データ中心のセキュリティモデルへの移行

従来、データ保護は「境界（パリメーター）」を守ることに重点が置かれてきました。つまり、機密データが保存されているシステムやネットワークに侵入者を入れないようにすることです。しかし、クラウドコンピューティングの普及により、機密データは従来の境界の外にあるシステムを経由したり、そのようなシステムに保存されたりすることがあります。言い換えれば、クラウドには境界がありません。データは、ますますモバイル化が進む労働力の中で必要とされる可能性がある場所なら、どこへでも自由に流れていきます。

したがって、サイバーセキュリティ戦略は、システムやアプリケーションの周囲に安全な境界を維持しようとする発想から、 データを不正なアクセスから守ることへと切り替える必要があります。データ中心のセキュリティ戦略が必要です。

現在のセキュリティ戦略は機能していません

データ漏えいは、発生頻度と深刻度の両方において増加しています。2019年の上半期だけでも、約4,000件の個別インシデントが 41億件超の記録の露出（露呈）につながりました。これらの漏えいのうち3件は、史上最大規模のデータ窃取インシデント10件のいずれかに含まれ、8件のインシデントが露出したデータの80％以上を占めています。さらに研究では、前年の中間時点と比べて、インシデント件数（54%増）と侵害された記録数（52%増）のいずれも増加傾向にあることが示されています。

大規模な侵害に注目することはよくありますが、影響を受けた記録が1万件未満のインシデントが、侵害活動の大半を占めている点にも注目する価値があります。サイバー脅威の標的にはなりにくいほど自社は小規模だ、と誤って考えている企業があまりに多く、その結果、強力な データセキュリティ 対策を実装できていません。しかし、敏感情報は少量ずつ取得されたり暗号化されたりしても、悪意ある攻撃者にとっての価値は変わりません。結局のところ積み上がります。専門家は、世界中の企業が今年、ランサムウェア攻撃で暗号化されたデータを復旧するために118億ドル（11.8 billionドル）超を費やすと見積もっています。

成功するデータ中心のセキュリティ戦略を構築する

データ量が急増する中で、保護対象となる企業データの価値に見合った情報セキュリティ対策を実装することが不可欠です。暗号化や厳格なアクセス制御など、最も強力なセキュリティ施策を最も機密性の高い情報に集中させる包括的な戦略を構築する必要があります。

データの発見と分類

最初のステップは、ローカルのイントラネット内にあるデータであってもクラウド上にあるデータであっても、既存のすべてのデータを包括的に棚卸しすることです。発見が完了したら、すべてのデータを分類する必要があります。効果的な data classification は自動化され、データおよびその流れに関連する特定のルールに基づいて行われなければなりません。目的は、クレジットカード番号、知的財産、医療記録などの価値のあるすべてのデータを分類し、適切に保護できるようにすることです。

アイデンティティおよびアクセス管理

アイデンティティおよびアクセス管理（IAM）は、データセキュリティ にとっても重要です。ユーザーの身元情報に加え、端末、アプリケーション、サービス、ネットワークの場所などに関する情報を組み合わせることで、データへのアクセスを「必要な場合に限って（need-to-know）」厳密に許可できるようになります。

最も効果的なアプローチは、ユーザーにロール（役割）を割り当て、各ロールに対して特定の権限を付与することです。ロールの割り当てと権限は、常に最新の状態を維持できるよう、定期的に再評価する必要があります。これは特に、データやサービスに対して高いアクセス特権を持つロールに当てはまります。そうした権限を持つユーザーは、組織に重大な損害を与え得るためです。

盗難および紛失からの保護

データが社内の直接的な管理下から外れる場合は、常に暗号化する必要があります 不正なアクセスから保護するために。暗号化は、承認されていないユーザーからデータを保護するのに役立ちます。また、承認されたユーザーが安全でない、または不正な方法や場所でデータにアクセスすることを防ぐこともできます。データ暗号化の利用は、ユーザーにとってプロセスが透明になるよう、特定の基準に基づいて行うべきです。

データマスキングも有用な手法の1つです。これは、特定の受信者が閲覧する権限を持っていない機密データを難読化（見えにくく）します。

データ損失防止（DLP）を導入することも重要です。DLP ソリューションは、指定した基準に基づき、データが存在する場所やどのように利用されるかにかかわらず、保護された境界の外へ持ち出されないようにデータを保護できます。

ガバナンスとコンプライアンス

堅牢なデータ中心のセキュリティ戦略には、データガバナンス も強く求められます。データを守るには、誰がそれにアクセスしているのか、そしてそのデータで何をしているのかを追跡できる必要があります。さらに、アクセスが発生した時期や、アクセス元がどこであったかといった重要な詳細をすべて把握することが必要です。

データがどこにあり、誰が操作したのかを示すこの詳細情報は、規制上の要件に対する compliance を証明するうえでも極めて重要です。