2023年のサイバーセキュリティ予測：サイバー能力の戦い

2023年、組織は攻撃対象領域の拡大、サイバースキルの争奪戦、未知の脅威の台頭に備える必要があります

サイバーセキュリティの世界では、毎年新たな脅威や課題が出てきますが、2023年も例外ではないでしょう。現在、組織は、オンプレミスシステム、クラウドインフラ、SaaSアプリケーションを標的とした未知のサイバー脅威の増加に苦戦しています。さらに、高いセキュリティスキルを持つ人材不足も深刻化し、アナリストの過重労働や燃え尽きを引き起こしています。これらのことが最悪の状態を引き起こし、2023年、組織は情報漏洩に対してより脆弱になってしまうことが予想されます。

そんな中で、組織は具体的にどのようなことに気をつければよいのでしょうか。今回は、2023年のサイバーセキュリティの世界に影響を与えることになるであろう4つのトレンドを紹介します。

1. 人材争奪戦が激化する中、セキュリティ企業は優れた人材を採用し、定着させるための創造的な方法が必要となる

労働市場のグローバル化が進み、働き手が常に新しい機会を求めるようになる中、サイバーセキュリティ企業は、ハイテク企業に人材を奪われるリスクにさらされています。確かに、燃え尽きやストレスとまったく無縁とは言い切れない業界ではあります。そんな中で、その会社が働くのに魅力的であるという特色を明確に押し出す必要があります。高額な給与や優れたワークライフバランスを提供できるハイテク企業との競争に勝たなければいけないのです。そのためには、サイバーセキュリティ企業は、より先進的なアプローチを採用する必要があります。これには、例えば柔軟な勤務体系、インセンティブ、福利厚生を提供することが挙げられます。

2. 国家主導型のサイバー攻撃から民間と公的機関を守る

2023年になっても、サイバー戦争は、既知のTTPの広範な利用から、戦略的に適切なタイミングで相手に対して展開するのを待ち構えている未知のゼロデイ攻撃まで、さまざまな脅威が現実として存在し続けます。ゼロデイ攻撃の開発には多くの費用がかかるものもあります。しかしその分、初めてデプロイされた時に、攻撃相手に破壊的な損失を引き起こすことで、攻撃者は利益を得るのです。民間企業や公的機関は、このようなサイバー攻撃の被害の範囲を限定するために、来年はインシデント対応や脆弱性対応のスピードアップにさらに投資することで、真に力を入れるようになると予測します。セキュリティリーダーは、パッチが適用されていない故のリスクやゼロデイ攻撃のリスクに対応するには、ポスチャ管理が大切であることを受け入れ始めています。2023年は、ポスチャ、検知、迅速なレスポンスが最も重要となるでしょう。

3. ラベル付け：ソフトウェアとIoTデバイスのラベル付けが足掛かりになる

2022年、ソフトウェアのサプライチェーンを標的としたサイバーセキュリティ事件が相次いで発生し、その結果、米国の大統領令が発令されました。2023年にはほとんどの企業がその対応に追われることになるでしょう。その1つである大統領令（EO 14028）は、NIST (米国国立標準技術研究所) に対し、ドアロックからエンタープライズソフトウェアに至るまで、あらゆるソフトウェアやデバイスのラベル付けプログラムを開始するよう指示しました。具体的には、EO 14028の第4項が、現在の食品の栄養表示と同じような意味を持つ狙いがあります。ラベルには、製品および組織のプライバシーと情報セキュリティのパラメータについて、明確な事実を記載する必要があります。物理的なデバイスは、製品のサポート期間よりも使用するのが長くなる可能性があるため、ラベルに記載される重要な情報の1つは、企業がそのソフトウェアをサポートする期間です。特に、脆弱性管理の面でこれは重要となります。

そして、米国に限らず、世界各国の政府が同様の取り組みを実施しています。この流れに対して、私たちは、ラベルは健全性を保つには十分だと考えています。そして、同じように重要なもの、例えば個人情報にも使えば良いと考えています。今年は、コンシューマー向け製品、エンタープライズ向け製品ともに、この考え方が単なるガイドラインとしてだけではなく、定着していくのではないかと予想しています。

‍

4. 攻撃者は、暗号化されたデータを盗み、ポスト量子世界で復号化するために保管することになる

ランサムウェアのようなインシデントでは、サイバー攻撃の動機を知ることは簡単ですが、私たちが検知しないインシデントや、解読されても安全だと保証されたデータが関与している場合はどうでしょうか。量子コンピュータの進歩を考えると、2023年は、ポスト量子世界における機密暗号化データについて考え始めることが必須となってくるでしょう。この進歩は攻撃者も注目することになります。これまで保護されていた暗号化されたデータをただ迂回するのではなく、データを奪い、販売したり、後で復号化したりするために保存しておこうとするのです。防御側は暗号化に頼ることなく、NISTがポスト量子暗号で現在実施していることに注目を払い、今後数年間に向けた対策に着手すべきです。

最後にまとめると、2023年には、さまざまなセキュリティ上の課題が出てくることになり、信頼性の高い堅牢なセキュリティの重要性が再認識されることでしょう。攻撃者の一歩先を行くには、アナリストの負担を軽減し、最もリスクの高いアラートを優先的に表示する、効果的な検知とレスポンス戦略が必要です。つまり、攻撃者が攻撃の過程で見せる不審な振る舞いを特定し、そのシグナルにフラグを立て、侵入される前に攻撃を食い止めることができるツールを活用するのです。

‍

本記事は、「2023 Cybersecurity Predictions: Battle of the Cyber capabilities」の翻訳版です。翻訳は英語版発行時点での原文の通りです。

‍