インフラストラクチャは依然として魅力的な攻撃ベクトルです

デジタル変革のテーブルに CISO のための席を確保していますか? あなたがすべき。

いくつかの傾向により、インフラが地下に埋もれつつあります。 アプリケーションの基盤を管理するための自動化とインフラストラクチャ・アズ・コード・アプローチが主流となり、アプリケーションの配信とセキュリティ保護に必要な無数のネットワークおよびアプリケーション・テクノロジの重要性が不明瞭になっています。

開発者は、特にネットワークに関連するインフラストラクチャの細部に煩わされることを望んでいません。 クラウド コンピューティングは長い間、インフラストラクチャを扱う必要性をなくすことを目指しており、ネットワークやインフラストラクチャに疎いユーザーが手間を掛けずに済むように、API やドラッグ アンド ドロップ構成ツールを導入してきました。 開発者によって開発者のために作成された Kubernetes は、ネットワークとインフラストラクチャを構成とオーケストレーションの魔法の層の下に隠すことで、巧妙に無視します。

しかし、それは、インフラストラクチャの存在や、主要な攻撃ターゲットとしてのそのプロファイルを無視すべきだという意味ではありません。

つまり、 2020 年に IBM X-Forceが追跡した脆弱性のトップ 10 のうち 3 つは、インフラストラクチャ関連の脆弱性でした。

あなたがそれを消化するまで待ちます。

予想通り、アプリケーション プラットフォームとフレームワークの脆弱性がトップ 10 を占めました。 しかし、最も悪用された脆弱性を含む 3 つはインフラストラクチャを標的としていました。

インフラの必要性がある限り、つまり予見可能な将来においては、インフラを保護する必要性が存在するでしょう。 ほとんどのアーキテクチャでは、インフラストラクチャが最初の接点となり、ファイアウォール、DNS、ロード バランサーが主導権を握ります。 これらは、攻撃を受けた場合、組織のデジタルプレゼンス全体をダウンさせる可能性がある重要なインフラストラクチャです。 実際、シスコの年次インターネットレポートでは、「インフラの停止も引き続き脅威であり、通信事業者の半数以上がこの問題を経験している」と指摘しています。

インフラとビジネスの関係は依然として冷え込んでいます。 公平に言えば、ビジネス リーダーは、ビジネスやアプリケーションと同様に、インフラストラクチャの保護をほぼ同等に重視しています。 つまり、彼らはあらゆるものを守ることに消極的だということです。

私たちがこれらのカテゴリーを選んだのには、非常に明確な理由があります。それは、これらが一緒になってデジタル ビジネスの「スタック」を形成するからです。 デジタル ビジネスはアプリケーションに依存し、アプリケーションはインフラストラクチャに依存します。 今日のデフォルトデジタルの世界では、これら 3 つは切り離せないものですが、組織内の役割による重要性の認識に基づいて、保護されるべき (または保護されるべきでない) 別個のものとして見なされていることは明らかです。

主要な攻撃ターゲットの保護に重点が置かれていることに明らかな乖離が見られるのは、ほとんどの組織がデジタル変革の過程においてまだ成熟段階にあることを示しています。 デジタル ビジネスを効率的に運用し、保護するには、ビジネスと IT が対等なパートナーとして協力する必要があります。 つまり、IT 部門はビジネスの保護をインフラストラクチャの保護と同じくらい重要視する必要があり、その逆も同様です。

デジタル変革の取り組みは、COVID-19と「デジタル化」への急速な動きによって確かに加速されましたが、実践と認識の成熟には追いつくのに時間がかかるでしょう。 本日、 PWC は、COVID-19 の影響で、半数以上の企業が「あらゆるビジネス上の決定においてサイバーセキュリティを考慮する可能性が高くなった」と報告しています。これは、昨年の調査での 25% から増加しています。

それは良いスタートです。

この方法をまだ採用していない組織が前進する方法の 1 つは、デジタル変革のテーブルに誰が座っているかを確認することです。 CIO には専任の席が必要だという話はよく聞きますが、CISO を会議に招待することの重要性についてはあまり言及されません。

CISO の役割は時間の経過とともに変化し、時には突然変化することもあります。 本質的に、この役割ではセキュリティに重点を置く必要があります。 企業がデジタルをデフォルトとして採用するにつれて、その役割はより戦略的なものに拡大し、スピードで運営するのと同じくらい安全に運営することが求められるようになりました。 つまり、CISO は、デジタル ビジネスの加速を可能にしながら、組織が顧客と企業のデータを保護するのに必要なポリシーとガードレールを導入することを目標に、デジタル変革に最初から関与する必要があります。

CISO がまだデジタル変革の話し合いに参加していない場合は、参加する必要があります。 インフラストラクチャは依然としてデジタル ビジネスの重要な要素であり、依然として魅力的な攻撃ベクトルです。そして、インフラストラクチャを保護することは依然として CISO の責任です。