効果的でないサイバーセキュリティ対策によって発生するリスクの管理は、いかなる業務運用においても持続的に行われるものです。脅威の状況は常に変化し続けています。新しいエクスプロイトが発見されると、それを修正するためのパッチがリリースされます。脆弱性を持つ可能性のある新しいデバイスがネットワークに頻繁に追加され、攻撃面が増大します。このことは、多くの場所に設置されつつあるモノのインターネット（IoT）デバイスやセンサーが大幅に増加するなか、特に重要です。
サイバーセキュリティ対策を長期的に維持することは必要不可欠となっています。最初の脆弱性リスクアセスメントにおいて組織のデジタルアセットをすべて特定し、既存のセキュリティ対策を確認した後も、組織内部と外部における脅威状況の進化に合わせて継続的なサイバーセキュリティリスク管理を行う必要があります。
サイバー攻撃はランダムに起こるものではありません。組織に対する計画的な攻撃は、通常、適切な場所を探せばその兆候が見つかるものです。攻撃が明らかに差し迫っている兆候としては、ダークウェブ上に組織に関する言及がある、フィッシング攻撃に利用可能な類似したドメイン名が登録される、ユーザーアカウント認証情報といった機密情報が売りに出されるなどがあります。
組織の多くは、最初にサイバーセキュリティ成熟度評価を実施し、セキュリティ強化のための措置を講じるのみで、その後サイバーセキュリティリスクに対する継続的な脆弱性管理（VM）プログラムを維持していないことが現状です。
サイバーセキュリティリスク管理戦略では、総合的かつ継続的なデジタルリスク保護（DRP）を実現する4つの分野での実装を行います。DRPプラットフォームは、複数の偵察方法を使用して、脅威をリアルタイムで検出、追跡、分析します。こうしたソリューションは、侵害の兆候（IOC）と攻撃の兆候（IOA）インテリジェンスの両方を活用し、リスクを分析して攻撃を警告できます。その4つの分野を見てみましょう。
マップ - 攻撃面を定量化するため、すべてのデジタル資産を特定してマップ化し、サイバー犯罪者の活動を監視するための基礎として利用します。
監視 - パブリックウェブとダークウェブにおいて、所有しているデジタル資産に対する脅威を調査し、発見した脅威を実用的なインテリジェンスに活用します。
緩和 - デジタル資産に対し特定された脅威を妨害して排除する自動アクションを実施し、その他の既存のセキュリティー施策と統合します。
管理 - マップ、管理と緩和の分野で利用されるプロセスを管理します。このステップでIOCを強化して脆弱性に優先順位を付けることも、デジタルリスクからの保護を成功させるためには不可欠です。
サイバーセキュリティリスク管理を導入することで、組織の日常業務でサイバーセキュリティが後回しにされなくなります。また、サイバーセキュリティリスク管理戦略を策定することで、手順とポリシーを所定の間隔で実践し、セキュリティ環境を確実に最新の状態に保つことができます。
サイバーセキュリティリスク管理を実践することで、以下の脅威に対する継続的な監視、特定と軽減を実現できます。
サイバーセキュリティリスク管理は、企業が現時点のサイバーセキュリティリスクプロファイルを評価するのに役立つ重要な取り組みです。実践することでリスクレベルを低減させ、脆弱性に対処するためにセキュリティ組織を進化させるための意思決定に必要な情報が得られます。
サイバーセキュリティリスク管理は、セキュリティ組織内での状況認識の上でも重要です。セキュリティリスクを管理するには、まずアナリストが何がリスクであるかを知る必要があります。手に入るあらゆる情報を見て、何が重要かを認識し、それに応じて行動することで組織に必要な認識力が得られます。
組織内に存在するリスクと、今後発生する可能性のあるリスクを明確に理解することが不可欠です。認識度は、以下の3つのレベルに従って評価できます。
サイバーセキュリティリスク管理という包括的な取り組みの下に、複数の具体的なセキュリティリスク軽減策が属します。脆弱性とリスクを評価、特定、軽減、修復するための戦略の実装は、あらゆるセクターのあらゆるレベルで活動するすべてのセキュリティ組織にとって重要です。