ガートナー、日本のセキュリティ／リスクマネジメントのリーダーが2024年に押さえておくべき重要な論点を発表

　ガートナージャパンは、日本のセキュリティ／リスクマネジメント（SRM）のリーダーが2024年に押さえておくべき、重要な論点を7月25日に発表した。

　同社が世界の取締役を対象に実施した調査によれば、取締役の84％がサイバーセキュリティを単なるITの問題ではなく、ビジネスリスクと見なしている。また、2024年3月に日本国内のセキュリティリーダーを対象に実施した調査でも、セキュリティの取り組みを経営に報告しているという回答が8割超に達しており、セキュリティが経営問題として議論される機会が増えていることがうかがえる。一方で、AIやサイバーセキュリティ／プライバシー関連の規制動向への対応について、「十分対応できている」とする回答は12.5％に留まった。

　AI、データ／アナリティクス、アジャイル開発といったデジタルの取り組みや、ローコード／ノーコード、市民開発のトレンドによる新しい機会とリスクに対して、IT部門またはセキュリティ部門のみで管理することが難しくなりつつあり、国内における64％の企業がセキュリティ問題のすべてをIT部門またはセキュリティ部門のみで管理することに限界があると答えている。

　従業員の働き方の変化、ビジネスにおけるデータ／アナリティクスの拡大や生成AIの活用といった要因から、重要情報を誰もが簡単に入手可能で、どこでも使える状況になりつつある。そういった中で経営が目指すのは、デジタルとセキュリティの「両立」であり、生成AIの活用などが経営による戦略的意思決定であるにもかかわらず、情報漏洩対策が経営による戦略的意思決定でなければ、いつまでも両立することはできない。

　一方で、データを活用するユーザー部門では、自分たちが行使する情報を「使う権利」には、情報を「守る義務」が付属していることを認識する必要がある。

　テクノロジの評価、およびそれを使うユーザーの支援はセキュリティ部門の役割であり、そのためにはセキュリティのルールは従来のような汎用的で抽象的なものではなく、それよりも下位文書となる「ユーザーマニュアル」といったものを丁寧に整備していくことが重要となる。画一的な周知から、ユーザーの業務にフォーカスした展開が強く求められている。

　セキュリティオペレーションにおける進化の方向性は、「即座に攻撃を分析する」「未然に防御する」「自動的に防御を強化する」「修復を自動化する」などが挙げられる。「継続的な脅威エクスポージャ管理（CTEM：Continuous Threat Exposure Management）」は、「未然に防御することを実現する」プログラムであり、セキュリティリーダーや担当者は同プログラムを理解して、社内で共有・実践していく必要がある。

　一方で、AIを利用してセキュリティオペレーションを進化させることも検討が必要であり、AIを使用した攻撃を知る、AIを検知に利用する、AIをオペレーションに生かす、という3つの観点からセキュリティオペレーションの取り組みを進化させることが重要となる。セキュリティオペレーションへのAIの統合によって、迅速な脅威の検知と対処が実現する。