はじめに

デジタル変革は、過去数年にかけて需要が爆発的に高まり、今ではほぼすべての業界においてビジネスリーダーたちの間でバズワードになっています。ユーザーエクスペリエンスの向上、アジリティ、利便性、間接費の削減により、中小企業 (以下、SMB) にとって特に魅力的なものとなっています。ビジネスを改善し、組織の成長に伴うより大規模な移行を防ぐために、デジタル変革を進んで利用する SMB の数はますます増えています。

デジタル変革では常に、プロセスの改善とリスクの増大のバランスを慎重に取る必要があります。SMB は、デジタル変革の過程で、並行してセキュリティ強化を上手く行わない場合、データ侵害や情報漏洩のリスクを負うことになります。マネージドセキュリティサービスは、総合的な保護を有するクラウドから提供されるトップレベルのソリューションにより、機密情報を保護する機会を提供します。

完全なセキュリティを実現するための最初のステップは、計画されているデジタル変革に対応するために、従来のセキュリティ手法に固有の弱点を突き止めることです。潜在的な問題を特定したら、次のステップは最適なレベルの保護を提供する最適なツールを見つけることです。適切な量の保護により、小規模な組織の予算と業務プロセスに対応しながら脆弱性を大幅に軽減できるようになります。 このホワイトペーパーでは、SMB が特に攻撃を受けやすいデジタル変革における現在のリスク、ならびにリスクを軽減するためのマネージドセキュリティサービスの 3 つの不可欠なステップについて解説します。適切な予防型セキュリティとモニタリングにより、お客様は、セキュリティへの過剰な出費や、データ侵害による莫大なコストを回避できるようになります。このホワイトペーパーの主な内容は次のとおりです。

• デジタル変革によって SMB が犯罪者にとって魅力的なターゲットになる理由
• 拡張技術の様々な側面における重大な脆弱性
• 顧客のデータ、ならびにデバイスや社員を保護する方法

デジタル変革によって企業が脆弱になる理由

毎年、デジタル変革にリソースと予算の大部分を注ぎ込む企業がますます増えています。しかしながら、デジタル変革はリーダーが望む効果をもたらせない場合が多く、調査によると、すべてのデジタル変革のうち 70% が意図する目標に到達していません。

失敗の理由として、組織の問題や社員のマインドセットを挙げたがる記事もありますが、企業側は、セキュリティこそが多くの課題をもたらしているとしています。270 社以上の企業を対象としたある調査では、デジタル変革の成功に対する最も大きな障壁として、リーダーたちはセキュリティの問題を挙げています。しかしながら、これらの組織のうち、開発段階でサイバーセキュリティの問題を検討したと回答したのはわずか 34% でした。デジタル変革においてセキュリティを考慮に入れなかった組織は、意図する目標に到達する前に計画全体の効果を低下させるリスクを負っています。

サイバー犯罪者が SMB を攻撃する傾向があるのは、SMB は一般的にセキュリティ基準が甘く、データを保護するための予算が大企業よりも少ないからです。サイバー犯罪者は一挙に多くの SMB をターゲットにして、大企業のデータとほぼ同等の価値を持つ場合が多い悪用可能なデータを入手できます。SMB は費用効率を向上するためにデジタル革命に取り組んでいますが、データ侵害の被害に遭えば、かえって高くつく可能性もあります。IBM の「Cost of a Data Breach (データ侵害のコスト)」レポートによると、米国におけるデータ侵害の平均コストは $819 万でした。同レポートによれば、SMB は平均的に大企業よりも費用を支払っています。データ侵害に対応するのに、社員数 500 ～ 1,000 人の組織では従業員 1 人当たり $3,533 を支払っていたのに対し、25,000 人以上の大企業では $204 でした。¹

デジタル変革を進める SMB は、技術活用の拡大と同程度にはセキュリティを強化できていない場合があるので、攻撃に対して特に脆弱です。また、攻撃はますます巧妙化し続けており、SMB では防御の備えができていない場面が発生します。SMB は、ランサムウェア、フィッシング、DDoS、ソーシャルエンジニアリングによる攻撃の被害に遭っています。進化し続ける攻撃とそれに伴う財務上の被害は、あらゆる SMB が警戒すべきものです。

デジタル変革に伴うリスク

「デジタル変革」という言葉は、広範囲の技術を包含する曖昧で大雑把な言葉であることから、専門家やリーダーたちから批判されてきました。このホワイトペーパーでは、SMB のデジタル変革で採用される最も一般的な技術に言及します。

SMB のデジタル変革の一般的な側面には、次のものが含まれます。

IoT

モノのインターネット (IoT) は SMB に大きな利点をもたらします。人間の介入なしにタスク完了、分析、通信を行うセンサーの能力は、企業が顧客のために価値を創造する方法を提供します。しかしながら、センサーの多くはセキュリティを念頭に置いて設計されておらず、組織は潜在的なデータ侵害の可能性にさらされています。

低リスクのデバイスと高リスクのデバイスを接続する IoT の能力は、リスクに応じてセキュリティを適応させていない企業に重大なサイバーセキュリティ問題を引き起こす可能性があります。かつてはシステム中でリスクの低い部分だったものが、今では最も機密性の高いデータとリンクしている場合があります。ハッカーは 1 つの侵入経路を見つけるだけで、すべてにアクセスできます。

米国立標準技術研究所²によれば、IoT のセキュリティに関する最大の問題は次の 3 つです。

• IoT デバイスは相互に作用し合い、従来の技術にはなかった方法で物理システムに変更を加えること
• IoT は従来の技術と同じ方法でアクセスしたりコントロールしたりできないこと
• IoT と従来の IT では、サイバーセキュリティの可用性、効率、有効性が異なること

IoT は IT と同じようには動作しないので、サイバーセキュリティに関して異なるアプローチが必要となります。SMB は、セキュリティを適宜調整しない限り、データ侵害の可能性に直面することになります。

BYOD

BYOD (Bring Your Own Device) は、間接費の削減や社員満足度の向上を目的に、SMB で増えている慣例です。BYOD により、社員はスマートフォン、タブレット、ノートパソコンなどの個人所有のデバイスで仕事をすることができます。

正式な BYOD ポリシーを定めていない企業でも、社員が私物のデバイスを使用している場合があります。インターネットデバイスの普及により、携帯電話を職場に持ち込まない社員を見つけるのは難しくなりました。個人的な理由でしか使用しない携帯電話はセキュリティ上の脅威にはなりませんが、その携帯電話を使って仕事を行う場合は、会社全体のセキュリティを危険にさらす可能性があります。

BYOD によって、組織は特に DDoS 攻撃に脆弱になります。データ盗難も BYOD に伴うリスクです。社員がカフェや空港などの安全でないネットワーク経由でファイルを送信した場合、犯罪者が情報を侵害するのは簡単です。マルウェアの侵入も問題です。社員がマルウェアの添付されたモバイルゲームをダウンロードすると、そのデバイスを通じて会社の情報が攻撃を受ける可能性があります。

また、不満を持つ元社員も、会社のセキュリティに問題をもたらすかもしれません。彼らは私物のデバイスに保存された情報を使って、貴社の顧客と会社の評判の両方に大損害や破壊をもたらすことができるのです。

リモートワーク

一部の地域でリモートワークが義務化される以前から、リモートワークは爆発的な人気を博していました。しかし、現在の環境では、リモートワークは必須になりました。以前はリモートワークに抵抗があった組織も、社員の在宅勤務を可能にする方法を準備する必要に迫られています。

社員が安全なリモートワークの慣例を理解していなければ、企業はデータ侵害に脆弱になる可能性があります。許可されていない人とデバイスを共有したり、公衆 Wi-Fi など安全でないネットワークを介して情報にアクセスしたり、注意せずに電子メールを開いたりすることも、機密情報を漏洩させ、組織を危険にさらす可能性があります。

クラウドアプリケーション

クラウドアプリによって、SMB は自社データへのアクセスをより多く行うことができます。クラウドアプリを使って、データに基づいた意思決定を行い、ビジネスを成長させるための重要な洞察を得ることができます。しかし、適切な予防措置を怠った場合、組織は攻撃に対して脆弱になる可能性があります。

クラウドアプリは、攻撃者が、盗んだ認証情報を使って機密情報にアクセスできるアカウントハイジャックのリスクに企業をさらします。高度なスキルを有する執拗な脅威集団はクラウド環境を標的にし、公衆クラウドサービスを利用して攻撃を仕掛けています。安全でない API も、攻撃者が悪用する入り口となってしまう場合があります。

データ損失もまた、SMB にとって重大な問題となる場合があります。適切なバックアップを行っていなければ、事故や大災害により顧客情報が永久に失われる場合もあります。Google と Amazon は、最も技術的に進んだ企業でさえ、データのバックアップを怠ることでデータを失う可能性があることを示す例です。

デジタル変革のためにビジネスを保護する方法

デジタル変革と SMB の両方の複雑さを把握しているマネージドセキュリティサービスは、潜在的な脆弱性を突き止め、技術の変化を考慮して必要なセキュリティレベルを提供し、組織のモニタリングを継続的に提供できます。

デジタル変革計画における脆弱性を特定する

サイバーセキュリティの始まりは、デジタル変革の計画を作り始めるのとほぼ同時です。サイバーセキュリティは、デジタル変革の道のりの各ステップで最初の計画の一部である必要があります。SMB のセキュリティはビジネスの成長と常に同程度に一致するわけではなく、ギャップや脆弱性が残ってしまうので、SMB は特定のターゲットになってしまいます。この大惨事になりかねない失敗を避けるために、デジタル変革とセキュリティを並行して調整する必要があります。

IBM は、最も成功した変革に関する調査を実施しました。その調査では、セキュリティの重要性をより高く評価し、重視していた企業は、より成功した結果に終わっていることが明らかになりました。³この調査の論文で言及されているように、これらの「ハイパフォーマー」は、プロセス中にデータ侵害の被害に遭う可能性が低くなっていました。

組織が成し遂げたいデジタル変革がどんなものかを特定しましょう。IoT、BYOD、リモートワーク、クラウドアプリの増加など、拡大したい領域をメモしておきます。潜在的な脆弱性がある場所を確認するために必ず計画の詳細を盛り込んでください。

また、社内の物理的および仮想的なコンピューティングデバイスのリストを作成しましょう。ワークステーション、ノートパソコン、プリンター、モバイルデバイス、ネットワークアプリケーションサーバー、企業ファイアウォール、ネットワークファイルサーバーも評価する必要があります。

必要なセキュリティレベルを決定する

達成したいことと潜在的な脆弱性を理解すれば、どの程度のセキュリティが必要かを判断できます。以下のものは、デジタル変革を成功させるために不可欠なセキュリティサービスです。

継続的なモニタリング

多くの SMB が犯している重大な過ちは、予防に過剰な費用を費やしてしまい、検知や対応の能力を犠牲にしていることです。機密情報を保護するためには予防が不可欠ですが、攻撃は変化し、いつ襲ってくるか分かりません。攻撃への対応が早ければ早いほど、発生しうる損害の度合いを抑制し、軽減することが容易になります。

継続的なリモートモニタリングと管理により、強固なセキュリティ基盤を維持します。新しいソフトウェアのパッチやアップデートを検出してメンテナンスすることに加えて、新たな脅威に基づいてセキュリティ対策を更新することで、サイバー犯罪者に対する継続的な保護を確保できます。

IoT

BYOD

リモートワーク

クラウドアプリ