あなたは自分が食べているものを信頼していますか？アメリカでは、私は食品供給を規制する食品医薬品局があるので安心できます。あなたが購入した製品を信頼していますか？EUにいる場合、CEマークのおかげで自信があります。あなたの銀行やスーパーマーケットや航空会社が安全だと信じていますか？彼らは確立されたセキュリティフレームワークに従っているので、信じる必要はありません。このように私たちの生活の中で、私たちは安全を確保するために規制や基準を信頼しており、サイバーセキュリティも例外ではありません。このブログでは、セキュリティフレームワークとは何か、なぜそれが必要なのか、どのようにフレームワークを選ぶのか、最後にセキュリティフレームワークの潜在的な欠点について見ていきます。
企業はなぜサイバーセキュリティフレームワークが必要なのか？
短い答え：組織のセキュリティ体制を次の方法で改善するためです。
- 標準化：共通の言語と一連の指標により、要件がよく理解され、一貫性が保たれます。フレームワークは、プラットフォームに依存せずにサイバーセキュリティ対策を実施するためのベストプラクティスとガイドラインを提供します。
- リスク管理：フレームワークは、リスク管理に対する構造化されたアプローチを提供します。通常、発見フェーズから始まり、発見の評価が続きます。これにより、最も重大な脅威を軽減するために、リソース（それが時間であれお金であれ）の配分が行われます。
- コンプライアンス要件：多くの業界にはサイバーセキュリティの特定の規制要件がありますが、業界に特化していないフレームワークは、規制機関の基準に沿ってコンプライアンスを確保します。
- リソース/スキルのギャップ：効果的なサイバーセキュリティコントロールを実施することは小さなタスクではありません。スキルの不足（またはスキルの完全な欠如）を混ぜると、どこから始めるべきか疑問に思うかもしれません。フレームワークはリスクに基づくガイダンスを提供し、実施計画ができるだけ効果的になるようにします。
- 継続的な改善：脅威の状況は常に変化しています—次の悪用はどこかで現在開発中です。フレームワークは、あなたが安全であり続け、最新の脅威に対応するために継続的に更新されるようにするための構造を提供します。
- 相互運用性：標準化に似ていますが、少し異なり、サイバーセキュリティ対策は、内部の利害関係者やベンダー、監査人との間でコラボレーションとコミュニケーションを促進できるように、広範なデジタルエコシステムを横断します。
- 意識/可視性：フレームワーク自体がサイバーセキュリティについての意識を高め、ベストプラクティスを促進します。
フレームワークをどのように選ぶか？
ビジネスセクターや組織の状況に応じて、従うべきフレームワークはすでに義務付けられているかもしれません。例えば、上場企業はサーベンス・オクスリー法（SOX）に従う必要があるため、これを達成するために情報および関連技術の制御目標（COBIT）フレームワークを使用するかもしれません。米国政府機関の場合、国家標準技術研究所（NIST）の規則に従う必要があります。特定のフレームワークに従うことが義務付けられていない場合は、次のうちの1つ以上に対処できるフレームワークに焦点を当てます：
- リスク：
- リスクの特定、分析、評価、処理、監視を含みます。
- コンプライアンス努力の継続的な監視と報告を促進します。
- 組織がリスクに基づいて努力を優先順位付けできるのを助けます。
- コントロール：
- サイバーセキュリティチームのための高レベルの戦略を提供します。
- プラットフォームに依存しないセキュリティコントロールのセット。
- 組織の現在の状態を理解しやすくします。
- プログラム：
- 組織全体をカバーします。
- 組織の現在の状態を一箇所で評価します。
- 測定可能です。
- 技術チームから幹部まで、全組織を共通の言語に統一します。
フレームワークを使用することの欠点はありますか？
作業がセキュリティ体制を改善している場合、最終的には欠点はありませんが、それが批判されないわけではありません。セキュリティフレームワークに従っている場合、完全に安全だという誤解があります。以前よりも保護されているものの、セキュリティ体制は評価やペネトレーションテスト（ペンテスト）で検証する必要があります。組織は複雑な場所であり、一律のアプローチは、適切にリスク評価されていない場合、特定の領域での過剰投資や過小投資につながる可能性があります。フレームワークを実施することは高価ですが、今後も維持することもコストがかかり、実施と継続的なメンテナンスの両方に投資しないと、組織が脆弱になる可能性があります。
人気のフレームワークの例
- NIST CSF（サイバーセキュリティフレームワーク）
- CISコントロール
- ISO/IEC 27001
- 支払いカード業界データセキュリティ基準（PCI DSS）
- 一般データ保護規則（GDPR）
要約
セキュリティフレームワークは、組織に業界標準、ベストプラクティス、規制要件に沿った構造化されたガイドラインと方法論を提供します。どのフレームワークを実施するかを選ぶことは簡単な作業ではなく、かなりの財政的投資と時間のコミットメントが必要です。最終的には、フレームワークに従うことで組織のセキュリティ体制が改善されますが、誤ったセキュリティ感覚の犠牲にならないようにしてください。フレームワークに従うだけでは安全ではありません—継続的に進化する脅威に対する敏捷性を確保するために、セキュリティ評価やペネトレーションテストも実施する必要があります。
これらの投稿は私自身の意見であり、BMCの立場、戦略、または意見を必ずしも表しているわけではありません。