ビジネスに最適な、高いパフォーマンスを発揮するサイバーセキュリティチームを構築する方法
by
最終更新日:
9 読了時間：約9分
主なポイント
- 強力なサイバーセキュリティチームは、単に人員数だけでなく、明確に定義された役割と責任に基づいて構築されるものです。
- 好奇心、適応力、コミュニケーション能力を重視して採用し、その後、継続的な研修や資格取得に投資しましょう。
- SPF、DKIM、DMARCの管理を含む、メールセキュリティの専任担当者を割り当てる。
- MTTD、MTTR、フィッシング攻撃への耐性といった成果ベースの指標を用いて、チームの有効性を測定します。
- サイバーセキュリティを継続的な投資と捉え、チームの体制、スキル、セキュリティプロセスを定期的に更新しましょう。
多くの企業は、適切なセキュリティツールを導入すればセキュリティ対策は万全だと考えています。あちこちにファイアウォールやアンチウイルスソリューションを導入し、意欲があればSIEMを導入することもあるでしょう。しかし、最も甚大な被害をもたらす情報漏洩に見舞われた組織を分析してみると、その原因が技術的な問題であることはほとんどありません。問題は、その背後にある「人」と「組織体制」にあるのです。
効果的なサイバーセキュリティチームを構築するには、単に人員数を増やすだけでは不十分です。重要なのは、必要な機能を網羅し、適切なスキルを確保し、あらゆるレベルでセキュリティがビジネスの最優先事項として扱われる文化を醸成することです。ゼロからチームを立ち上げる場合でも、既存の情報セキュリティチームを成熟させようとする場合でも、その原則は同じです。すなわち、「組織体制を第一に、スキルを第二に、そして全プロセスを通じて継続的な投資を行う」ということです。
各ステップの進め方は以下の通りです。
あらゆる企業に専任のサイバーセキュリティチームが必要な理由
標的は中小企業へと移った
サイバー脅威はもはや大企業だけの問題ではありません。攻撃者は、中小企業の方が防御体制が整っていない可能性が高いことを熟知しているため、現在では中小企業こそが最も標的とされる組織の一つとなっています。業界のデータによると、データ漏洩事件の大部分は、従業員数1,000人未満の組織で発生しています。「規模が小さすぎて攻撃する価値がない」という考え方は、今日のセキュリティ分野において最も危険な誤解の一つです。
情報漏洩によるコストは、単なるインシデントにとどまらない
脅威の状況も大きく変化しています。攻撃者はもはや、ブルートフォース攻撃による侵入のみに頼っているわけではありません。フィッシング攻撃、RaaS（Ransomware-as-a-Service）、サプライチェーンへの侵害、ビジネスメール詐欺などは、現在では高度化・大規模化しており、多くの場合自動化されています。たった1回の攻撃が成功しただけで、規制当局からの罰金、法的責任、評判の失墜、業務停止といった結果につながり、そのコストは、適切なサイバーセキュリティチームへの投資額をはるかに上回るものとなります。
コンプライアンスと競争圧力
コンプライアンス要件もさらなるプレッシャーとなっています。GDPR、HIPAA、SOC 2、ISO 27001 などの規制により、組織に対して、正式なセキュリティ管理措置を講じ、責任者を配置していることを実証するよう求められるケースが増えています。これらの管理措置を日常的に担当するサイバーセキュリティチームがなければ、監査に合格したり、認証を取得したりすることは困難です。大企業を顧客とする企業や、規制産業で事業を展開する企業にとって、成熟したセキュリティ体制の構築は、単なるベストプラクティスにとどまらず、急速にビジネス上の必須要件となりつつあります。
リスク管理やコンプライアンスにとどまらず、しっかりと体制が整ったサイバーセキュリティチームは、真の競争優位性をもたらします。これにより、企業はセキュリティに関する質問票の提出が求められる大規模な契約の獲得や、ベンダーのデューデリジェンス審査の通過が可能となり、顧客に対して自社のデータが責任を持って取り扱われていることを示すことができます。信頼が差別化要因となる市場において、セキュリティは単なるコストセンターではなく、価値提案の一部なのです。
1. 採用前にサイバーセキュリティチームの体制を明確にする
求人票を作成する前に、職務内容を整理する
企業が犯しがちな間違いの一つは、1人の従業員にすべてを任そうとすることです。脅威の検知、インシデント対応、コンプライアンス、クラウドセキュリティ、エンドユーザー向けトレーニングまでを1人のセキュリティ担当者に任せてしまうと、その担当者はすぐに燃え尽きてしまいます。その結果、セキュリティ対策に深刻な穴が生じますが、手遅れになるまでそのことに気づかない可能性があります。
求人情報を掲載する前に、組織にとって実際に必要なセキュリティ機能を整理しておきましょう。ほとんどのサイバーセキュリティチームにおいて、これには以下のものが含まれます：
- 脅威の監視と検知
- インシデント対応と復旧
- IDおよびアクセス管理
- クラウドおよびインフラストラクチャのセキュリティ
- コンプライアンスおよびリスク管理
- 全従業員を対象としたセキュリティ意識向上研修
- 電子メールのセキュリティとドメイン認証
各機能ごとにすぐに専任者を配置する必要はありませんが、それぞれの機能について責任を負う人物は必要です。小規模な組織では、1人の上級セキュリティ担当者がこれらの分野のうち3つや4つを担当し、残りは契約業者やマネージドサービスプロバイダーが担当する場合もあります。大規模な環境では、各機能ごとに専用のチームを設置することが妥当となる場合があります。
採用に先立ってサイバーセキュリティチームの体制を明確にしておくことで、体制の不備を特定したり、正確な職務記述書を作成したり、期待すべき役割を明確にしたり、今後1～3年間の採用計画を立てたりすることがはるかに容易になります。また、インシデントが発生してから人員を増員するのではなく、事前に体制を整えておくことで、事後対応的なチーム構築というよくある落とし穴を回避することもできます。
報告系統を正しく整える
報告系統についても慎重に検討してください。IT部門のトップに直接報告するサイバーセキュリティチームの場合、運用上の要請を優先するあまり、リスクに関する提言が後回しにされてしまうことがよくあります。可能であれば、セキュリティ部門をCISOまたは上級幹部に直接報告させる体制を整えることで、その部門が効果的に機能するために必要な組織的な重みを持たせることができます。
2. マインドセットを重視して採用し、その後スキル研修を行う
資格よりも好奇心と適応力
資格は重要です。技術的なスキルも重要です。しかし、もしこれまでに2人の候補者を面接したことがあるなら――1人は素晴らしい経歴を持ち、教科書通りの答えを返す人、もう1人は予想外の質問を投げかけ、これまで見たこともない問題に対して思考を声に出しながら解決策を模索する人――トラブルが発生した際に、サイバーセキュリティチームに迎え入れたいのはどちらなのか、すでにわかっているはずです。
セキュリティという分野において、好奇心と適応力は不可欠な要素です。脅威の状況は絶えず変化しています。2年前には最先端だった手法も、今では攻撃者の手引書に詳しく記載されるほどになっています。3年前には優秀だったとしても、それ以来学習を止めてしまった人は、すでに時代遅れとなっています。サイバーセキュリティ分野における最適な採用判断とは、常に最新情報をキャッチアップし、コミュニティに貢献し、職務記述書の範囲を超えてこの分野に真摯に向き合っている候補者を優先することです。
単に「知っていること」だけでなく、「どのように考えるか」を実証できる人材を探しましょう。最近対応した事例について詳しく説明してもらったり、これまで経験したことのない問題にどのように取り組んだかを語ってもらったり、技術に詳しくない人に向けて複雑な技術的概念を解説してもらったりしてみてください。これら3つのアプローチは、資格のリストよりもはるかに多くのことを明らかにしてくれます。
コミュニケーションはセキュリティスキルの一つである
サイバーセキュリティ分野の人材採用において、コミュニケーション能力はとりわけ過小評価されがちです。チームは、経営陣への報告、法務・コンプライアンス部門との連携、インシデント報告書の作成、そして技術的な知識を持たない人々へのリスク説明などを行う必要があります。調査結果を明確に伝えられない優秀なアナリストは、それ自体が新たな脆弱性となります。セキュリティリスクをビジネス用語に置き換えて説明できないことは、サイバーセキュリティチームが予算交渉で敗北し、組織内での信頼を失う最も一般的な理由の一つです。
多様なバックグラウンドも、サイバーセキュリティチームを強化します。さまざまな業界で働いた経験がある人、セキュリティ以外の職種に従事していた人、あるいは法学、心理学、システム工学などの分野出身者は、純粋に技術的な観点だけで採用した人材には見落とされがちな視点をもたらしてくれることがよくあります。攻撃者は幅広い視野で物事を考えます。チームも同様に考えるべきです。
3. サイバーセキュリティチーム内で、メールセキュリティの責任の所在を明確に定める
電子メールは依然として最大の攻撃経路です。フィッシング、ビジネスメール詐欺、ドメインなりすましは、毎年発生する侵害事例のうち相当な割合を占めていますが、多くの組織では依然として適切な認証プロトコルが導入されていません。その理由は、ほぼ常に同じです。つまり、責任の所在が不明確だからです。
独自のSPF、DKIM、DMARCを導入しましょう――設定して放置するだけではいけません
どのサイバーセキュリティチームにも、メールセキュリティについて明確かつ文書化された責任を担う担当者が不可欠です。具体的には、SPF、DKIM、DMARCレコードの設定と維持、DMARC集計レポートにおける認証失敗の監視、およびそれらのレポートから明らかになった問題への対応を行います。また、ベンダー環境の変化に応じて、承認済み送信者のリストを定期的に見直すことも含まれます。さらに、正当なメールが認証に失敗した場合、セキュリティ上の問題に加え、配信性の問題にも発展する前に、速やかに問題をエスカレーションすることも求められます。
堅固な企業向けメールセキュリティ戦略は、必ずしも複雑である必要はありませんが、綿密に計画されたものでなければなりません。メール認証を継続的な責任ではなく、一度きりの設定作業として扱う組織は、脆弱なDMARCポリシーや、適切に適用されていないDMARCポリシーに陥りがちです。その結果、攻撃者は依然としてそのドメインを自由になりすますことが可能になってしまいます。
ドメインなりすましやフィッシングへの対策
ドメインなりすまし攻撃は、自社のブランドアイデンティティを利用して顧客、パートナー、従業員を標的とするため、特に危険です。自社のドメインから送信された巧妙に作り込まれたなりすましメールは、見知らぬアドレスからのメールよりもはるかに説得力があります。DMARCを適切に導入・運用すれば、こうした攻撃の侵入経路を遮断できます。しかし、そのためには、プロトコルを理解し、継続的に監視を行い、適切なタイミングで運用を推進する権限を持つサイバーセキュリティチームのメンバーが必要です。
認証対策に加え、全従業員を対象に定期的なフィッシングシミュレーションを実施することは、サイバーセキュリティチームが行える最も費用対効果の高い取り組みの一つです。これにより、追加のトレーニングが必要な従業員を特定し、経時的な改善度を測定し、セキュリティ意識向上が単なる形式的な取り組みにとどまらないようにすることができます。
4. 自身の環境に適した資格取得に投資する
資格は、候補者を審査する際に得られる最も有力な指標の一つであり、既存のサイバーセキュリティチームを育成する上で最も賢明な投資の一つでもあります。しかし、すべての資格が、組織が実際に活動している分野において等しく関連性があるわけではありません。
新卒・中途採用者向けの基礎資格
CompTIA Security+ や Certified Ethical Hacker (CEH) といった基礎的な資格は、セキュリティの原則を幅広く網羅しており、キャリアの初期段階にある新入社員や、関連分野からセキュリティ分野へ転向するチームメンバーにとって有益です。一方、経験豊富な実務者にとっては、実務スキルの向上と専門的な信頼性の両面において、職務に特化した資格の方がより大きな価値をもたらす傾向があります。
クラウドセキュリティ認定資格：CCSPとその先
インフラストラクチャがクラウド中心である場合（今日のほとんどの企業ではそうであるように）、サイバーセキュリティチームにはクラウドセキュリティの専門知識が求められます。クラウドセキュリティには、独自のアーキテクチャパターン、責任分担モデル、設定上のリスク、脅威の攻撃対象領域があり、これらに対処するには専門的な知識が必要です。オンプレミス環境での豊富な経験を持つ候補者であっても、必ずしもクラウドネイティブな環境を保護するためのスキルを備えているとは限りません。
認定クラウドセキュリティプロフェッショナル（CCSP）は、この分野で最も高く評価されている資格の一つです。この資格は、クラウドアーキテクチャ、データセキュリティ、インフラストラクチャ、運用、および法規制やコンプライアンスに関する考慮事項を網羅しており、重要なワークロードがオンプレミスのデータセンターに存在しなくなった今、まさに必要とされる幅広い知識をカバーしています。 クラウドセキュリティ担当者を採用する際は、選考基準においてCCSPを強力なプラス要素として評価する価値があります。また、クラウドインフラを管理している既存のサイバーセキュリティチームメンバーがいる場合、CCSPコースの受講を支援することは、最も実用的な人材育成投資の一つとなります。
インシデント対応を担当するチームメンバーにとっては、GCIHやGCFAといったGIAC認定資格が、深く実践的な知識を提供してくれます。コンプライアンスを重視する役割においては、CISMやCISSPが依然として標準となっています。これらすべてに共通する重要な原則は、認定資格は単に書類上で見栄えが良いだけでなく、その人が実際に行っている業務と結びついているべきだということです。
5. サイバーセキュリティチームが実際に何を行っているかを測定する
測定指標を持たないサイバーセキュリティチームは、経営陣からは存在を認識されません。存在が認識されないチームは、優先順位が変化した際、真っ先に予算や人員、組織内での影響力を失うことになります。さらに重要なのは、適切な項目を測定していなければ、組織が実際にどれほどしっかりと保護されているのか、正確には把握できないということです。
まずはMTTD、MTTR、およびパッチ適用状況の確認から始めましょう
まずは基本から始めましょう。「検知までの平均時間（MTTD）」は、脅威が発生してからサイバーセキュリティチームがそれを特定するまでに要する時間を測定する指標です。「対応までの平均時間（MTTR）」は、脅威を封じ込め、是正するまでの速さを測定する指標です。MTTDとMTTRを併せて分析することで、チームの運用効率について明確かつ客観的な全体像を把握することができます。また、サイバーセキュリティ指標を一貫して追跡することで、チームは具体的な目標を設定できるようになり、これは方向性の確立、注力すべき点の明確化、そして士気の向上につながります。
MTTDやMTTRに加え、パッチ適用率（既知の脆弱性のうち、目標期間内に修正された割合）、経時的なフィッシングシミュレーションのクリック率、インシデント検出後の封じ込めまでの平均時間、および内部監査や侵入テストで発見された重大な問題点の件数についても追跡することを検討してください。これらはいずれも、状況の異なる側面を明らかにしてくれます。
フレームメトリクスを「ITレポート」ではなく「ビジネス成果」として捉える
定期的な経営陣向けブリーフィングで指標を確認し、ビジネス用語で説明するようにしましょう。MTTRを4時間から90分に短縮することで、進行中の侵入による影響範囲を大幅に抑えられることを経営陣が理解すれば、セキュリティは単なるコストセンターの話題から、リスク管理の話題へと変化します。こうした捉え方の転換により、サイバーセキュリティチームへの資金提供や支援のあり方も変わってくるでしょう。
単に「活動量」――解決済みのチケット、確認済みのアラート、適用済みのパッチなど――だけを測定するという落とし穴には陥らないようにしましょう。こうした数値は一見良好に見えても、実際には対処されていないリスクが拡大している可能性があります。優れたサイバーセキュリティ指標とは、単なる取り組みではなく、成果を測定するものです。
6. サイバーセキュリティチームを継続的な投資と捉える
セキュリティ体制が最も強固な組織とは、一度適切な人材を採用してそれで終わりにした組織のことではありません。それらは、毎年サイバーセキュリティチームへの投資を継続し、脅威の状況の変化に応じて体制を適応させ、セキュリティを「ゴールがあるプロジェクト」ではなく、継続的な運用上の取り組みとして位置づけている組織なのです。
研修予算の確保と明確なキャリアパスの構築
つまり、新しいツールが導入される時だけでなく、毎年、研修や専門能力開発のための予算を確保する必要があるということです。また、優秀な人材が成長のために会社を辞めなければならないと感じないよう、明確なキャリアパスを構築することも重要です。セキュリティ専門家の需要は高く、ベテランのチームメンバーを競合他社に奪われることによるコストは甚大です。それは、採用や研修にかかる時間だけでなく、その人材が持ち去ってしまう組織のノウハウにも及ぶからです。
また、サイバーセキュリティチームの体制を定期的に見直すことも重要です。2年前には必要だったチーム構成が、今日では必要とされない場合もあります。組織がワークロードをクラウドに移行したり、新しい事業部門を買収したり、独自の攻撃対象領域を持つ新製品をリリースしたりした場合は、チームの担当範囲をその変化に合わせて調整する必要があります。脅威の状況とチームの現在の能力の両方を評価する年次セキュリティプログラムの見直しは、こうした変化に先手を打つための実用的な方法です。
リスクが真剣に受け止められる風土を築く
チームが官僚的な摩擦に悩まされることなくリスクを報告できる環境を整えましょう。深刻な情報漏洩を経験した組織に見られる最も一貫した傾向の一つは、セキュリティチームの誰かが懸念を指摘したにもかかわらず、それに対して何の対応もなされなかったという点です。それが組織構造上の問題であれ、文化的な問題であれ、あるいはコミュニケーション上の問題であれ、その原因を特定し、先手を打って是正する価値があります。
サイバーセキュリティチームが最高水準で業務を遂行するために必要な体制、ツール、認定資格、そして組織的な支援を提供しましょう。その投資は、セキュリティ態勢の向上に直結するだけでなく、最も重要な局面での対応能力の向上にもつながります。
攻撃者に悪用される前にドメインを保護しましょう
高いパフォーマンスを発揮するサイバーセキュリティチームには、強力なポリシーや訓練を受けた人材だけでなく、適切な技術的対策の整備も不可欠です。メール認証は、その基盤を構成する要素の中で、最も影響力がありながら、最も見過ごされがちな層の一つです。
PowerDMARCは、サイバーセキュリティチームがSPF、DKIM、DMARCを確実に適用し、どの送信者が貴社のドメインを名乗ってメールを送信しているかを完全に可視化し、なりすまし攻撃が顧客や従業員に届く前に阻止することを支援します。今すぐ無料でドメインを分析し、現在の認証状況を確認してください。
ドメインおよびメールセキュリティの専門家（所属： PowerDMARC
AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。
最新記事 by Ahona Rudra(全て見る)
