分析レポートをお読みください。そして、エグゼクティブ・サイバーセキュリティ・プレイブックでこれまでの前提を覆しましょう。
HCLSoftwareのプロダクトマネジメント担当シニアディレクター、Robert H. Leongによる全38ページのレポート。Verizon DBIR、MITRE APT、NVD、およびCISA KEVカタログに基づいて作成されています。
HCL BigFix · HCLSoftware
エグゼクティブ・サイバーセキュリティ・プレイブックに関して、多くの経営層が信じている4つのこと。
「投資を増やしているのだから、より安全になっているはずだ」
サイバー犯罪による損失は現在、セキュリティ支出の52倍に上ります。この格差は縮まるどころか拡大しています。
「脆弱性の修復は定期的に行っている」
の組織が、自社の脆弱性修復は効果的であると評価しています。
「もし攻撃者に侵入されても、検知ツールが捕らえてくれる」
の侵害を受けた組織では、すでにパッチが利用可能でした。検知ツールは侵害を記録したにすぎません。
「どの脆弱性を優先すべきかは把握している」
の「緊急」または「高」と評価されたCVEのみが、実際に悪用されています。
エグゼクティブ・サイバーセキュリティ・プレイブックの内容：現在欠けている4つの要素
AI主導の脆弱性発見、リスクにさらされる期間の縮小、そして役員会で求められる指標について理解するための実践的なガイドです。
なぜ侵害は発生し続けるのか
ある初期アクセス経路は2年間で3.5倍に増加しました。現在、これはランサムウェアの侵入経路の第1位となっています。そして、それはほとんどの組織が最も対処の準備ができていない経路でもあります。
攻撃者が付け入るギャップ
脆弱性の一般公開から最初のエクスプロイト（悪用）までの期間が短縮していることについて解説します。
自社のチーム単独では解決できない理由
セキュリティ部門とIT部門は情報を共有していません。彼らのツールは機能不全に陥った組織図を反映しています。攻撃者は統一された目標に基づいて考えますが、防御側はサイロ化された状態で考えています。本プレイブックでは、この構造的な問題に対する解決策を示します。
役員会が理解できる指標
セキュリティ支出やインシデント数は、侵害リスクを予測するものではありません。IT部門とセキュリティ部門の両方が共有でき、役員会で論理的に説明できる回答となる、測定可能なKPIが1つ存在します。