なぜ「より良いIT体験」がセキュリティ対策と生産性の向上に必要なのか？ サイロ化が引き起こす根深いリスク：インシデントレスポンスや人材確保に関わる課題

「従業員のデジタル体験」（DEX）は、業務に必要なITをストレスなく利用できるかどうかに着目した概念であり、ITを含む従業員が企業のデジタル環境とどのように関わるかを指す。これには、日々の業務を遂行するために使用するハードウェアやソフトウェア、さらにはアクセス権限レベルやサポート体制が含まれる。同時に生産性に関わるテーマであり、実はセキュリティ対策にも密接に関わってくるという。その理由は。

[PR／＠IT]

　今やあらゆる仕事がITに依存している。PCで資料を作成し、業務アプリケーションやクラウドサービスで顧客情報などを管理する。現場仕事でも、タブレットで在庫や仕入れ情報を管理したり、操作マニュアルを閲覧したりする場面は日常だ。テレワークも珍しいものではなくなった。

　ITなしでは業務が成り立たないからこそ、もしネットワークが耐え難いほど遅くなったり、アプリケーションが起動しなくなったりしたら、現場は大混乱に陥る。業務効率が損なわれるだけでなく、トラブルに直面した従業員は強いストレスを感じるだろう。

　必要なITを快適に利用して、本来の仕事に専念できるかどうかという「従業員のデジタル体験」（DEX：Digital Employee Experience）は、生産性に関わる重要なテーマといえる。加えて、ITとセキュリティベンダーIvantiの製品管理担当上級副社長を務めるダレン・ゴーソン氏は「DEXは、セキュリティ対策にも密接に関わる要素だ」と強調する。どういうことなのか。

企業の競争力を左右するDEX

ダレン・ゴーソン氏

　Ivantiが各国の企業を対象に実施した独自調査によると、オフィスワーカーの半数近くが月に一度はネットワーク接続の遅延、デバイスやアプリケーションのパフォーマンス低下などを経験している。業務に際して多くのツールを使いこなす必要があり、その都度ログインしたり、異なる操作感に慣れなければならなかったりする状態に不満を抱いているという。

　「こうした状況は時間を無駄にするだけではなく、生産性にも大きな影響を与えます。問題を放置すれば従業員エンゲージメント（組織との信頼関係）の維持も難しくなるでしょう。当社の調査では、従業員の半数以上がDEXに不満を感じており、状況が改善されないなら転職を考えるという意見も一定数見られました」（ゴーソン氏）

　優れたDEXを得られれば、従業員エンゲージメントは向上する。生産性も高まり、顧客満足にもつながる――ゴーソン氏はそう説明する。問題は、どうすればDEXを向上させられるのかという点だ。便利な技術や機能が使えることはもちろん、快適に使えなければならない。

　典型的な問題の一つであるデータの「サイロ化」は、従業員のデジタル体験（DEX）を妨げる要因となる。データのサイロ化は非効率を招くだけでなく、セキュリティリスクにも関わってくる。

組織とデータのサイロ化がもたらす「セキュリティの弱体化」

　ランサムウェア（身代金要求型マルウェア）や不正侵入などのサイバー攻撃を受けると、個人情報の漏えいや事業の停止を引き起こしかねず、企業に多大な影響を与える。サイバーセキュリティは今や経営課題の一つだ。一方で、効率化や生産性の向上も引き続き重要課題だ。CIO（最高情報責任者）とCISO（最高情報セキュリティ責任者）は、どちらかの課題を分担して見るのではなく、両者が課題の両方とも追求する必要がある。CIOとCISOでは目標や優先事項が異なるものだが、ここで両者の価値観に大きなギャップがあるとセキュリティリスクにつながる場合がある。

　CIOとCISOで優先事項が異なる原因の一つは、異なるデータセットに基づいて判断を下していることだ。同じIT環境を見ているとしても、DEXに関するデータとセキュリティに関連するデータが異なる組織で管理されているのが常だ。これにより、データの不一致やギャップが生じ、環境についての重要な洞察を得たり、是正措置や自動化されたアクションを取ったり、情報に基づいた意思決定をすることが全体的に制限される。その連携に支障があると、関連性を見いだしてより良い解決策を探ることは困難になる。

　例えば、あるソフトウェアに深刻な脆弱（ぜいじゃく）性が発見されたとしよう。セキュリティ部門は早急にパッチ（修正プログラム）適用などの対策を講じる必要があるが、それには「組織の誰が利用しているどのデバイスで脆弱なソフトウェアが動作しているか」を把握しなければならない。つまりセキュリティ部門が、IT部門の保有しているIT資産のデータセットをすぐに利用できない状態だと、リスクへの対策に余計な時間がかかる恐れがある。

　Ivantiの調査資料「2024 Secure UEM レポート」によると、回答企業の69％は組織内のデータがサイロ化していると認識しており、63％はサイロ化によってセキュリティインシデントへの対処に時間がかかっていると回答している。54％はサイロ化が組織のセキュリティ体制を弱体化させているという危機感を抱いている（図1）。

図1　サイロ化がセキュリティリスクに与える影響（Ivanti資料を基に編集部作成）《クリックで拡大》

共通のプラットフォームでITとセキュリティの連携を実現

　「IT部門とセキュリティ部門が持つデータを統合し、容易にアクセスできる状態を整えなければ、迅速なインシデントレスポンスができず、セキュリティに悪影響を与えます」とゴーソン氏は説く。さらに言えば、DEXの改善に積極的に取り組まないと問い合わせ窓口となるIT部門に負荷がかかり、インシデントレスポンスの速度にも影響を及ぼす。労働人口の減少に伴う人材不足がますます顕著になる中、DEXの課題は離職リスクとセキュリティリスクの双方に大きく影響すると考えられる。

　IT部門とセキュリティ部門の密な連携が重要であり、そのためには複数のチームでツールごとに分散しているデータを1つに統合することが鍵になる。Ivantiが提供する「Ivanti Neurons」は、この課題を見据えてCIOとCISOが同一のデータに基づいて協力体制を築くためのセキュリティプラットフォームだ。「IT部門とセキュリティ部門が共同作業するようになれば、より良いセキュリティ体制が実現できます。Ivanti Neuronsは単一のデータソースに基づいてリスクの優先順位付けやDEXの改善を可能にし、ひいてはセキュリティや生産性を高めます」とゴーソン氏は説明する。

　この単一のプラットフォームで、統合エンドポイント管理（UEM）とDEX向上に役立つ複数のコンポーネントを利用できる。図2に示すさまざまなツールを通じて、組織内にどのようなIT資産があり、誰がどのような状態で利用し、どういったリスクが存在するのかを観測する。その情報に基づいて生産性やセキュリティを高めるためのインサイトを獲得する。その上で、ローコード／ノーコード開発によって適切な対策につながるスクリプトを作成し、自動的に実行する。こうしたプロセスでシステム全体を可視化し、優先順位を付けてリスクに対処することで、DEXやセキュリティ、生産性を高めるというのが望ましい流れだ。ゴーソン氏は「Ivanti Neuronsに集約したデータソースは、DEXのあるべき姿を理解して向上させる施策と、セキュリティを向上させる施策の両方に利用できるのです」と強調する。

図2　Ivanti NeuronsによるIT管理とセキュリティ対策の融合（Ivanti資料を基に編集部作成）《クリックで拡大》

　ポイントは、全ての機能が単一のプラットフォームに統合されており、CIOとCISOが単一のデータソースに基づいて判断を下し、必要なアクションを実施できることだ。ダッシュボードやレポートなどのインタフェースも統合されており、IT部門とセキュリティ部門にとってのDEX向上にも貢献するだろう。

　Ivanti NeuronsはAI（人工知能）技術も活用している。エンドユーザーのDEXに関連するデータを収集し、生成AIでインサイトを導き出す。そしてエンドユーザーに影響が及ぶ前に、自動的にデバイスを望ましい状態に変更し、問題を解決できるという。バッテリー量が低下したり、ディスク容量が限界に達したりしてから対処するのではなく、予兆の段階で先手を打つことで、DEXの低下を防ぐわけだ。これはIT部門の負担削減にもつながる。他にも以下のような対処を実現する機能がある。

• 脆弱性管理
  • リスクに優先順位を付け、緊急性のある脆弱性の対処に集中する
• サイバーハイジーン（ITの衛生管理）
  • 「ウイルス対策などの必要なプロセスが停止している」「ディスクが暗号化されていない」などの望ましくない状態を検出したら、自動的に設定を修正する

　「見えないものは管理できません。まずはIvanti NeuronsでIT資産検出とインベントリ管理の機能を活用し、どんなアセットが社内に存在するのかを把握した上で、適切なDEX管理やセキュリティ対策に取り組むのがよいでしょう」（ゴーソン氏）

DEXとセキュリティを高める仕組みで、“現場の頑張り”だけに依存しない

　Ivantiは製品開発においてもセキュリティを重視する。ゴーソン氏によれば、同社は米国のサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）の「セキュア・バイ・デザイン誓約書」にいち早く署名し、その後数百の他ベンダーが署名した。「急速に進化する今日の脅威に対して、あらゆる組織は増大する脅威に対して先手を打つことを優先しなければなりません。新たな脅威アクターが次々と現れ、テクノロジーを悪用する攻撃者の創造性が高まっています。その結果、エッジアプライアンスを提供するセキュリティベンダーは、脅威アクターから集中的に狙われることになります。このことは、ソフトウェアベンダーがセキュア・バイ・デザインの原則に取り組むことの重要性を強調しています」（ゴーソン氏）

　Ivanti Neuronsは、旅行代理店のBCD Travelや英国のキングストン大学など、さまざまな企業・組織に採用されている。金融機関SouthStar Bankの導入事例では、エンドユーザーがシステム障害に気付いて連絡する前に問題を解決する「非接触型介入」を実現。IT部門が問題解決に要する時間を約8割削減したという。

　「当社はIvanti Neuronsを通じて、ユーザー企業のセキュリティリスクを削減し、組織のレジリエンス（障害発生時の回復力）や生産性を向上させて従業員エンゲージメントの促進に貢献します。Ivanti Neuronsは、企業の競争優位性を高めるのに役立つソリューションです」（ゴーソン氏）