組織がサイバーセキュリティからサイバーレジリエンスへ移行しなければならない理由

組織のサイバーセキュリティは、チームが分析できるよりも早くインシデントが拡大する脅威の状況に合わせて進化する必要があります。課題はテクノロジーではなく、プレッシャーの下での組織の意思決定です。サイバー レジリエンスは、システムが中断され、データの整合性が不確実で、外部からの圧力が高まった場合でも運用を継続できる能力に焦点を当てています。その能力を構築および測定する最も効果的な方法の 1 つは、IT の復旧が遅れ、組織全体が対応する必要がある極端なシナリオ向けに設計された机上演習を行うことです。長年にわたり、サイバーセキュリティは主にテクノロジーの問題として捉えられてきました。ファイアウォール、エンドポイント保護、検出ツール、インシデント対応ハンドブックが会話の中心となっています。組織は、攻撃を防止し、検出して対応する能力を向上させるために多額の投資を行ってきました。予防は誇張することはできず、サイバーセキュリティの基礎であると考えるべきです。予防は、リスク、混乱、コストを軽減し、爆発範囲を制限し、ビジネスの継続性を確保します。脅威が絶え間なく存在し、敵が素早く行動する環境では、被害を軽減する最も効果的な方法は依然として強力な予防的管理です。 現実には、もはや攻撃が起こるかどうかではなく、いつ起こるかが問題になっています。そして、いかなる技術的防御も、たとえ強力なものであっても、不確実性、複雑さ、時間的プレッシャーによってテストされる可能性があります。このような不確実性は、人工知能の急速な導入によって悪化しており、人工知能は防衛能力を加速すると同時に敵を支援しています。より強力な組織は、たとえ予防が困難な場合でも、失敗しても効果的に機能できる組織です。テクノロジーによって確実性をすぐに回復できない場合、最終的に結果を決定するのは組織の意思決定規律と運用上の調整です。ここで、サイバーセキュリティがサイバーレジリエンスへと進化します。サイバーレジリエンスはサイバーセキュリティ以上のものですサイバーセキュリティは、攻撃の阻止、滞留時間の短縮、システムの復元といった保護と対応に重点を置いています。サイバー レジリエンスは、より広範な疑問を投げかけます。テクノロジーが中断されたり、機能が低下したり、信頼されなくなったりしたときに、組織はどのように業務を継続し、意思決定を行うのでしょうか?その意味で、サイバー レジリエンスは他の事業継続計画の分野を反映しています。たとえば、組織は、システム、人材、プロセスが利用できなくなる可能性があるにもかかわらず、ビジネスは引き続き機能しなければならないことを想定して、自然災害、サプライ チェーンの混乱、業務停止に定期的に備えています。同様に、重大なサイバーインシデントが発生すると、IT の復旧が遅れたり、制限されたりする可能性があります。システムのダウンが予想より長くなり、データの整合性が不確実になる可能性があります。顧客、規制当局、メディアからの外部圧力も高まる可能性があります。したがって、課題はもはや純粋に技術的なものではなく、組織的なものでもあります。サイバー危機の組織的な性質真のサイバー回復力を実現するには、組織全体が連携して行動する必要があります。 法務チームは規制上のリスクと契約上の義務を評価する必要があります。財務部門は業務への影響と負債を評価する必要があります。コミュニケーション チームは、従業員、顧客、パートナー、一般向けのメッセージを管理する必要があります。経営幹部は、不完全で、場合によっては矛盾する情報を使用して、タイムクリティカルな意思決定を下さなければなりません。これらの機能が連携していないと、技術的に適切に管理されたインシデントであっても、意思決定の遅れ、一貫性のないメッセージ、管理されていない期待、回避可能な評判の低下といったビジネス危機に発展する可能性があります。しかし、多くの組織は依然として、ほぼ IT 内部のみでサイバー対応を「テスト」しています。インシデント対応演習では、マルウェア分析、封じ込めスケジュール、システム復元に焦点を当てます。必要ではありますが、これは、組織が継続的な混乱下で運営できるかどうか、または事実が不明確な場合にリーダーが自信を持って決定を下せるかどうかをテストするものではありません。サイバー レジリエンスには別のアプローチが必要です。予防によってリスクは軽減されるが排除できない場合、およびテクノロジーによって不確実性を即座に解決できない場合に、組織がどのように行動するかを練習します。サイバー回復力の測定が難しい理由サイバー レジリエンスがよく議論されるものの、ほとんど測定されない理由の 1 つは、ダッシュボードだけではサイバー レジリエンスを測定できないことです。エージェントを配置して、プレッシャーの下で経営幹部がどれだけ迅速に連携できるか、急速に変化する状況で法務部門とコミュニケーション部門がメッセージングを同期できるかどうか、チームがサイロ間で情報を効果的に共有できるかどうかを伝えることはできません。サイバー レジリエンスとは、意思決定、調整、適応性に関するものです。それを評価するには、組織には構造化された方法論、つまり極限の条件下で人やプロセスがどのように機能するかを演習、観察、測定する方法が必要です。ここで、机上演習が非常に貴重になります。机上演習：限界点に向けた練習机上演習は、多くの場合、コンプライアンス要件または基本的なインシデント対応トレーニングとして扱われます。ただし、適切に設計されていれば、回復力を構築および測定するための最も実用的な方法の 1 つとなります。技術的なシミュレーションとは異なり、テーブルトップは人々と意思決定に焦点を当て、参加者を現実的なシナリオに置き、不確実性、トレードオフ、競合する優先事項を乗り越えることを強います。これを効果的に行うには、回復が遅れ、データの信頼性に疑問があり、外部からの圧力が高まっているときに組織が業務を遂行できる能力をテストすることを目的として、「通常の」サイバーインシデントを超えるシナリオが必要です。強力な回復力の訓練は徐々にエスカレートします。初期の兆候は、重要なシステムに影響を与える攻撃を示唆しています。復旧スケジュールは遅れ、依存関係により復旧が複雑になります。データの整合性に関する懸念が浮上し、システム内の内容を信頼できるかどうかが迫られています。顧客やパートナーは質問をします。規制当局と期限が迫っています。組織は確実性を回復する前に決定を下す必要があります。ある時点で、テクノロジーだけでは状況をすぐに解決できないことが明らかになります。ここで演習が明らかになります。法務部門は、完全な事実なしに通知義務とリスクエクスポージャーを評価します。財務部門は、システムが利用できない状態が続いている間のビジネスへの影響を評価します。内部コミュニケーションは、従業員の不確実性と噂の管理を管理します。外部とのコミュニケーションにより、透明性と法的リスクおよび風評リスクのバランスが保たれます。経営幹部は時間のプレッシャーのもと、一か八かの電話をかけます。価値があるのは「完璧な」答えを見つけることではありません。重要なのは、組織が迅速に、首尾一貫して、そして断固として協力できるかどうかです。レジリエンス エクササイズで実際に測定できるもの適切に設計されたサイバー復元力の机上演習では、純粋に技術的なテストでは得られない洞察が明らかになります。また、次のような長期にわたって追跡できる測定可能な指標も作成します。幹部の関与までの時間: リーダーがどれだけ早く参加し、関与を維持できるか。意思決定の明確さ: 所有権が明確であるか、決定が曖昧なまま行き詰まっているかどうか。情報の流れ: 重要な事実がチーム間で移動するか、サイロ化されたままになるか。運用の継続性: 重要なサービスを縮退モードで実行する機能。危機通信への備え: 社内外のメッセージをタイムリーに調整します。ストレス下での目標回復時間と目標回復ポイント: 回復の仮定が現実と一致するかどうか。競合と遅延のポイント: 機能間に摩擦が生じる場所。これらの指標により、組織は「準備ができていると思っている」を超えて、具体的な改善計画に向けて進むことができます。まずは予防、常に回復力予防は、インシデントの可能性と影響を軽減し、時間を稼ぎ、混乱を制限するためのサイバーセキュリティ戦略の中核であり続けます。ただし、回復力があれば、速度、不確実性、複雑さによって予防が試される場合でも、組織は引き続き機能できることが保証されます。サイバー レジリエンスは 1 回限りのプロジェクトではありません。他の事業継続計画の規律と同様に、継続的な実践、改良、リーダーの関与が必要です。組織の進化に合わせて、机上演習を繰り返し、適応させ、拡張する必要があります。最も回復力のある組織とは、完璧な防御を備えた組織ではなく、失敗を経験し、そこから学んだ組織です。 IT 部門がシステムを復元するときにサイバー演習が停止した場合、復元力ではなくセキュリティをテストしていることになります。予防を基礎として構築し、それが不十分な場合に実践します。 #組織がサイバーセキュリティからサイバーレジリエンスへ移行しなければならない理由