ネットワーク インテリジェンス企業 Gigamon のハイブリッド クラウド セキュリティ調査レポートの調査結果によると、ハイブリッド クラウドの脆弱性に関しては認識と現実の間に乖離があることが示されています。CISO やその他のサイバー セキュリティ リーダーの 94% が、ツールによって資産とハイブリッド クラウド インフラストラクチャを完全に可視化できると回答しましたが、90% が過去 18 か月以内に侵害を受けたことを認め、半数以上 (56%) が Web 企業の隠れた場所からの攻撃を懸念しています。
このレポートは、米国、EMEA、シンガポール、オーストラリアの1,000人以上のITおよびセキュリティリーダーを対象とした年次調査です。
ジャンプ先:
- ハイブリッドクラウドのセキュリティを理解するための鍵
- ディープ・オブザーバビリティとは何ですか?
- ハイブリッドクラウド環境を保護するには、サイバーセキュリティの連携強化が必要
- 教育と投資の懸念？それほどではない
- ゼロトラスト意識の高まり
- 認識と現実のギャップを埋める方法
- ITのためのチェックリストマニフェスト
ハイブリッドクラウドのセキュリティを理解するための鍵
Gigamonの調査では、回答者のほぼ全員（96%）がクラウドセキュリティは移動中のすべてのデータに対する可視性確保にかかっていると回答しましたが、調査対象となったCISOとセキュリティ担当者の70%は暗号化されたデータに対する可視性が不足していると回答しました。CISOの3分の1は、機密データのセキュリティ確保に自信が持てないと述べています。
ギガモンの最高セキュリティ責任者であるチャイム・マザル氏は、ほとんどの企業がハイブリッドクラウドを利用していると述べています。「現在、世界のフォーチュン5,000企業の90%がハイブリッドクラウド環境で事業を展開していると言っても過言ではありません」とマザル氏は言います。「彼らはまずプライベートクラウドから始め、その後パブリッククラウド、そしてAWS、GCP、Azureへと、目的に応じた様々なユースケースへと移行してきたのかもしれません。」
マザル氏は、ハイブリッド クラウド全体のセキュリティに何が起こっているかを理解する鍵は、深い観測可能性であると述べました。
「可視性はあらゆる面で重要な問題です。洞察力がなければ、セキュリティを確保することはできません」とマザール氏は述べた。「侵害の最大の原因を見てみると、監視体制が整っていない企業で長年運用されてきたシステムにあります。そのため、エンドツーエンドの可視性を確保することは、CISOが日々追求しているものです。」
参照：パロアルトネットワークスのAnkur Shah氏がクラウドセキュリティに対する従来のアプローチの危険性について語る（TechRepublic）
ディープ・オブザーバビリティとは何ですか?
マザール氏は、ギガモンが作った造語である「ディープ オブザーバビリティ」とは、ネットワーク レベルの不変のインテリジェンスを意味すると説明し、「当社は、ネットワーク レベルの環境全体からメタデータを取得し、そのデータをスマートなワークフローとルーティングを通じて観測ツールにルーティングします」と述べた。
同氏は、資産クラスに関係なく、ウェブはエンドツーエンドの可視性を実現する初期段階にあると付け加えた。
「ネットワークレベルのメタデータを使用すれば、改ざん不可能な100%検証済みのデータソースが得られます」とマザル氏は述べた。「セキュリティログは優れたデータソースであることは周知の事実です。しかし、ログ偽造などの悪意のある攻撃者が、自身の痕跡を隠すためにセキュリティログを改ざんするといった攻撃を受ける可能性があります。ネットワークレベルのインテリジェンスでは、最初から最後まで検証されたデータがツールセットに提供されるため、そのような攻撃を受けることはありません。」
ハイブリッドクラウド環境を保護するには、サイバーセキュリティの連携強化が必要
回答者の97%が脆弱性の検出と対応においてITチーム間で連携できていると回答した一方で、6人に1人はセキュリティ運用がサイロ化しているため、集団責任を実践できていないと回答しました。さらに、この調査では、CISO/CIOが取締役会から十分なサポートを受けられていないと感じていることが示唆されています。米国では回答者の87%、オーストラリアでは95%が、取締役会がクラウドにおける責任共有モデルを未だ理解していないのではないかと懸念しています。
多くの回答者は、クラウド環境から重要なデータを確認することができないため、集団的な説明責任を果たすことが難しいと述べています。
- 回答者の4分の1以上（26%）が、適切なツールや可視性がないことを認めています（図A）。
- 52% は、東西トラフィック (特定のデータセンター内のデバイス間のネットワーク トラフィック) を可視化できていないと回答しました。
- 35%（フランスでは38%、シンガポールでは43%）が、コンテナ交通に関する可視性が限られていると回答しました。
図A
こうした統計にもかかわらず、回答者の50%は、オンプレミスからクラウドに至るまで、ITインフラ全体にわたって十分なセキュリティを確保していると確信していると回答しました。マザール氏は、この後者の点は驚きだと述べました。
「この2つは一致しません」とマザル氏は説明した。「研究に基づくと、誤った安心感は存在しますが、繰り返しますが、盲点を説明できるわけではありません。盲点を解決できることが、前進への道を見つける鍵となります。確かに、自信はあっても全体像を把握していない場合もあるでしょう。全体像を把握していれば、適切な行動を取り、正当な自信を築くことができるでしょう。しかし残念ながら、知らないことを知ることはできません。そして、無知は時に幸福をもたらすのです。」
参照：ビジネス目標と整合していないサイバーセキュリティは事後対応的であり、欠陥がある（TechRepublic）
調査では、CISO が夜も眠れないほど不安に思っていることがいくつか判明し、回答者の 56% が、未知の脆弱性から生じる攻撃が最大のストレス要因であると回答しています (図 B )。
図B
ギガモンの調査回答者の34%は、法規制、特にEUサイバーレジリエンス法が最大のストレス要因であると回答しました。CISOの32%は、攻撃の複雑さが最大の懸念事項であると回答しました。回答者の5分の1は、自社のチームが侵害の根本原因を特定できていないと回答しました。
さらに、世界中の企業のうち、ChatGPT を禁止しているか禁止を検討しているのはわずか 24% で、TikTok とメタバースについては 100% が懸念しており、サイバーセキュリティ上の懸念から WhatsApp の使用を禁止している企業は 60% です。
教育と投資の懸念？それほどではない
セキュリティチームが懸念していないのは、サイバー投資の不足です。Gigamonの調査では、回答者のわずか14%がこの懸念を表明しました。さらに、従業員へのセキュリティ教育が不可欠であると回答したのはわずか19%でした。
一方、フランスとドイツのセキュリティリーダーは、ハイブリッドクラウドのサイバーセキュリティスキルを持つ人材が従業員に不足していることを嘆いており、回答者のそれぞれ23%と25%が、これらのスキルを持つ人材の増員が必要だと回答しています。さらに、英国とオーストラリアのリーダーにとって、法規制は特に大きな問題となっています。英国では41%、オーストラリアでは59%が、サイバー法とコンプライアンスの変更を懸念していると回答しています。
ゼロトラスト意識の高まり
デロイトが2021年のホワイトペーパーで説明しているように、ゼロトラスト・フレームワークは、企業のネットワークとユーザー認証プロセス全体にわたって、「決して信頼せず、常に検証する」という基本原則を適用します。Gigamonの「2022年ランサムウェアの現状レポート」では、CISO/CIOの80%がゼロトラストが大きなトレンドになると回答しています。今回の最新調査では、2023年以降も同様の傾向が続くと96%が考えています。また、回答者の87%が、取締役会でゼロトラストについてオープンに議論されていると回答しており、これは2022年と比較して29%増加しています。
「ゼロトラストは製品ではなく、方法論です」とマザル氏は述べた。「長い間、それが何なのか明確なイメージがありませんでした。しかし、連邦政府による体系的な概要によって、資産、アイデンティティ、境界を軸とした階層化されたアプローチが、今日では一つのアプローチに融合されていることを、私たちはよく理解できるようになりました。」
彼は、ネットワークレベルでのインサイトが全面的に検証され、ITツールにフィードできることが重要だと述べた。「ツール間で不変のデータストリームが、エンタープライズレベルでのゼロトラスト実装の鍵となるのです。」
認識と現実のギャップを埋める方法
ギガモンの調査の著者らは、深い観察可能性を提供するデータが従来のセキュリティおよび監視ツールに確実に供給されるようにすることで、盲点を排除し、セキュリティリーダーが組織のセキュリティ体制について信じていることと現実とのギャップを埋めることができると述べています。
「ハイブリッド クラウドのセキュリティを強化するための第一歩は、多くの組織が認識と現実のギャップに苦しんでいることを認識することです」とレポートは述べています。
ITのためのチェックリストマニフェスト
可視性戦略の一環として、ITチームはネットワークドキュメントを定期的に更新し、メンテナンス、サポート、セキュリティ管理をより適切に行う必要があります。ネットワーク上のすべてのノードから情報を収集する定期的な監査は、パッチ適用やアップデートの漏れに対する強力な防御策となります。
TechRepublic Premiumのネットワークドキュメントチェックリストは、各監査にチェックリストを統合する方法を示しています。PDFとWord文書で提供されており、音声機器からストレージインフラ、バッテリーバックアップまで、重要な資産のドキュメント化に役立ちます。詳細はこちらをご覧ください。
