Gartner、2021年のセキュリティとリスク管理における「8つのトレンド」を発表：セキュリティ人材の不足が潜在要因

Gartnerは2021年3月23日、セキュリティやリスク管理のリーダーが対応する必要のある8つの主要なトレンドを発表した。セキュリティスキルを持った人材の不足やエンドポイントの爆発的な多様化といった課題に沿ったトレンドだ。

[＠IT]

　Gartnerは2021年3月23日（オーストラリア時間）、2021年のセキュリティとリスク管理における8つの主要なトレンドを発表した。

　新型コロナウイルス感染症（COVID-19）の世界的大流行（パンデミック）に伴い、デジタルトランスフォーメーション（DX）が加速し、これまでのサイバーセキュリティについてプラクティスの限界が露呈しているとした。セキュリティやリスク管理のリーダーは自社の迅速な改革を実現するために、これらのトレンドに対応する必要があるとしている。

　Gartnerのリサーチバイスプレジデントを務めるピーター・ファーストブルック氏は、今回発表した8つのトレンドの背景には、あらゆる企業が直面している長期的で世界的な課題があると指摘している。

　「第一の課題はスキルのギャップだ。組織の80％は、セキュリティの専門家を見つけ、採用するのに苦労している。組織の71％は、これによって組織内でセキュリティプロジェクトを遂行する能力が限られてしまっている」（ファーストブルック氏）

　この他にも次のような課題があるという。

• 複雑な地政学的状況
• 世界的な規制強化
• 従来のネットワークから、外部のワークスペースとワークロードへの移行
• エンドポイントの爆発的な多様化
• 攻撃環境の変化。特にランサムウェア攻撃やビジネス電子メール侵害（BEC）の活発化

　Gartnerが発表した8つのトレンドは次の通り。

2021年のセキュリティとリスク管理のトレンド（出典：Gartner、2021年3月）

トレンド1：サイバーセキュリティメッシュでツールを連携

　サイバーセキュリティメッシュは、最も必要とされる場所にコントロールを配備することで構成される最新のセキュリティアプローチだ。セキュリティツールが個別に動作するのではなく、ポリシー管理とオーケストレーションを一元化することで、ツールの相互運用を可能にしたものだ。

　現在、多くのIT資産が従来の企業が守ってきた境界線の外にある。サイバーセキュリティメッシュにより、企業は分散した資産にもセキュリティ対策を展開できる。

トレンド2：IDファーストセキュリティが必須に

　技術や文化の変化と、パンデミック下におけるテレワーカーの比重の増大が相まって、「どんなユーザーでも、いつ、どこからでも企業IT資産にアクセスできる」というビジョンが現実になった。アイデンティティー（ID）ファーストセキュリティは、IDをセキュリティ設計の中心に据え、従来の境界防御の考え方からの大きな転換を迫る。

　「多要素認証やシングルサインオン、生体認証には多大な費用と時間が投入されてきた。だが、IDインフラへの攻撃を検知するための効果的な認証モニタリングに対しては、ほとんど費用が投じられていない」（ファーストブルック氏）

トレンド3：テレワークのセキュリティサポート向上が必要に

　「2021 Gartner CIO Agenda」調査によると、従業員の64％がテレワーク可能になっており、少なくとも30〜40％が、パンデミック後も在宅勤務を続ける見通しだ。

　多くの企業はモダンテレワークスペースに合わせて、ポリシーやセキュリティツールを全面的に見直す必要がある。

　例えば、エンドポイントプロテクションサービスをクラウドサービスに移行するといったことだ。セキュリティリーダーは、データ保護やディザスタリカバリー、バックアップなどのポリシーを再検討して、リモート環境でも機能するかどうかを確認すべきだ。

トレンド4：取締役会レベルでサイバーセキュリティに取り組む

　「Gartner 2021 Board of Directors Survey」調査によれば、取締役は企業リスクの2番目にサイバーセキュリティを挙げている。

　大企業が取締役会レベルでサイバーセキュリティ専門の委員会を設置し始めている。セキュリティに精通した取締役や第三者のコンサルタントがこの委員会を率いる。

　2025年までに取締役会の40％が、取締役統括のサイバーセキュリティ専門委員会を置くようになると、Gartnerは予想している。なお、現時点ではこの割合は10％に満たない。

トレンド5：ベンダーの集約が進む

　Gartnerの「2020 CISO Effectiveness」調査によれば、CISO（Chief Information Security Officer）の78％が、サイバーセキュリティベンダーのポートフォリオとして16以上のツールを保有しており、12％は46以上のツールを保有している。

　社内で使用するセキュリティ製品が多いと複雑さが増し、統合コストが上昇し、スタッフ確保や管理の要件が増大する。Gartnerの最近の調査によると、IT部門の80％が今後3年間に、ベンダーを集約する計画だ。

　「対応しなければならないセキュリティ製品やベンダーの数を整理したいとCISOは考えている。セキュリティソリューションの数を減らすことで、適切な設定ができ、アラートへの対応が容易になり、セキュリティリスクの態勢を改善できる。しかしながら、より広範なプラットフォームを選択すると、コストや導入にかかる時間の面でデメリットが大きい。指標として、長期的なTCO（総保有コスト）に注目することをお勧めする」（ファーストブルック氏）

トレンド6：プライバシーを高める計算技術の導入

　保存時や転送時ではなく、使用時のデータを保護し、プライバシーを高める計算技術が登場している。信頼性の低い環境でもデータの安全な処理や共有ができ、国境を越えたデータ転送やデータ分析の課題が減るからだ。詐欺分析やインテリジェンス、データ共有、金融サービス（資金洗浄対策など）、製薬、医療といった分野で、同技術の利用が増えている。

　2025年までに大企業の50％が、信頼性の低い環境やマルチパーティーデータ分析などのユースケースで、プライバシーを高める計算をデータ処理に導入すると、Gartnerは予想している。

トレンド7：侵害と攻撃のシミュレーションが役立つ

　サイバーセキュリティ防御態勢を継続的に評価する、侵害と攻撃のシミュレーション（BAS）ツールが登場している。

　ペネトレーションテストは実施回数が少なく、例えば年1回しか評価されていない。

　定期的なセキュリティ評価の一環としてBASを導入することで、より効果的にセキュリティ態勢のギャップを特定でき、セキュリティ対策の優先順位をより効率的に決定できるようになる。

トレンド8：マシンID管理が進む

　マシンID管理は、他のエンティティーとやりとりするマシンのIDの信頼を確立し、管理することを目的としている。

　これらのエンティティーには、デバイスやアプリケーション、クラウドサービス、ゲートウェイなどが含まれる。企業内で人間以外のエンティティーが増えているため、マシンID管理は、セキュリティ戦略の必要不可欠な要素となっている。