる可能性があるとソンディ氏は述べています。これらには展開のためのロードマップを添付する必要があり、市場関係者にはコンプライアンスを確保するために必要なスケジュールが与えられるだろうと同氏は付け加えた。
同氏は、こうした義務がコストや市場投入までの期間に及ぼす懸念から反発が避けられないことを認識しつつ、規制を過度に複雑にする必要はないと述べた。また、必要に応じて、より詳細な情報を提供し、ベスト プラクティスの採用を更新する任務を負った付属の標準化団体を指摘することもできます。これにより政府は市場の変化に追随する必要がなくなり、代わりに高レベルの要件の義務化に集中できるようになると同氏は指摘した。
サイバーレジリエンスへの道のりが長く、複雑さを伴う可能性がある場合、執行は良い出発点でもあります。
特にオペレーショナル テクノロジー (OT) 部門の組織には、IT インフラストラクチャとは異なる方法で管理する必要があるエコシステムがあるとソンディ氏は言います。すべての OT システムとデバイスの在庫を確立し、サプライ チェーン全体にわたって明確な可視性を確保できるように、サードパーティ ツールが安全に統合されていることを確認する必要があります。
リバス氏によると、シンガポールや米国を含む各国政府は現在、OTやCII（重要情報インフラ）部門がこうした問題を乗り越えられるよう支援しているという。しかし、その道のりは長く、時間がかかるだろうと彼は語った。
ソンディ氏は、政府は特定の業界要件を強制することで促進し、すべての業界関係者が徐々に適切な位置に収まるようになると述べた。たとえば、スマート メーターなどの政府関連サービスを提供する組織は、自社のシステムとパッチ管理スケジュールの明確な在庫があることを実証する必要があります。これらの契約合意に規定された要件に違反したベンダーは罰せられるべきだと同氏は述べた。
このような包括的な規制の枠組みは、行動を前進させるのに役立ち、組織と国民の両方を守るのに役立つとリバス氏は述べた。
特にこれらの分野の一部は増大する脅威に直面しているため、堅牢なサイバー回復力が不可欠です。
チェック・ポイント・ソフトウェア・テクノロジーズのアジア太平洋地域 CISO であるヴィベク・ガラパリ氏によると、たとえばアジア太平洋地域の公共部門組織は、過去 6 か月間で 1 週間に平均 3,000 件近くの攻撃を回避する必要がありました。
過去 6 か月間で教育および研究部門が毎週の攻撃で各組織あたり 4,057 件と最も多く、次いで医療部門が 2,958 件、政府および軍事部門が 2,882 件でした。
デジタル化により攻撃対象領域が増大し、ランサムウェアはネットワーク全体をシャットダウンする能力により深刻な脅威をもたらすとガラパリ氏は述べた。こうしたリスクにより、政府は CII および OT 産業を保護する必要に迫られています。
同氏は、これらの分野の一部はまだ初期段階にあり、自動運転車、スマートカメラ、その他のモノのインターネット（IoT）デバイスなどの新興技術を活用してスマート国家を構築しつつあると付け加えた。
基盤となる OT インフラストラクチャが進化し続けるにつれて、エコシステム全体を管理する機能は複雑になります。たとえば、OT デバイスにセキュリティ パッチを適用するには、別のアプローチが必要になる場合があります。また、接続への需要が高まるにつれて、組織はどのデバイスが相互接続されているかを把握する必要があり、そのためさらなるセキュリティ保護と組み込みツールが必要になります。
インフラストラクチャの管理は官民セクター間で重複する場合があるため、OT エコシステム全体を保護するための適切な枠組みも確立する必要があると同氏は述べた。
学ばなければならないことはまだ多く、さまざまなアプローチが必要になるだろうとガラパリ氏は語った。この進化が続く中、政府、OT デバイス メーカー、セキュリティ関係者の間でギャップを埋めるために継続的な対話と協力が必要であると同氏は訴えました。