ガートナージャパン（Gartner）は、日本の企業がセキュリティに関して2024年に押さえておくべき10の重要論点を発表した。重要論点は以下のとおり。
1. 新たなセキュリティ・ガバナンス
社会全体としてセキュリティの取り組みにおける説明責任は増大傾向にあり、国内においても経営者の意識に変化が生まれる状況が増えている。昨今のセキュリティ環境では、サイバー攻撃や内部脅威に加え、クラウド、デジタル、法規制のリスクも絡めた高度かつ複雑な意思決定が必要になり、従来の中央集権的なセキュリティ・ガバナンスに限界を感じる組織が増加しているという。
SRMリーダーは、従来存在する情報セキュリティの脅威のみではなく、サイバーセキュリティおよびデジタル・トレンドを踏まえた新しい脅威の変化をファクト・ベースで経営陣、ビジネス・リーダーに伝え、理解を促すことが重要である。セキュリティはITの問題ではなく経営問題であり、組織全体として対応すべき問題であるとの共通理解を得るとともに、分散型意思決定を可能とするプロセスへ移行する必要があるとしている。
2. 新たな働き方とセキュリティ
ワークプレースは、従来のオフィスなどの「働く場所」を中心としたものから、従業員の「働き方」を中心とした新しいものへと移行しつつあり、そうした働き方のパターンに応じてセキュリティにも多様なパターンが求められるようになってきている。Microsoft Copilot for Microsoft 365のような「日常型AI」の利用が進むことで生じる新たなセキュリティ・リスクへの対応の必要性が高まっているという。
SRMリーダーは、従業員がシステムやデータにどこからアクセスし、どのように使うのか、そうした実態を把握し、ユースケースごとに適切なセキュリティを選択できるような取り組みを推進する必要があるとのこと。「日常型AI」の利用が進むことで、ユーザーとして新たに認識すべきリスクも増えるため、2024年は、従業員に対するセキュリティ教育の在り方を見直す必要があるとしている。
3. セキュリティ・オペレーションの進化
ゼロトラスト、セキュア・アクセス・サービス・エッジ（SASE）といったトレンドや、急速に変化する環境や脅威に対応するために、企業は脅威対策製品の導入を継続する一方、個々の製品のログへの対処や運用方法、運用負荷の増加などの課題を抱える組織が増えている。加えて、セキュリティ情報／イベント管理（SIEM）プラットフォームや、拡張型の検知／対応（XDR）関連製品、生成AIの活用への期待が高まっているという。
SRMリーダーは、脅威対策製品の検知や防御の能力に頼るだけでなく、問題が発生しないような構成を維持する事前対応プロセス（脆弱性への対処や設定ミスの修正など）をセキュリティ・オペレーションに組み込み、そのサイクルを回していくことが求められる。また、生成AIなどの活用については、発展途上にあるため、セキュリティ運用の今後の姿を描き、中長期的な視点で検討していくことが重要だとしている。
4. インシデント対応の強化
サイバー攻撃は巧妙化が進んでおり、インシデントの原因究明にはこれまで以上に時間がかかるようになってきている。OTやIoTの領域もサイバー攻撃の対象となる現在、企業が担うインシデント対応の範囲は、これまでのIT領域にとどまらず、自社製品あるいは設備などにまで拡大しているという。
インシデントが広い範囲に影響する場合、業務停止の時間を極力短くすることが重要になるため、こうした場面ではインシデントの原因究明よりもシステムの暫定復旧が優先されるようインシデント対応プロセスを見直す必要があるとのこと。曖昧な想定があれば具体的なシナリオとして修正し、インシデント対応組織が複数ある場合には、各々が分断しないよう協働に向けた働きかけも重要だとしている。
5. 外部からの攻撃への対応
エンドポイントの検知／対応（EDR）製品を導入する企業は増えているものの、運用や人材スキルにおける問題を抱える組織が多い。ビジネス／テクノロジ環境の変化にともない、企業が攻撃を受ける可能性のある脅威エクスポージャが増加しており、アタック・サーフェス・マネジメント（ASM）への関心が高まっているという。
SRMリーダーは、自社の資産や保持している情報を踏まえた想定シナリオの準備や、運用プロセスの見直し、および運用スキル強化に向けた取り組みが必要である。併せて、攻撃リスクを低減するための手段として従来行われている脆弱性マネジメントと、新たに対処が必要になっている脅威エクスポージャの双方に対応するために、継続的な脅威エクスポージャ管理（CTEM）への取り組みを検討することも必要だとしている。
6. 内部脅威への対応
内部関係者によるシステムや情報への不正アクセスは後を絶たない。事前に定めたルールによって内部不正を検知するという従来のアプローチだけでは検知が難しい側面もあるという。
内部脅威の対応範囲は広いため、まずはリスクの高いもの、たとえば高度な機密情報を扱うユーザー、特権を行使する場面、あるいは退職を予定しているユーザーなど、特定のポイントにフォーカスして取り組みを進めることが重要である。一方、AIを活用した脅威検知への期待が高まっているが、活用する際は、不正検知に用いられる従業員情報が不適切な用途で使われることのないよう従業員のプライバシーに配慮することを最優先事項とする必要があるとしている。
7. 法規制、サードパーティ／サプライチェーンのリスクへの対応
AI、データ／アナリティクス、サイバー・フィジカルなど、社会全体としてデジタル・トレンドが進む中、世界の地域／国の規制当局による新しい法案策定に向けた動きが活発になっている。サードパーティ／サプライチェーンのセキュリティ・リスクの脅威も年々高まっているという。
日本はそうした新たなデジタル・トレンドや規制において必ずしも先進的とはいえず、日本の常識のみで判断することはビジネス上のリスクを高めるとのこと。SRMリーダーは、デジタル、プライバシー、セキュリティなどの分野における法規制や関連ガイドを含め、国内外の主なトレンドを押さえるとともに、経営陣の認識を高め、関連部門も関与させながら取り組みを推進していく必要があるとしている。
8. クラウドのリスクへの対応
マルチクラウドの利用が進み、セキュリティの構成を漏れなく評価し対応することが難しくなっている。また、利用する部門によってセキュリティ意識やルール、スキルにばらつきがあるという。
クラウド・ネイティブ・アプリケーションの増加や、マルチクラウド環境に対応したセキュリティとして、クラウド・ネイティブ・アプリケーション保護プラットフォーム（CNAPP）、クラウド・セキュリティ・ポスチャ・マネジメント（CSPM）、SaaSセキュリティ・ポスチャ・マネジメント（SSPM）などの評価、導入も含め、より合理的でセキュアな運用を目指すべきである。また、部門横断的なチームの結成や事業部門側における運用プロセスなどもあわせて検討する必要があるとしている。
9. データ・アナリティクスのリスクへの対応
セキュリティ・チームと事業部門との分断や、事業部門側のセキュリティやプライバシーに対する認識不足などにより、セキュリティに関する議論が十分に尽くされないまま、大規模なデータ・アナリティクス・プロジェクトが進んでしまうことがあるという。
SRMリーダーは、セキュリティの議論の機会を逃すことなく、プロジェクトにおけるセキュリティの確実な取り組みについて事業部門とともに推進すべきである。また、個人情報を扱う場合、セキュリティのみではなくプライバシーへの配慮の取り組みが不可欠となるため、責任ある企業としてプライバシーに取り組む姿勢を明確にし、関係者の責任と役割を明確にすることが求められるとしている。
10. AIのリスクへの対応
生成AIを巡るセキュリティの側面の主な議論には、生成AIを従業員が利用する場合の対応、自社用の生成AIを構築する場合の対応、生成AIをセキュリティ・オペレーションに利用する場合の対応、生成AIを使った攻撃への対応の4つが挙げられるという。
生成AIの社内利用を超えて、顧客向け製品／サービスへの組み込みが増加するにつれ、AIのトラスト／リスク／セキュリティ・マネジメント（AI TRiSM）に取り組むなど、自社におけるAIのリスクを検討し、それらに向けた具体的な対応の必要性が高まるとしている。
【関連記事】
・ガートナー、企業・組織・人が2024年に向けて獲得すべきマインドセットを発表
・ガートナー、インフラストラクチャ構築・運用には生成AIや人材強化が重要であるとの見解を発表
・ガートナー、2024年に重要なインパクトを持つ10の「戦略的テクノロジのトップトレンド」発表
