Measuring What Matters：顧客にとって欠かせないサイバーセキュリティ指標プラットフォームの構築

サイバーセキュリティ指標に関する全2回シリーズの2回目となる本IDCマーケット・パースペクティブでは、プロバイダーが構築、提供、収益化できる、データ駆動型の3層構造（ガバナンス、管理、運用）からなる指標フレームワークを定義しています。世界中の組織は、経営陣、取締役会、および運用チームにとって有益な形でサイバーセキュリティリスクを測定できておらず、AIの台頭によってそのギャップはさらに拡大しています。テクノロジープロバイダーやサービスプロバイダーにとって、これはGRCおよびサイバーセキュリティ市場における最も重要な差別化の機会の一つとなります。AIは、敵対的な攻撃を加速させること、および適切なガバナンスなしに社内でAIを導入することという2つの側面から、脅威の状況を再構築しつつあります。これらの側面はいずれも、従来のサイバーセキュリティ指標では捉えられていません。シャドウAIの検出から、エージェント型AIのガバナンス、SaaSに組み込まれたAIの可視化に至るまで、AI特有のリスク測定機能をプラットフォームに組み込んだプロバイダーは、あらゆる業界や組織規模にわたる、重要かつ未解決の顧客ニーズに応えることができるでしょう。本資料では、シャドウAI、規制コンプライアンスの態勢、エージェント型AIのリスク、モデルの知的財産保護、およびSaaSに組み込まれたAIを網羅する専用のAIリスク指標を用いて、3層フレームワークを拡張しています。ネイティブなAIガバナンス機能を備えたGRCプラットフォームを導入し、指標をビジネスリスクに整合させ、透明性が高く検証済みのインサイトを用いて対象者ごとの意思決定を支援する組織こそが、今日のAI主導の脅威および規制環境において、自信を持って主導的な立場を築くことができるでしょう。「AIの時代は、組織がサイバーセキュリティリスクを測定する方法について根本的な見直しを求めます。AIシステムがガバナンス、測定、説明責任なしに稼働しているにもかかわらず、取締役会にファイアウォールのブロック件数を報告するだけでは、もはや許容されません。統合されたインテリジェンスプラットフォーム上に構築され、あらゆる対象レベルでAI特有のリスクを捕捉するように拡張されたデータ駆動型の指標は、もはやベストプラクティスにとどまりません。これらはビジネス上の必須要件なのです」と、IDCのガバナンス、リスク、コンプライアンス・ソリューション担当リサーチディレクター、Philip Harris氏は述べています。

エグゼクティブスナップショット

• 主なポイント
• 推奨される対応策

新たな市場動向と市場力学

• 逆説的な構造：サイバーセキュリティ指標が誤解される理由
• 説明責任が取締役会にまで及ぶ：現状がもはや容認できない理由
• 3つの障壁、1つの盲点：指標の乖離が解消されない理由
• 従来の指標がもたらしたもの、そしてもたらさなかったもの
• パッチ数の集計から平易な表現へ：組織が実際に必要としているもの
• 武器化され、管理されていない：AIの2つの新たなリスクの側面
  • データ駆動型の指標
    • データ駆動型指標の特質
    • 指標を策定する際に考慮すべき要素
      • リスクの理解
      • データ収集の整合
      • データの分析
      • 結果の解釈
      • 利害関係者の配慮
      • 意思決定の支援
      • モニタリングと最適化
      • プロセスとガイドラインの策定

テクノロジーサプライヤー／サービスプロバイダーへのアドバイス

• データ駆動型の指標に必要なもの
• GRCプラットフォームの役割
• インテリジェンス・ファブリックが提供する機能
• ファブリックが実現すること
  • 対象者に応じた適切な指標
    • ガバナンス指標
      • 対象層
      • カテゴリと詳細
    • 管理指標
      • 対象者
      • カテゴリと詳細
    • 運用指標
      • 対象読者
      • カテゴリと詳細
  • メリット

参考資料

• 関連調査
• 要約