Gartner、「データセキュリティに関するハイプ・サイクル」を発表——「暗号の俊敏性」「ポスト量子暗号」が登場

データセキュリティリスクを低減するための確固たるビジネスケースを構築し、データセキュリティ投資の財務的影響を把握することは、データセキュリティに関する最新のハイプ・サイクルの基礎となっている。

最もうまくいっている組織は、まずビジネス上の意思決定としてサイバーセキュリティへの支出を優先している、 Gartner の「データセキュリティのハイプ・サイクル2023」は、このアプローチの優位性が高まっていることを反映している。クラウドリスクの評価と定量化に必要な主要テクノロジーは成熟しつつあり、新たな脅威から保護するための新たなテクノロジーが普及すると予測されている。

ビジネスケースがデータセキュリティの連携とテクノロジーを推進

Gartner はより多くの企業がサイバーセキュリティ投資の効果測定に注力する中、サイバーリスクの検証と定量化に必要なコアテクノロジーが急速に成熟していると見ている。CISO はVentureBeat に、財務的説明責任にとっては新しい時代が到来しており、はマルチクラウドの技術やグローバルなネットワークに保存されたデータを保護するための新しいテクノロジーにも及んでいると語っている。取締役会は、データセキュリティへの投資によってどのように収益を保護し、潜在的に成長させることができるかを検討するため、サイバーセキュリティのコストを管理することは、より高い優先事項となりつつある。

Gartner が発表したデータセキュリティに関する最新のハイプ・サイクルは、特に保険、金融サービス、機関銀行、証券投資といったコンプライアンス中心の業界において、CISO、CIO、およびそのチームが VentureBeat に語った内容と一致している。Gartner は今年、クリプトアジリティ（暗号の俊敏性）、ポスト量子暗号、量子鍵配布、ソブリンデータ戦略、デジタルコミュニケーションガバナンスの5つのテクノロジーを新たに追加され、8つのテクノロジーが削除された。

企業レベルのデータセキュリティにおいて、連携を正しく行うことは常に課題であった。データ連携に対するよりセキュアなアプローチの必要性から、長年にわたってさまざまなソリューションが乱立してきた。Gartnerはこのような課題によって、データセキュリティポスチャーマネジメント（DSPM）、データセキュリティプラットフォーム（DSP）、マルチクラウドデータベースアクティビティモニタリング（DAM）などのデータセキュリティテクノロジーが転換または連携されると予測している。

CISO はまた、量子コンピューティングを進化する潜在的脅威として監視しており、その監視を戦略的IT計画チームに委任していると述べている。Gartnerはまた、今年のハイプ・サイクルでクリプトアジリティを紹介し、この分野で可能な限り多くのデータと知識を求める顧客の要望に応えた。

＜関連記事＞

Gartner、2023年の「ハイプ・サイクル」でジェネレーティブAI を「過剰期待の頂」に位置付け

2023 データセキュリティの主要動向

VentureBeat によると、CISO と彼らが管理するチームは、クラウド上のデータと、マルチクラウド構成で各データソースに関連する多数のIDを保護することは、コンプライアンスを追跡しながら、データの種類ごとにアクセス権を提供する必要性から、より困難になっているという。

企業のクラウドインスタンス全体におけるマシン ID の急激な増加によって、それはさらに難しくなっている。今年のデータセキュリティのハイプ・サイクルでは、このような傾向が強調されている。

データガバナンスとリスク管理が戦略的優先事項に

取締役会のメンバーは、ガバナンスとリスク管理について CISO に定期的に質問する。CISO は VentureBeat に、取締役会のメンバーはリスク管理を専門家レベルで知っているが、技術スタックとマルチクラウドの観点からデータガバナンスとリスク管理の技術ベースのコンテキストを定義してもらう必要があると述べている。

今年のハイプ・サイクルでは、データガバナンスとリスク管理が Gartner の議論の中心となっており、取締役会とCISOの間のこうした力学が何百もの企業で展開されている。取締役会は、サイバーリスクを正確に定量化する方法を知りたがっており、それがコンプライアンスの強化を後押ししている。CISO は、財務データリスク評価（FinDRA）は取締役会主導であり、ハイプ・サイクルに掲載されても驚かないと述べている。

データをクラウドに移行することで、使用中のデータを保護する技術の必要性が高まる

ほぼすべての企業が、インフラやアプリケーションのすべてではないにせよ、その一部をクラウドサービスに依存している。Gartner はこれをデータに対する潜在的なリスクとみなし、ハイプ・サイクルにおいて使用中および停止中のデータを保護するための一連のテクノロジーとテクニックを特定している。

これには、機密性、同型暗号化、差分プライバシー、セキュアマルチパーティ計算（SMPC）が含まれる。機密性はハードウェアベースの信頼された実行環境に依存してデータ処理を分離し、SMPC は生データを公開することなく共同データ分析を可能にする。ハイプ・サイクルにおけるこれらのデーイン・ユース技術の存在は、静止時のデータセキュリティから転送時のデータセキュリティへの移行を実証している。

量子コンピューティングに基づく新たな脅威が登場

量子コンピューターがいつ暗号を解読するかについては、多くのことが書かれ、予測されてきた。しかし、量子技術がその方向に進んでいることは、広く認められている。VentureBeat がこのテーマでインタビューした CISO たちは、ビジネスモデルや業界、レガシー暗号への依存度によって、暗号化の緊急度は異なると見ている。

Gartner は今年初めて、クリプトアジリティとポスト量子暗号をハイプ・サイクルに追加した。CISO は、これらの技術のように長期的な展望を持つ技術に対して現実的である。以前のインタビューで、CISO は VentureBeat に対し、ポスト量子暗号が長期的にゼロトラストのフレームワークを強化する可能性があると語っている。

ハイプ・サイクルに追加される新技術

Gartner が新たに追加した5つのハイプサイクルテクノロジーを組み合わせることで、CISO は次世代の量子的脅威に備えるとともに、ガバナンスとデータ主権という最も困難な側面に対処することができる。新たに追加された5つのテクノロジーをここで紹介する。

クリプトアジリティ（暗号の俊敏性）

クリプトアジリティの目的は、アプリケーションやシステムで使用される暗号化アルゴリズムをリアルタイムでアップグレードし、量子ベースの侵害リスクを軽減することである。これにより、企業は脆弱なアルゴリズムを新しいポスト量子暗号に置き換えることができ、量子コンピューティングを利用して暗号化を破る攻撃を防ぐことができる、と Gartner は言う。クリプトアジリティは、今後5年から7年の間に量子能力が進歩するにつれて、CISO に安全な暗号化への道を提供する。

ポスト量子暗号

Gartner はこの新技術を、量子コンピューターによる解読に耐性を持つ格子暗号などの新しい量子安全アルゴリズムに基づくものと定義している。Gartner がハイプサイクルで論じているユースケースは、量子ベースの脅威に対する先制的戦略でこの技術を使用することを中心としている。

VentureBeatが金融取引会社のCISOに行ったインタビューによると、量子コンピューティングのリスクや脅威に対しては、すでに標準的な技術スタックで防御されていることが明らかになった。Gartnerが追加したのは、商業銀行やその他の金融サービス、機関を担当するCISOがさらに評価するためのロードマップに追加される可能性が高い。主要ベンダーには、Amazon、IBM、Microsoftが含まれる。

QKD（量子鍵配送）

この技術は、光子もつれを含む量子物理学の原理を利用して、改ざん不可能な鍵を作成・交換するものである。Gartner は QKD を今はまだニッチな技術と考えている。しかし、その性質を考えると、国家安全保障に不可欠なアプリケーションでの使用は、その強みを自然に拡張したものであり、価値の高いデータの交換に役立つと予想されている。主要ベンダーには、ID Quantique、MagiQ Technologies、東芝などがある。

ソブリンデータ戦略

これは、データセキュリティガバナンス、プライバシー影響評価、金融データリスク評価（FinDRA）、データリスク評価をサポートするものである。ソブリンデータ戦略は、国民と経済のために強力なガバナンスとデータセキュリティを提供する政府の取り組みを反映したものである。

Gartner は、プライバシー、セキュリティ、アクセス、利用、保持、共有規制、処理、永続性などを例に挙げている。同社によると、ソブリンデータ戦略は、ソブリン管轄区域をまたいで取引を完了する必要があるあらゆるビジネスにとって、最終的にはテーブルステークスとなる。

デジタルコミュニケーションガバナンス

デジタルコミュニケーションガバナンス（DCG）ソリューションは、従業員のメッセージング、音声、ビデオのコンプライアンスポリシーを監視、分析、実施する。DCG プラットフォームはまた、データ保持、監視、行動分析、eディスカバリーにより、規制および企業統治要件を管理する。通信データを監視することで、コンプライアンスチームが不正行為を特定し、規制を遵守するのを支援する。

DCG はまた、CIO や CISO が従業員のメッセージング、音声、ビデオ・プラットフォームのリスクを管理できるよう、コミュニケーション・チャネル全体へのアクセスと実施を連携した。主要ベンダーには、Global Relay、Proofpoint、Veritas などがある。

データセキュリティの将来を最も強力に推進するトレンド

今年のハイプサイクルから10の主要トレンドが浮かび上がる。データガバナンス、リスク管理、コンプライアンスは、データ・セキュリティ市場の中核をなす推進要因である。Gartner は、量子コンピューティングの脅威への備え、セキュリティツールの収束と連携、未知のシャドー IT データの管理が優先度の高い課題であると考えている。

以下のマトリクスは、データセキュリティの将来に最も影響力のある要因を優先順位の高い順に比較したものである。