ガートナージャパン、企業が2025年に押さえておくべきセキュリティとプライバシに関する重要論点を発表

　ガートナージャパンは、日本の企業が2025年に押さえておくべきセキュリティとプライバシに関する12の重要論点を、1月8日に発表した。

　日本の企業が2025年に押さえておくべき、セキュリティに関する12の重要論点は以下の通り。

1. 新たなセキュリティ・ガバナンス
2. 新たなデジタル・ワークプレースとセキュリティ
3. セキュリティ・オペレーションの進化
4. インシデント対応の強化
5. 外部公開アプリケーションに対する攻撃への対応
6. マルウェア／標的型攻撃への対応
7. 内部脅威への対応
8. 法規制、サードパーティ／サプライチェーンのリスクへの対応
9. クラウドのリスクへの対応
10. サイバー・フィジカル・システム（CPS）のリスクへの対応
11. データ／アナリティクスのリスクへの対応
12. AIのリスクへの対応

　「新たなセキュリティ・ガバナンス」は、EUのNIS2指令やAI Act（AI法）、米国証券取引委員会（SEC）の新たなサイバーセキュリティの開示規則といった、経営の責任を明確化してリーダーシップを促進する法規制の制定が世界的に進行しており、サイバー攻撃や内部脅威に加えてクラウド、AI、データ／アナリティクス（D＆A）、サイバー・フィジカル、法規制のリスクも絡めた高度で複雑な意思決定が必要になっていることを受けたもので、従来の中央集権的なセキュリティ・ガバナンスに限界が生じていること、新しい時代に向けたセキュリティ人材の強化が重要課題になることを指摘する。

　「新たなデジタル・ワークプレースとセキュリティ」では、さまざまなデータがローカルおよびクラウド上に散在するようになるとともに、生成AIの利用などによって情報漏洩リスクが高まっていることから、従業員1人ひとりがセキュリティの当事者意識を持って自ら行動できるようなセキュリティ文化の醸成を求めている。

　「セキュリティ・オペレーションの進化」では、サイバーセキュリティAIアシスタントといったテクノロジは、未だ進化の途上にあることから、セキュリティ・オペレーションにおいてむやみにAIの導入を優先するのではなく、自社の課題を認識してその課題を解決できるかどうかという観点でテクノロジを見極め、選択的に導入すべきと訴える。

　「インシデント対応の強化」では、ランサムウェアなどサイバー攻撃の影響で長期的にビジネスが停止した事例が大きく報道されたことで、企業におけるセキュリティのインシデント対応がセキュリティの議論から脱却して、事業継続計画（BCP）や危機管理といった組織的な議論として再構築されるケースが増加していると指摘する。

　「外部公開アプリケーションに対する攻撃への対応」では、外部公開WebアプリケーションがIaaS／PaaSで構築されることが多くなっていることを受けて、クラウド・ネイティブ・アプリケーション保護プラットフォーム（CNAPP）市場のベンダ製品の動向への注目を求めている。

　「マルウェア／標的型攻撃への対応」では、AIを悪用した脅威の拡大および巧妙化、企業の国内外の拠点に対するセキュリティ侵害の増加といった、ビジネス／テクノロジ環境の変化にともなって、アタック・サーフェス・マネジメント（ASM）へのニーズの高まり、継続的な脅威エクスポージャ管理（CTEM）に取り組む必要性を感じる組織の増加を指摘する。

　「内部脅威への対応」では、PCの操作ログにおける不正の兆候の埋没、兼務や出向といった日本で当たり前に行われている独特の人事施策に対する、新たなセキュリティ対策を求めている。

　「法規制、サードパーティ／サプライチェーンのリスクへの対応」では、日本においてIT／デジタル、AI、サイバーセキュリティ関連の規制が遅れていることから、日本の常識だけで判断することによるビジネス上のリスクの高まりを懸念する。

　「クラウドのリスクへの対応」では、マルチクラウドの利用拡大にともなって、セキュリティの構成を漏れなくアセスメントして対応することが難しくなっている一方で、クラウド利用にあたって各事業部門が主導して開始する例も増え、SaaSのような形態にAIが組み込まれているクラウドも増えていることから、事業部門側でセキュリティの取り組みを運用するための能力を持つことの必要性を訴える。

　「サイバー・フィジカル・システム（CPS）のリスクへの対応」では、IT／セキュリティ部門と製品／サービスに責任を持つ事業部門が協働でリスクへの対応を進めるといった、両部門の分断をなくして組織的にCPSセキュリティに取り組める体制の構築を求めている。

　「データ／アナリティクスのリスクへの対応」では、AIや生成AIによって高まる情報漏洩リスクに対して組織的に対処すべく、セキュリティのリーダーとデータ活用推進あるいはデータ管理の責任者とのさらなる連携、協働の必要性を訴える。

　「AIのリスクへの対応」では、自社独自のデータを利用したプライベートな生成AIアプリケーションの構築・運用が増えるのにともなって、アタック・サーフェスも拡大していることから、AI TRiSM（AIのトラスト／リスク／セキュリティ・マネジメント）の取り組みの重要性が高まっているものの、日本での取り組みはまだ未成熟であると指摘している。