2022年10月3日の日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、新たな「 」に関する拘束力のある運用指令（BOD 23-01）を発表しました。 この規定では、米国の連邦民間機関に対し、ネットワーク内の未知の資産について少なくとも 7 日ごとに自動スキャンを実施すること、および検出されたすべてのデバイスに対して少なくとも14 日ごとに脆弱性スキャンを実施することを義務付けています。 さらに、この指令では、各機関に対し、作業完了から 72 時間以内に、このデータをCISAの「継続的診断・緩和（CDM）」プログラムのダッシュボードに送信することが義務付けられています。
「拘束力のある業務指針」とは何ですか？
米国の民間機関のセキュリティを確保するための「拘束力のある運用指針（BOD）」は、新たなサイバー脅威の急速な進展に対応するため、頻繁に公表されています。 BODsは、CISAに対し、最新の脅威に基づいた新たな指針を発表するとともに、連邦政府の攻撃対象領域を可能な限り迅速に縮小するための仕組みを提供しています。 また、一部のBODでは、脆弱性の発見と修正に関する厳しい対応期限が定められている場合もあります。 BOD 23-01 とそのCDMダッシュボード要件についても、まさにその通りです。
連邦機関にとって、これほど迅速な対応を実現するのは難しい場合があります。 多くの企業がレガシーなソフトウェアやハードウェアに依存しており、その業務はしばしばサイロ化されています。
新たな重点分野として、資産の可視化が挙げられます。 政府が直面するサイバーリスクの高まりと、ITの複雑性を低減することへの新たな重視という両面から考えても、これは重要なことです。 資産の可視性は、BOD 23-01のテーマでもあります。
そもそも、資産の可視性とは何でしょうか？
この文脈における「アセットの可視性」とは、ITチームやセキュリティチームが、ネットワークに接続されている物理デバイスを特定できる能力を指します。 こうした機器には、サーバー、ワークステーション、電話、ノートパソコンなどが含まれます。 また、資産の一般的な定義には、仮想マシン、コンテナ、スイッチ、およびファイアウォールアプライアンスも含まれます。 基本的に、資産がネットワークに接続されているのであれば、その資産も表示されるべきです。
しかし、これらすべての資産を完全に把握することは、特に代理店がツールの使用を最小限に抑えつつ、可能な限り高い精度とスピードを目指している場合には、極めて困難であることが知られています。 多くの従来のツールは、特定のオペレーティングシステムのみをスキャンできるのに対し、管理対象デバイス（つまり、そのツール用のエージェントがインストールされているデバイス）のみを検出できるものもあります。 それでもなお、VPNに接続されたネットワーク上の資産しか検出できず、増加の一途をたどるリモートデバイスの存在を見落としているケースもあります。
こうした課題は、組織の攻撃対象領域を縮小することを目的とした単機能ツールが乱立することで、IT環境の複雑化を招く可能性があります。 これらの課題をすべて、迅速かつ正確に解決できるプラットフォームはごくわずかです。
こうした場面で、Taniumがお役に立てます。 Taniumは、世界で最も過酷な環境下での使用を想定して開発されました。 現在、このシステムは、BOD 23-01で指摘されたまさにその課題の解決を支援するため、多くの米国政府機関で活用されています。 Taniumの単一プラットフォームと単一エージェントのおかげで、米国の政府機関は、Taniumを利用して以下の措置を講じることで、BOD 23-01’s の要件に容易に対応することができます：
- 管理対象資産の確認、管理、および是正措置
- 管理対象外の資産を確認・報告し、Windows、Mac、またはLinuxのエンドポイントを管理下に置き、発見された問題を是正します
- 必要なデータをCDMダッシュボードに送信してください
Taniumとは異なり、この種のスキャンに一般的に使用される従来のツールは、データを返すまでに時間がかかりすぎます。 さらに、そのデータはその後、古くなってしまい、不完全なものになってしまいます。 また、通常は運用資産のみが含まれます。
Taniumを利用すれば、連邦政府機関は、環境全体をスキャンし、数日や数週間ではなく、数分あるいは数秒で結果を導き出すことができます。 その後、そのデータをCDMダッシュボードに簡単に送信することができます。
可視性の欠如はどのような影響をもたらすのでしょうか？
管理対象外のデバイスは、連邦政府のネットワークのセキュリティと安定性にとって深刻なリスクをもたらします。 これらのデバイスに何が搭載されているかを特定することは、非常に困難な課題であり、過度なコストやパフォーマンスへの影響なしに解決するのは難しいものです。 BOD 23-01 は、連邦文民行政機関（FCEB）に対し、管理対象デバイスと非管理対象デバイスの双方における脆弱性を特定することを義務付けることで、単なるデバイスの可視化にとどまらない取り組みとなっています。
ネットワーク上に何が存在しているかを把握することが第一歩であり、その点において、Taniumがお役に立てます。 多くの連邦政府機関では、まさにこの用途のためにすでにTaniumを利用しています。 彼らは、Taniumが信頼性が高く確実なソリューションであり、CISAが求める可視性と脆弱性管理の要件を満たすだけでなく、それを上回っていることを理解しています。
Taniumによって組織のネットワーク状況が可視化された後、次のステップでは、それらのデバイスをスキャンして脆弱性の有無を確認します。 Taniumは、他のツールよりもはるかに高速かつ正確でありながら、ネットワークやエンドポイントへの影響を最小限に抑えるクライアントベースの手法を用いて、これらのスキャンを実行することができます。 Tanium を使用すれば、認証情報を用いたスキャン方法または認証不要のスキャン方法のいずれかを選択して、管理対象外のデバイスもリモートでスキャンすることができます。
CDMダッシュボードへのデータ送信についてはいかがでしょうか？
すでにいくつかの連邦政府機関が、Taniumを利用して、CDMダッシュボードへタイムリーかつ正確なデータを送信しています。 Tanium Connectはデータ形式に依存せず、必要なスケジュールに合わせてデータやレポートを送信することができ、ダッシュボードを常に最新の状態に保ちます。
Taniumでは、他にどのようなことが可能でしょうか？
Taniumは、デバイスの検出や脆弱性のスキャンに加え、それらのデバイスの追跡や是正を行うためのソリューションを提供しています。
Taniumの追加機能は、各機関にとって次のようなメリットをもたらします：
- ハードウェアおよびソフトウェア資産に関する詳細な可視化とレポート機能をご利用いただけます
- グラフやチャートを使って進捗状況を追跡し、可視化しましょう
- Windows、Mac、Linuxの各オペレーティングシステムを最新の状態に保つプロセスを簡素化します
- ネットワークの複雑さにかかわらず、ソフトウェアのインストール、アンインストール、更新を迅速かつ効率的に簡単に行うことができます
Taniumの機能についてさらに詳しく知りたい方は、今年初め、Taniumが米国連邦政府機関がCISAのBOD 22-01 への対応をどのように支援したかをご覧ください。 あるいは、当社の無料・義務なしの「 」リスク評価については、こちら（）をご覧ください。
や「BOD 22-01」、今年初めにリリースされたもの、そして今後登場するあらゆる脅威に対して、迅速かつ包括的に対応するためのTaniumのソリューションをご覧ください。
