データ侵害のコストは年々上昇し続けている：アクセス制御とサイバーセキュリティを統合モデルに統合すべき時です

カセットテープ、電動タイプライター、カードリーダーには何が共通しているのでしょうか？

「それらはすべて1960年代に登場した技術革新です」と答えたなら、正解です。

職場（あるいは他の場所）でカセットやタイプライターをまだ使用している可能性は低いですが、カードリーダーは依然としてオフィスのセキュリティにおいて一般的なツールです。これは、組織が依然としてレガシーなセキュリティソリューションに大きく依存しており、リスクに気付いていないことが多いことを浮き彫りにしています。

さらに、ビジネス界のセキュリティは長らくアクセス制御とサイバーセキュリティに分かれてきました。一方のチームは物理的脅威に、もう一方はデジタル的脅威に焦点を当ててきました。

しかし、新たな脅威がほぼすべての方向から出現し、攻撃試行が急増する中で、CISO（最高情報セキュリティ責任者）やCSO（最高セキュリティ責任者）といったセキュリティ幹部は、物理的セキュリティとデジタルセキュリティのギャップを埋める必要があります。両者の協働により、潜在的リスクだけでなく、セキュリティ対策全体の理解がより包括的になります。これは、保護したい知的財産を持つすべての企業、すなわち現在稼働している実質的にすべての企業に当てはまります。

近年、アクセス制御とサイバーセキュリティが交差するケースが増えており、一方での侵害が最終的にもう一方の侵害につながることがあります。

サイロは長らく組織全体の課題でしたが、セキュリティに関しては特に危険です。物理的セキュリティとデジタルセキュリティはもはや孤立して運用できません。両者を統合することで、組織は資産、従業員、収益、そして評判をより強固で回復力のある基盤で守ることができます。

カードリーダーからバイオメトリクスへ

あらゆる規模の企業におけるCISOやCSOの共通した誤りは、リスクがあると認識していても、物理的セキュリティにカードリーダーなどのレガシー技術に依存し続けることです。残念ながら、物理的セキュリティは侵害が発生するまで優先順位が低いことが多いです。2024年のDeloitteの調査によると、州雇用のCISOのうち物理セキュリティをサイバーセキュリティ予算に含めていると報告したのはわずか6人で、2022年の15人から大幅に減少しています。

企業が創業したばかりで従業員が少数の場合、物理的セキュリティは大きな課題ではありません。ロビーに警備員が配置され、作業エリアの出入口にカードリーダーが設置されたビルで事業を行うことができ、当時はそれで十分だったかもしれません。

しかし、オフィスの規模や拠点、従業員数が増えるにつれて、セキュリティの管理は格段に難しくなります。少なくとも物理的側面では、従業員が作業スペースに入る際の認証や不正侵入者の排除が含まれます。複数の拠点がそれぞれ独自のセキュリティ基準を維持している場合、上層部からの監視はほぼ不可能となり、文字通り詐欺師に扉を開けてしまうことになります。

さらに不幸なことに、脅威は必ずしも外部から来るわけではありません。例えば、従業員が解雇されたとします。物理的セキュリティはその人物を建物から締め出すことに注力し、サイバーチームはデジタル上の脅威を監視します。しかし、両者が情報を共有せずにリスクを結びつけられなければ、誰も全体像を把握できません。これは大きな誤りです。

キーカードは紛失、盗難、複製されやすく、セキュリティにおける弱点となります。また、すべてのオフィスのすべてのドアに警備員を配置するのは現実的ではありません。ここで、バイオメトリック認証などの高度な技術が活躍します。これにより、CISOやCSO（さらにはCTOやCFO）にとって、人的リソースを大幅に増やすことなくリスクを軽減できる点は歓迎すべきでしょう。

統合セキュリティモデル

このように考えてみてください：ネットワークセキュリティはピラミッドです。IPや顧客データといった最も価値の高い資産が最上部にあり、最も厳重に保護されます。物理的セキュリティはピラミッドの基礎です。その間には、さまざまなレベルのセキュリティが必要な資産が存在します。

CISO/CSOは最上部や中間部のデータ保護に多大な努力を払っているかもしれません。しかし、基盤が脆弱であれば、ピラミッド全体が危険にさらされます。説得力のあるフィッシングメールを送る者や、従業員の背後から開いたドアをすり抜けてUSBメモリを差し込む者など、たった一人の悪意ある行為者が侵害を引き起こす可能性があります。IBMの報告書によると、2024年の世界平均データ侵害コストは490万ドルで、前年から10％増加しました。また、データセンターや重要インフラを含む産業セクターではこの数字はさらに上昇します。

組織に物理資産とデジタル資産の全体像を把握できるセキュリティチームがいれば、ピラミッド全体、すなわちすべての攻撃ベクトルをより効果的に保護できます。このようにセキュリティ運用を統合することは確かに複雑で、CISOやCSOにとってはフルタイムの仕事と言えます。しかし、高額な侵害が発生する前に統合セキュリティモデルへの投資を行う方が賢明です。

物理とデジタルセキュリティの未来

一つ確かなことは、悪意ある者が悪質な目的で企業のセキュリティを侵害し続けるということです。先んじるためには、業務を妨げないより安全な技術を導入しなければなりません。従業員が毎回バッジをかざし、PIN を入力しなければならないと、日常業務に摩擦が生じます。確かに（少なくとも大部分は）正しい人物だけが各部屋に入れることを保証しますが、テイルゲーティングや PIN 共有、バッジ紛失といった問題に弱いシステムでもあります。調査によると、従業員数 40,000 人規模の企業は年間平均で 10,378 枚のキーカード／フォブを失っています。

顔認証などのバイオメトリクスは、オフィス内の摩擦をいくつか取り除き、すべての従業員、CISO や CSO も含めてより良いバランスを実現できます。従業員の身元を顔バイオメトリクスで認証すれば、スタッフは歩き続けるだけでリアルタイムに検証され、アクセスポイントをはるかに速く通過できます。

そして現在、AI がバイオメトリクスシステムを時間とともに賢くしています。機械学習により、これらの技術は新しいヘアスタイルや眼鏡といった自然な外見の変化に継続的に適応でき、再登録を必要としません。

このような最先端のアクセスコントロール技術への投資は、組織が将来に備える最も賢明な方法の一つです。物理的・デジタル的なセキュリティを維持しつつ、従業員体験も向上させます。