NetskopeのCISOニール・タッカーが教える、ゼロトラストを構築するCISOのための7つの実践的なヒント

のシーズン2を締めくくるとき ザ・セグメント:ゼロトラスト・リーダーシップ・ポッドキャスト、業界をリードする専門家との会話を振り返るのはわくわくします。それぞれが今日の絶え間なく変化する脅威状況に組織がどのように適応できるかについて、それぞれ独自の視点を示しています。

この最後のエピソードでは、NetskopeのEMEA最高情報セキュリティ責任者（CISO）であるNeil Thackerの話をする機会に恵まれました。ニールは、レジリエントなゼロトラストフレームワークを構築する方法について、豊富な経験を積んでいます。ディスカッションの中で、彼はセキュリティリーダーと CISO がゼロトラストへの道を切り開くのに役立つ 7 つのヒントを紹介しました。

1。従来の境界線の先を見据えて

Neilは1990年代にサイバーセキュリティ業界でキャリアをスタートし、人々が安全にインターネットに接続できるよう支援するサービスデスクの仕事をしていました。すぐに技術職やコンサルタント職に異動し、その後経営幹部に異動しました。

ニールは、すべてのセキュリティチームが境界線の保護に重点を置いていたキャリアの初期の頃を思い出しました。当時の目標は、組織のネットワークと資産を外部の脅威から守ることでした。

しかし、時代は変わりました。今日では、このような境界線に頼っていると、誤った安心感が生まれます。

「境界線がなくなった」とニールは言った。「クラウドと呼ぶ前から、このようなことが起きているのを目の当たりにしていました。組織はデータや業務を外部サーバーに移動していましたが、それらの接続を保護することがこれまで以上に重要になっています。」

今日、従業員がリモートで作業し、データがハイブリッドなマルチクラウド環境に分散している世界では、 従来のネットワーク境界 時代遅れです。この新しいネットワーキング方法は複雑さを増し、それに伴い侵害やランサムウェア攻撃も急増しました。

Neil氏は、CISOは固定された境界を守ることから、どこにいてもアクセスポイントのセキュリティを確保することに焦点を移すことで、この新しい現実を受け入れるべきだと言いました。ネットワークのドアをロックするだけでなく、ビジネスに必要のないすべてのデバイス、すべてのアプリ、すべてのトラフィックフローをロックしてください。チームがボーダーレスな世界を受け入れるのが早ければ早いほど、現代のサイバー脅威への備えも早くなります。

2。リスク管理を北極星に

ニールは、リソースを分散させるのではなく、リスクに焦点を当てることを強調しました。今日の脅威環境では、すべてを平等に保護することは非現実的であるだけでなく、不可能です。重要なのは、組織にとって何が最も重要かを理解することです。

「理想的には、組織が日常的に扱うすべてのデータを保護できます。しかし、それは現実的ではありません」と彼は言います。「リスクの優先順位付けがすべてです。最大のリスクはどこから来ているのか？」

ニールによると、最も成功しているセキュリティ戦略は、重要な資産とリスクの高い領域に焦点を当てています。彼はCISOに、「ビジネスにとって最も重要なデータは何か」という難しい質問をするよう奨励しました。データにアクセスできなくなったらどうなるか?財務面または評判面での影響はどのようなものか?これらの回答がセキュリティへの取り組みの原動力となるはずです。

3。ゼロトラスト戦略をアイデンティティだけに集中させないでください

ユーザーの身元を確認することは重要ですが、 ゼロトラスト アプローチはさらに進むべきだとニールは説明した。彼は、多くのCISOがそうする傾向があると考えているアイデンティティだけに重点を置きすぎないように警告しました。

代わりに、ニールは、デバイスの姿勢、位置、アクティビティパターンなどの信号を取り入れた、より広い視野を提案しました。

「アイデンティティは方程式の一部に過ぎない」と彼は説明した。「また、アクセスリクエストの背後にあるデバイス、場所、コンテキストも考慮する必要があります。」

ゼロトラストモデルを強化するために、彼は多層的なアプローチを取ることを推奨しました。セキュリティに関する意思決定は、身元だけでなく、複数のシグナルに基づいて行うようにしてください。アクセスを許可するかどうかの決定には、デバイスの状態、場所、アクセスされるデータの機密性がすべて等しく重要です。

4。セキュリティにデータの追跡を任せる

ニールは、どのゼロトラストモデルにおいても、データは常に優先されるべきだと主張しました。ユーザー、デバイス、アプリケーションがどこからでも接続されるようになると、セキュリティはデータに従う必要があります。これにより、データがどこに移動しても確実に保護されます。

「もはやネットワークの保護だけに頼ることはできません」とニール氏は言います。「データが移動する場所に関係なく、データを保護する必要があります。」つまり、すべての環境にわたってデータとともに移動するセキュリティ制御を適用する必要があります。

誰がデータにアクセスしたかを監視するだけでなく、そのデータがどのように使用され、どこに流れるかを監視する必要があります。データ中心のセキュリティにより、クラウド、エンドポイント、パートナーのネットワークなど、データがどこに保存されても、一貫したセキュリティポリシーの対象となります。

5。セキュリティスタックを統合して効率化を図る

Neilは、多くのCISOにとって重要な課題は、脅威からの防御だけでなく、複雑さを管理することだと考えています。セキュリティツールが多すぎると、ソリューションよりも悩みの種になります。Neilは、セキュリティリーダーに対し、可能な限りツールを統合してセキュリティスタックを合理化するようアドバイスしました。

「セキュリティツールの数に関しては、最適な点があります」と彼は指摘しました。「スタックを10個未満に減らすことができれば、はるかに管理しやすくなります。」

何十ものシステムを操作すると、ギャップが生じる可能性があります 可視性 およびセキュリティまたは重複機能。Neil は、1 つのプラットフォームに統合できるツールの数を減らし、より多くのことを実行できるようにすることを強調しました。スタックを簡素化することで、複雑さを軽減し、コストを削減し、組織のセキュリティ体制をより明確に把握できるようになります。

6。セキュリティ計算に時間をかける

ニールは、ゼロトラストで見過ごされがちな側面は時間だと考えています。理解 いつ データにアクセスすることは、理解することと同じくらい重要です 誰 それにアクセスしています。

「ゼロトラストを構築するときは、時間を考慮する必要があります。データには独自のライフサイクルがあるからです」と彼は説明しました。

ニールは、ある時点で一部のデータ資産の機密性が高くなる合併買収（M&A）活動の例を挙げました。ある時点が過ぎると、そのデータの機密性は低下します。

「時間がデータとそのセキュリティニーズにどのように影響するかを理解することは、ゼロトラスト戦略の考慮事項の一部でなければなりません」と彼は言いました。

言い換えれば、時間を別のセキュリティシグナルと考えてください。たとえば、営業時間外に機密データにアクセスできないように制御を設定したり、一般的な使用パターンに当てはまらないアクセス要求にフラグを付けたりできます。時間ベースの異常は、悪意のあるアクティビティやアカウントの不正利用の有力な指標となります。

7。ゼロトラストをビジネス目標に合わせる

ゼロトラスト戦略は、IT部門だけでなくビジネスにも役立つものでなければなりません。ニールは、ビジネスリーダーとそれぞれの言語でコミュニケーションをとることの重要性を強調しました。つまり、セキュリティ計画の技術的な詳細だけでなく、セキュリティが成長と事業継続をどのようにサポートするかに焦点を当てるということです。

「技術的な側面にあまり焦点を当てない議論をすることには価値があると感じました」とニール氏は言います。「取締役会にとって、重要なのはいくつのシステムを追跡するか、何件のインシデントが発生したかではありません。最終的には、私たちがどのようにビジネスをサポートし、ビジネスの前進を支援するかということでした。」

ゼロトラスト戦略を取締役会や経営幹部に提示する際には、次のような観点から説明してください。 ビジネスバリュー。ゼロトラストは主要な収益源をどのように保護するのでしょうか？知的財産と顧客データをどのように保護するのでしょうか？セキュリティへの取り組みをビジネスの優先事項と整合させることで、企業全体でゼロトラストを成功させるために必要な経営陣の賛同を得ることができます。

試聴、購読、レビュー ザ・セグメント:ゼロトラスト・リーダーシップ・ポッドキャスト

NeilがNetskopeでゼロトラストを構築した経験が示すように、ゼロトラストは「設定したらあとは忘れる」アプローチではありません。それは考え方であり、学習、改善、拡大の継続的なプロセスです。

もっと詳しく知りたいですか？の全エピソードを聞いてください弊社ウェブサイト、アップル・ポッドキャスト、Spotify、またはポッドキャストを入手できる場所ならどこでも。エピソードの全文を読むこともできます。