例外的な期待は何ですか?

サイバーセキュリティでは、ゼロトラスト、AI、パスワードレス認証、量子コンピューティングなど、追求すべき新たな輝かしいオブジェクトが常に存在します。 これらは最新の注目トピックの一部にすぎず、組織は現在の脅威に先んじてこれらを導入する必要があるというプレッシャーを感じています。

これらの新しいテクノロジーは確かに関連性がありますが、「サイバーの基本」を正しく理解することほど重要ではないかもしれません。 新しい最先端のツールを購入したり、まったく新しいアーキテクチャを計画したりしても、成功するセキュリティ プログラムを構築するための基礎的で構造的な基盤を優れたものにすることはできません。 これらの基本的な考慮事項の一例は、「例外」の領域です。 

サイバーセキュリティのポリシーや手順に例外があるのは、どの企業でも当然のことです。 これらの範囲は、パッチ適用の例外から、アクセスおよびファイアウォールの例外に対する多要素認証 (MFA) の例外まで多岐にわたります。 組織が例外リクエストをどのように処理および追跡し、例外に関連するリスクを評価するかは、組織によるサイバー攻撃の監視、検出、および対応の容易さ、または困難さに大きな影響を与える可能性があります。

サイバーセキュリティの例外は正当化されるのか? 

例外は組織の環境への侵入を容易にするため、攻撃者は例外を利用します。 たとえば、私は軍事契約を支持しており、司令部はアプリケーションの許可リストを展開していました。 上級将校の側近らは、このテクノロジーが上級将校の業務に「干渉」する可能性を懸念し、上級将校に対する例外を要求した。 しかし、上級将校はまさに追加のセキュリティ保護を必要とするグループでした。 

私たちは補佐官たちに会って、この技術がどのようにしてこれらの VIP をよりよく保護するかを説明することができました。また、技術に関する問題があれば迅速に解決するために彼らのオフィスと調整します。 多少の不安はあったものの、最終的には VIP の保護が強化され、例外リクエストは削除されました。 必要なのは、座ってユーザーの悩みについて話し合い、その不安を和らげる方法を辛抱強く説明することだけでした。 

例外は、最終的に、例外が少ない場合 (または例外がまったくない場合)、セキュリティがどの程度優れているかを示します。 以下の点に留意してください。

• 例外を要求および承認するための明確かつ簡潔なプロセスがあることを確認してください。 (ヒント: 利便性は例外を許可するための適切な根拠ではありません。) このプロセスは、組織の利用規定ポリシーなど、他のセキュリティ ポリシーと連携する必要があります。
• このプロセスには、例外の影響を判断するためのリスク評価が含まれる必要があります。
• すべての例外を追跡して、悪用されていないことを確認します。
• 例外リクエストが多すぎる場合は、従業員が安全に作業を完了できるようにポリシーを変更する必要がある場合があります。
• 例外は期限切れになる必要があります。 必要に応じて、それらがまだ有効であるかどうかを確認することができます。

例外プロセスなどのサイバーセキュリティの基本が不足している場合、新しいテクノロジーにどれだけ時間とお金を投資しても、セキュリティの問題に直面することになります。 自動化やその他のソリューションは役立ちますが、人間の新たな行動やプロセスを必要とする問題も含め、すべての問題を解決できるわけではありません。 ギリシャ神話のアキレスのように、長い間弱点を抱えて生きていると、弱点を忘れてしまいがちです。 そして、アキレスと同じように、そのような物忘れは深刻な結果をもたらす可能性があります。

続きを読む Google Cloud からのパートナーの視点

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• PlatoData.Network 垂直生成 Ai。 自分自身に力を与えましょう。 こちらからアクセスしてください。
• プラトアイストリーム。 Web3 インテリジェンス。 知識増幅。 こちらからアクセスしてください。
• プラトンESG。 カーボン、 クリーンテック、 エネルギー、 環境、 太陽、 廃棄物管理。 こちらからアクセスしてください。
• プラトンヘルス。 バイオテクノロジーと臨床試験のインテリジェンス。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/google-cloud-security/what-are-your-exception-expectations