学生や職員の金融機関関連の情報を含む大量の個人情報、その上、盗まれれば大変なことになる貴重な研究情報も豊富に保持している大学は、サイバー犯罪者からは、大金を得られる可能性がある宝庫、しかもあまり厳格でないシステムに管理されている狙いやすい宝庫のように見えます。氏は、主要企業と協力して、サイバー攻撃シミュレーションを行いながらセキュリティの強化に携わっています。Book」の執筆者でもあります。氏は、様々な調査や研究を重ねた上での見解として、高等教育機関は失望を禁じ得ない業種であり続けていると繰り返し警告しています。氏は、高等教育機関には、4つのサイバーセキュリティ上の問題があると指摘しています。見えないないものをコントロールすることはできません。部門の問題の最たるものは可視性の欠如です。学生が自分の機器を持ち込んだとして、それが見えなかったら、どうやって資産を保護できますか?視覚化されない、持ち込まれたアプリケーションや外部デバイスをメインテインできますか?組織にとって脅威の指標は、所有する資産内で実行されているデバイス、サービス、プログラム、アプリケーション、および「モノ」を特定することで得られます。深刻な脅威を包み隠すことなく明確化し、リスクを把握し、対策を検討することが重要です。オープンフィールドの大学で、学生が自分のデバイスを使用している場合、脅威がどこから来るのかを理解し、防御するための方策を立てることは困難かもしれません。学生の活動を監視することはできないので、ほとんどの場合は、してもいいこととしてはいけないことを明確化した、確固たるポリシーと手続きを作成し、学生にその要件を承諾してもらうことが最初のステップになります。脅威を排除するための、ゆっくりとではあっても確実なステップです。セキュリティ責任者は、データがどこにあるかを検証する必要があります。どのデータをどこに保存し、どう監視・管理するのか、誰がどのデータにアクセスできるのかを検討することが重要です。そこから、ロードマップを作成し、内部そして外部からどのようにアクセス可能かを考察し、その上で資産を守るための保護手段を構築します。部門における第2の問題は、理事会や経営幹部からの賛同と承認を得るのが困難だという点です。部門だけの問題ではなく、単独のアプローチだけでは解決できない、はるかに大きな問題であることを認識する必要があります。エグゼクティブからの是認を得るために有効なアプローチ法は、できる限り友好的、協力的な態度で臨むことです。セキュリティを前面に出さないようにして、ビジネスリスクや経済的損失などに関する話題から入るのが望ましいかもしれません。セキュリティ責任者との間の信頼関係を育てることができます。組織の方針決定に関与する全員が課題とリスクを理解すると、分析や実装が容易になります。多くのデータ侵害が発生する根本的な原因は、教育の欠如と、経営幹部からの賛同と承認がなかなかすんなりと得られない点にあります。ソリューションを決定し、実装するには、明瞭な見通しと確固としたビジョンが必要です。部門も、感知できないままでいて、データ侵害や攻撃が発生して初めて問題に気が付いたときには、時すでに遅し、です。現実的でない変更や実現不可能な結果を待っているだけの、受動的な事なかれ主義は通用しません。部門が、適切な計画や対策を検討する余裕がないまま、変更と結果を強いられることになったとき、混乱や不手際が生じ、データ侵害が発生してしまいます。セキュリティ担当部門にテクノロジー用に配分される予算の少なさも大きな問題です。今日でも、サイバーセキュリティとそれに関連するテクノロジーは根幹的な必要事項というより単なる予算の配分先と認識されている場合が多いようです。少なくともデータ侵害が発生するまでは。解決策は、利用できるリソースについてよく調査して、本当に有用なものを見分けられる選択眼を持つことです。無料の製品やオープンソースの製品でできることの半分も実行できないような市販の製品がたくさんあります。予算を、学生や職員が便利に使えて、運用効率と生産性を向上させるのに役立つリソースの購入に割り当てられるよう、しっかり調査してください。部門という立場は、脅威をもたらしたりコントロールして障害を与えたりする側とは見做されないので、正しい選択をすれば協力は得られるはずです。ネットワーク上の作業をより効率的に安全に行えるようにするための変更を加えることで信頼感が得られますが、人々を混乱させる不必要な製品やアプリを導入すると、人々は実装されたコントロールを回避しようとします。簡単に言うと、セキュリティ対策として、誰も使い方がわからないようなツールや操作が難しくて作業に支障を来たすようなツールを導入することは、賢明な策ではないということです。非現実的な期待3つ目の問題点は、非現実的な期待です。経営幹部からの要求は現実離れしたレベルのものも多く、管理上、環境上の都合から求められる要件は実現できそうにない難易度の高いものになることがあります。人以上の既存ユーザーをグローバルに移行し、新しいシステムを、負荷に耐え、セキュリティ対策も施しながら、稼働させることでした。理想的には、これは数か月をかけるべきタスクです。サービスプロバイダに聞いてみれば明らかだと思います。アドレッシングスキームを入手するだけで数週間かかる場合もあります。懸念事項を洗い出し、リスクや漏洩についても考察し対策を立て、対応準備を含めた移行方策を練ることが、あるべき実施計画です。不完全な侵入テスト最後に、侵入テストの問題があります。年に一度、または四半期ごとに侵入テストを実行することは重要であり、侵入テストはぜひとも必要です。ところが、惜しむらくは、一般的に行われている侵入テストは、多くの場合、サイバー攻撃の性質をよく考慮した完全にはテストにはなっていません。時間とリソースを費やして攻撃シミュレーションシナリオを探索する必要があります。シミュレーション、脅威管理シミュレーション、関係者連絡シミュレーションなどを行って、攻撃シナリオを実行します。シミュレートされたサイバー攻撃への対応を実行することが重要です。スコープが制限され、何をすべきで何をすべきでないかが事前に定義されているテストのためのテストとは一線を画して、攻撃のシミュレーションを実行してください。現実世界で起きている攻撃をシミュレーションしなければなりません。決まったルールはありません。目的を達成するために可能なすべてを行ってください。ラップトップに侵入され、デスクトップに置かれたデータが密かに抽出されるというシナリオが考えられます。シミュレーションには、あらゆる対策、対応を含めることが必要です。シミュレーションによって、意思決定プロセス、リスク評価、イノベーション、チーム連携、などに関する組織の対応状況が測定できます。このようにして初めて、組織が実際に起こり得る攻撃にどのように反応し、識別し、修正できるのかを客観的に理解し、調整していくことができます。何事にも準備は不可欠であり、シミュレーションを実行することは、適応して的確に対応するための最良の方法を整備していくのに役立ちます。記載されている個人情報を収集し、各ポリシーに記載されている目的のために使用します。製品に関する情報を含むメール通知を受け取ることに同意します。プライバシーポリシーにのっとって使用されることを認め、同意をいつでも取り下げることができることを承知しています。Progressのプライバシーポリシーは、こちらからご覧いただけます。当社からマーケティング資料を受け取ることをご了承いただいているようです。クリックして変更してください。プログレスに継続してご関心をお寄せいただき、誠にありがとうございます。今後とも、当社の製品、ソリューション、サービス、ニュース、イベントなどの最新情報を提供させていただきます。こちらをクリックすると設定を変更することができます。記載されている個人情報を収集し、各ポリシーに記載されている目的のために使用します。製品に関する情報を含むメール通知を受け取ることに同意します。プライバシーポリシーにのっとって使用されることを認め、同意をいつでも取り下げることができることを承知しています。Progressのプライバシーポリシーは、こちらからご覧いただけます。当社からマーケティング資料を受け取ることをご了承いただいているようです。クリックして変更してください。プログレスに継続してご関心をお寄せいただき、誠にありがとうございます。今後とも、当社の製品、ソリューション、サービス、ニュース、イベントなどの最新情報を提供させていただきます。こちらをクリックすると設定を変更することができます。首頁イプスイッチはプログレスの製品ポートフォリオの一部です。プログレスは、アプリケーション開発とデジタルエクスペリエンス技術の主導的プロバイダです。オフィス所在地このページは、法律上の助言を提供することを目的としたものではありません。読者は、その法的および/またはコンプライアンスの義務について弁護士に相談する必要があります。Progressは、ここに含まれる情報の完全性または正確性に関して、いかなる表明も保証も行いません。米国内もしくはその他の国の子会社あるいは関連会社の1つ、の商標、または登録商標です。