トロイの木馬は、歴史上最も語り継がれるセキュリティ上の失敗の1つであり続けている。なぜなら、その脅威は力ずくで内部に侵入したのではなく、知らず知らずのうちに招き入れられたからだ。
現代の組織も、これに似た課題に直面している。企業に持ち込まれるすべてのノートパソコン、ワークステーション、エンドポイントには履歴がある。部品がどこから来たのか、どのように製造されたのか、サプライチェーンをどう移動したのか、企業環境に接続される前に完全性がどのように検証されたのか、という履歴だ。
しかし、サイバーセキュリティに関する議論の多くは、デバイスがすでに組織内に入った後から始まる。その時点で、最も重要な問いの1つがすでに見過ごされている可能性がある。すなわち、そのデバイスは、そもそも信頼されるべきだったのか、という問いだ。
これはIT部門やセキュリティチームだけに関わる技術的な問題ではない。デバイスは、組織が業務を遂行し、協働し、データを保護するための入口である。その完全性が不確かであれば、影響はセキュリティインシデントをはるかに超えて広がり得る。サイバー攻撃は業務を混乱させ、顧客の信頼を損ない、最も深刻な場合にはビジネスモデル全体を危険にさらす可能性がある。だからこそ、デバイスの完全性は、調達、財務、セキュリティ、業務、取締役会にまたがるリーダーシップ共通の課題なのである。
攻撃対象領域は上流へ移動した
長年にわたり、組織はユーザー、アプリケーション、ネットワークに関連するサイバーリスクに注力してきた。これらの優先事項はいまも重要である。しかし、テクノロジーエコシステムの相互接続性が高まるにつれ、サイバーリスクは従来の境界の外側へとますます広がっている。
ソフトウェア開発や部品調達から、製造、物流、倉庫保管、最終納品に至るまで、デバイスのライフサイクルのあらゆる段階で、完全性が損なわれる機会が存在する。デバイスが再整備、再利用、リサイクルされる寿命末期においてさえ、組織はセキュリティ管理が維持されていることを確認しなければならない。
これはかつてないほど重要になっている。企業は財務目標とサステナビリティ目標を達成するために、デバイスをより長く保有し、更新サイクルを延ばし、再整備の取り組みを増やしている。同時に、テクノロジーはより複雑になり、攻撃者の能力は向上し、侵入の検知は難しくなっている。サプライチェーンへの圧力と規制当局による監視の強化も、テクノロジーエコシステムのレジリエンスに一段と焦点を当てる要因となっている。
その結果、リーダーはサイバーセキュリティがどこから始まるかについて、発想を変える必要がある。それは展開時に始まるのではない。デバイスが職場に届く前に、その姿を形づくる意思決定、基準、統制から始まるのだ。
信頼できる専門知識が重要な理由
ビジネスリーダーが、すべての部品を点検し、すべての生産拠点を監査し、すべての物流プロセスを自ら検証することを期待されるべきではない。答えは、設計・製造から納品、利用、廃棄に至るまで、デバイスのライフサイクルにセキュリティがどのように組み込まれているかを示せる、信頼できるハードウェアサプライヤーと協力することである。
これが重要なのは、多くの組織がテクノロジー投資を評価する際、ハードウェアレベルのセキュリティをなお十分に織り込めていないからだ。HPの「Wolf Security 2024セキュリティライフサイクルレポート」による調査では、IT意思決定者の81%がハードウェアとファームウェアの保護は不可欠だと考えている一方で、68%は総所有コストを算出する際にこうしたリスクが頻繁に見落とされていると回答している。
このギャップは、調達、IT、セキュリティの間で責任の所在が分断されているという問題だけではない。そこには、関係するプロセスの複雑さも反映されている。デバイスセキュリティは、部品調達、生産拠点のセキュリティ、ファームウェアの読み込み、物流、管理・保管、輸送、再整備に関わる。これらの一部はサプライヤーの業務の奥深くに位置しており、顧客だけで完全に解決することはできない。適切な管理、証拠、説明責任を備えた信頼できる供給元が必要なのである。
前提としての信頼から、検証可能な信頼へ
サプライチェーンへの脅威は、模造部品、マルウェア、悪意ある部品、シャーシへの侵入、工場の稼働停止など、さまざまな形態をとりうる。これらは抽象的なITリスクではない。デバイスが本物であるかどうか、改ざんされていないか、企業環境に安全に導入できるかどうかに直接影響しうる。
リーダーにとって実務的に求められる転換は、前提としての信頼から、検証可能な信頼へと移行することである。すなわち、サプライヤーに対して曖昧な保証ではなく、具体的な証跡を求めるということだ。組織はデバイスの出所を検証できるか。製造、ファームウェアの書き込み、保管、認証および保護された輸送、納品、再整備を追跡できるか。顧客に届くまでの過程でデバイスが操作されていないことを示せるか。そして、受領したデバイスが期待通りのものであることを証明できるか。
これらの問いは、総所有コストの一部として考慮されるべきである。ハードウェアとファームウェアのセキュリティは、パフォーマンス、価格、管理性、サステナビリティと並んで検討されるべきだ。完全性が購入後になってから初めて技術的な細部として扱われるようでは、手遅れである。
リーダーがいま取るべき行動
第一に、調達、IT、セキュリティ、財務、業務の各部門を同じ議論の場に引き入れることだ。各機能は意思決定の異なる部分を見ているかもしれないが、リーダーには価値、レジリエンス、リスクエクスポージャーについて共通の見方が必要である。
第二に、ライフサイクル全体の保証を示せるサプライヤーを優先することだ。これには、安全な設計慣行、管理された製造、保護された物流、明確な管理の連鎖、改ざんの痕跡が明らかになるプロセス、再整備、再利用、廃棄のための安全な選択肢が含まれる。
第三に、サプライチェーン保証を調達上の脚注ではなく、レジリエンスの一部として扱うことだ。企業はサステナビリティ目標を支えるために、デバイスをより長く使い、より多くのハードウェアを再利用している。したがって信頼は、導入前、利用中、そして寿命末期において維持される必要がある。
新たなセキュリティの基準
今や、多くの組織がサイバーセキュリティを後回しにすることはなくなった。しかし、依然として多くの組織は、デバイスが業務環境に入った後の保護に注意を集中させている。
よりレジリエンスの高い組織は、より広い視野を持つだろう。すなわち、サイバーセキュリティは展開前に始まること、サプライチェーンの保証は技術的な問題であると同時にビジネス上の検討事項でもあること、そして信頼できるハードウェアパートナーが果たすべき重要な役割があることを認識するのである。
長年、企業は従業員の手元に届いたデバイスをどう守るかを問うてきた。今、より重要な問いはもっとシンプルだ。すなわち、そのデバイスが組織に入る前に、信頼に足るものであったことを検証できるか、という問いである。
