機微データ保護に関するCISO向けガイド

同社独自のソフトウェア更新プロセスを介して18,000を超える顧客に配信された、SolarWindsソフトウェアのサプライチェーン攻撃は、SolarWindsのOrionネットワーク監視ソフトウェアに導入された悪意のあるコードに起因するものでした。The Wall Street Journal は、攻撃によって企業および個人の機微データへの潜在的なアクセスをハッカーが得ることになったと報告し、The Verge は、「9つの連邦機関と約100の民間企業が侵害された」と報告しました。

SolarWindsサプライチェーン攻撃からの気づき

サプライチェーン攻撃は目新しいものではありませんが、サプライチェーン攻撃のニュースが増えてきていることもあり、組織がサプライチェーンのリスクをより綿密に調べるための重要なリマインダーになっていると言えるでしょう。これは、商用ソフトウェアの提供者（他の組織または一般の人々のために製品やサービスを開発・提供する企業）とソフトウェアサプライチェーンの消費者（さまざまなサードパーティの材料、製品、サービスを利用する企業）の両方に当てはまります。最近の攻撃からの気づきは次のとおりです。

• ソフトウェアの提供者は、開発環境とDevSecOpsプロセスを最新化して保護する方法を改善する必要があります。
• ソフトウェアの消費者は、信頼できる提供者/サードパーティの認定された合法的なサプライチェーンのソフトウェアを使用していることを確認する必要があります。また、ソフトウェアの受け入れ基準を改善する必要があります。
• 企業は、ますます高度化するサイバー攻撃から身を守るために、システムとソフトウェアの設計と実装の方法を再評価する必要があります。

これは、機微データの保護と、アプリケーションのセキュリティに重点を置いて組織が機微データと企業の知的財産をより適切に保護する方法に焦点を当てた一連のブログ投稿の最初のものです。

コラボーレションにはデータ保護が必要

CISOの主な責任の1つは、自社の重要なデジタル資産を保護することです。これには、独自のソースコードやその他の特許技術や機密情報などの企業の知的財産が含まれる場合があります。ただし、プライバシーと規制に関する法律や基準が新たに登場したため、CISOとデータ保護責任者は、ユーザーデータ（個人識別情報（PII）、個人健康情報（PHI）、およびペイメントカード業界（PCI）データ）も保護する必要があります。

これらの新しいプライバシー法は、ユーザーデータの使用、保持、および地理的居住に関する制限を強化しています。また、多くの組織がこのデータを保護し、内部およびこのデータを処理するサードパーティベンダーとの両方で使用する必要があります。CISOは、データ保護、プライバシー保護、ITインフラストラクチャ、コンプライアンス、およびソフトウェア開発において同僚と協力して、これらのデータ保護およびプライバシーに関する法律、標準、およびガイドラインへの準拠を確保する必要がありますが、ハイブリッドクラウドとマルチクラウドサービスの出現と採用がデータセキュリティに新たな課題をもたらしています。その他の要因（データの地理的な起源、ストレージの場所、ユーザーアクセスの場所のポイント）は、サービスプロバイダーと主要なクラウドインフラストラクチャプロバイダーがデータを保護するために必要なことをさらに複雑にします。