セキュリティ対策全般の最終目標としてコンプライアンスのみを捉えていると、重要な更新情報を見逃してしまうことになります。 目前に迫っているPCI TLS暗号化のアップグレードは、その好例と言えます。
コンプライアンスとセキュリティの適切な管理は、密接に関連しています。 一般的な通説では、コンプライアンスへの取り組みが徹底していればいるほど、セキュリティ管理体制はより充実したものになるとされています。 これは、貴組織が 、PCI-DSS （新しいタブで開きます）、 、NISTサイバーセキュリティフレームワーク （新しいタブで開きます）、 、CIS重要セキュリティ対策 （新しいタブで開きます）、あるいは保管・共有する機密データの種類に基づく業界固有の規制のいずれを採用している場合でも同様です。
適切なセキュリティ対策はコンプライアンス上の義務を果たすのに役立ちますが、その逆が必ずしも当てはまるとは限りません。 コンプライアンス要件は、多くの場合、データの保護において必要最低限の水準に過ぎません。 セキュリティ対策全般の最終目標としてコンプライアンスのみを捉えていると、重要な更新情報を見逃すことになってしまいます。
決済カード業界
例として、ペイメントカード業界（PCI）を見てみましょう。 SSL/TLSは、PCIにおいて長年にわたり暗号化プロトコルとして使用されてきました。 （新しいタブで開きます） 2015年4月において、PCIセキュリティ基準協議会（SSC）は、SSLをセキュリティ対策として使用しなくなること、および各組織に対し、TLSの実装をv. 1.0 からv. 1.1へアップグレードすることが義務付けられることを発表しました。 この措置は、旧式の暗号化プロトコルの使用を許していたコンプライアンス上の抜け穴を塞ぐことを目的としていました。 これらのSSL/TLSバージョンのうち、一部は 15 年以上も前のものがあり、既知の脆弱性がありました。
要するに、これは単一のセキュリティプロトコルのアップグレードであり、TLS v. 1.0 から v. 1.1 への更新でした。 2014年4月 で定義された最新のプロトコル、 TLS v. 1.2 （新しいタブで開きます） は、PCI SSC によって推奨されましたが、必須とはされていませんでした。
各組織には当初、アップグレード要件を満たすための期限として 2016年6月30日 が設定されていました。 しかし、期限が迫るにつれ、各組織は、セキュリティ対策の基本的なこの一手間が、いかに困難であるかを理解し始めていました。 その後、PCI DSS v3.2の公開に伴い、これらの変更の期限は 2018年6月30日へと延期されました。
コンプライアンス要件の不備について
TLSの例は、コンプライアンス要件がいかに不十分になり得るかを特に良く示しています。 PCI SSCの更新要件は、セキュリティ上の抜け穴に対処することを目的としていましたが、その一方で、組織はアップグレード後も依然として著しく時代遅れな状態になってしまうことを意味していました。 2015年4月の時点で、TLS v. 1.1 はすでに9年が経過していましたが、PCI SSCが組織に対し、これへのアップグレードが必要であると初めて通知したのはその時期でした。 新しい遵守期限が施行される 2018年までには、このプロトコルはほぼ10代になるでしょう。 2008年8月 では、やや新しい TLS v.1.2 が定義されていますが、組織はこれを実装しなくても、PCI 準拠とみなされます。
クレジットカード情報やその他の個人を特定できる情報（PII）といった機密性の高いデータを保護する期間としては、これは極めて長いと言えます。特に、私たちが携帯電話や自動車さえもどれほど頻繁に買い替えているかを考えると、なおさらです。 PCIやその他のコンプライアンス基準の目的は、定期的な評価を通じて組織のセキュリティ体制を向上させることにあります。 しかし、PCIの例が示すように、業界団体がアップグレードの実施を要求してくるのをただ待っているだけでは、セキュリティ環境が危険なほど時代遅れになっていることに気づくことになるでしょう。
A rigorous security hygiene program would have had organizations implement these encryption updates back in 2008. そうすれば、PCI参加組織は、更新された基準が義務化されるずっと前から、その基準に準拠していたことになります。
Taniumがどのように役立つか
Taniumプラットフォームをご利用の方にとって、この更新を管理するには、インフラストラクチャ全体に対して数秒で実行できる、TLSバージョンを検出するためのセンサーが必要となります。 検出されたシステムのリストから、Taniumはそれらのエンドポイントに対して設定コンテンツを展開し、最新バージョンに更新することができます。これもまた、わずか数秒で完了します。
セキュリティ・ハイジーンを「目的地」ではなく「旅路」として捉えることが重要です。 その過程で学びながら、状況に応じて進路を調整していくことになります。 コンプライアンス基準や規制は毎年変化しています。 Tanium makes organizations much more adaptable to changes in regulations in a way that wasn’t possible with the tools of 2008. Taniumはオープンで拡張性の高いプラットフォームであるため、前述のPCI TLSセンサーや是正措置などの新しいコンテンツを活用することで、法規制の変更に応じてセキュリティ態勢を容易に調整することができます。
著者について：Taniumのプロダクトマネジメント担当ディレクターであるアレクサンダー・キルター氏は、エンタープライズセキュリティ、システムおよびネットワーク自動化ソフトウェア分野での豊富な経験を活かして、その職務にあたっています。 Tanium入社以前、アレクサンダー氏は、Cisco、Lancope、Qualys、nCircle、Opswareの各社において、セキュリティおよびコンプライアンス関連製品ラインの製品管理業務を統括しておりました。 彼はカーネギーメロン大学でソフトウェア工学管理の修士号を、ユタ大学でコンピュータサイエンスの学士号を取得しています。
