2010号以来、米国政府は、すべての連邦情報システムに対し、ITシステムの設計、セキュリティ確保、および監視に関する一連のセキュリティ基準である、政府の「リスク管理フレームワーク（RMF）」への準拠を義務付けています。
現在、 （国立標準技術研究所：NIST）が管理しているRMF規格は、データ漏洩やランサムウェア攻撃などの脅威に直面した際、ITセキュリティを向上させるための詳細なベストプラクティスを提供しています。
このブログ記事では、NIST RMFの概要をご紹介するとともに、Tanium Riskやその他のTanium製品が、各機関がこれらの重要な基準に準拠する上でどのように役立つかについてご説明いたします。
[関連記事：リスク管理とは何でしょうか？ 【概要（簡略版）】
リスク管理のためのNISTセキュリティフレームワーク
まずは、何を管理しようとしているのかを明確にしましょう。
NIST（ ）によると、リスク（）とは、「ある主体が潜在的な状況や事象によって脅かされる度合いを示す尺度であり、通常は以下の2つの要素の関数として定義されます：(i) その状況や事象が発生した場合に生じうる悪影響、すなわち被害の大きさ、および (ii) 発生の可能性」です。 したがって、ITリスクを理解するためには、組織は自社のITリソースの価値と、それらのリソースが機能停止や損傷を被った場合に生じうる損害を把握する必要があります。
また、組織は、各潜在的な脅威の発生確率を把握し、リスク低減に向けた投資や対応策の優先順位を適切に決定できるようにする必要があります。 何しろ、発生確率が 0.01％のリスクの防止に多額の資金を投じながら、発生確率が 10％のリスクを放置するようなことは、避けたいものです。
連邦政府のリスク・セキュリティ・フレームワークを確立するための主要なNIST規格は、 （NIST SP 800-37 Rev. 2） です。 本規格は、「情報セキュリティの分類、統制の選定・実施・評価、システムおよび共通統制の承認、ならびに継続的な監視を含む、セキュリティおよびプライバシーリスクを管理するための、規律ある、体系的かつ柔軟なプロセス」を規定しています。
こうした評価においては、正確さと迅速さが重要です。 NIST 800-37 では、IT組織に対し、リアルタイムまたはニアリアルタイムの監視を行うことが求められています。これは、セキュリティチームがこれまでのエンドポイントセキュリティ において、日次や週次の状況報告に依存していた従来の方法から一歩踏み込んだ取り組みとなります。 重要インフラの状況に関する定期的なスナップショットに依存するのと対照的に、RMFは「継続的な監視プロセスの導入を通じて、ほぼリアルタイムのリスク管理および情報システムと共通統制の継続的な承認を促進し……［また］、上級指導者や経営幹部に、自らの任務や業務機能を支えるシステムについて、効率的かつ費用対効果の高いリスク管理上の意思決定を行うために必要な情報を提供します。」
NIST SP 800-30 を用いたリスク評価の実施
NIST SP 800-39 によると、リスク管理プロセスには、(i) リスクの枠組みの設定、(ii)
リスクの評価、(iii) リスクへの対応、および (iv) リスクのモニタリングが含まれます。
NIST SP 800-30『 ：リスク評価の実施に関するガイド』（）では、そのリストにある2番目のプロセスであるリスク評価の実施について、より詳しく解説されています。 NIST SP 800-30 ：評価の範囲、目的、およびその他の要素を特定するためのプロセス。 続いて、評価自体の実施方法について説明されており、その手順は以下の通りです：
- 脅威の発生源と事象を特定する
- 脆弱性や素因を特定する
- 発生の可能性を判断してください
- 影響の大きさを把握する
- リスクの判定
この評価だけでは、作業は完了しません。 評価の結果はステークホルダーに伝達する必要があり、また、モニタリングを活用して「組織が直面するリスクに関する具体的な知見を常に最新の状態に保つ」ために、評価を継続的に維持する必要があります。
当該組織では、リスク評価を事業部門およびIT部門のステークホルダーと共有するために必要な報告体制が整っていますか？ 評価を体系的に管理する仕組みはありますか？例えば、1週間前に実施された評価が、今日でもなお正確であることを保証するような仕組みです。 これらは、ITおよびセキュリティの責任者がNIST SP 800-30を精読した後、抱くかもしれない疑問です。
NIST SP 800-39 を用いた情報セキュリティリスクの管理
もう一つの規格であるNIST SP 800-39「情報セキュリティリスクの管理」（）は、「連邦情報システムの運用および利用に起因して、組織の業務（すなわち、使命、機能、イメージ、および評判）、組織の資産、個人、他の組織、および国家に対して生じる情報セキュリティリスクを管理するための、組織全体にわたる統合的なプログラム」に関する指針を定めています。
本規格では、リスク管理について、「(i) 組織レベル、(ii) ミッション／業務プロセスレベル、および (iii) 情報システムレベル」という3段階のアプローチを提案しています。 つまり、効果的なリスク管理には、組織の使命や戦略、ビジネスプロセス、そして個々のITシステムまでを網羅する幅広い視野が求められます。
NIST 800-39 では、組織のリスク管理の実践には以下が含まれるべきであると提言しています：
- 組織の戦略的目標や目的、定義された使命・業務機能、および関連する使命・業務プロセスと連動したITアーキテクチャを構築すること。
- アーキテクチャレベルの情報セキュリティ要件を実装する情報セキュリティアーキテクチャを組み込むこと。
- ソリューションアーキテクチャの一環として、「セグメント」または「ミッション領域」アーキテクチャに定められた情報セキュリティ要件を、情報システムや運用環境向けの具体的なセキュリティ対策へと変換することです。
- 情報セキュリティアーキテクチャで定義された情報システムおよび運用環境に対し、管理上、運用上、および技術上のセキュリティ統制を割り当てること。
まず第一に、組織の使命とITシステムに基づいて、潜在的なリスクを特定することです。 まず、特定のシステムやリソースが、会社の戦略やミッションを支える上でどのような役割を果たしているかを特定することから始めましょう。 次に、それらの各システムやリソースに対する重要なリスクをすべて洗い出すために、ブレインストーミングを行ってください。
たとえば、組織の業務がWebサーバーに依存している場合、そのWebサーバーの稼働を妨げたり、損害を与えたりする可能性のある、悪意のあるものに限らずあらゆる脅威について検討してください。 そのリストには、DDoS攻撃、停電、設定上の問題、利用量の急増などが含まれるかもしれません。
次に、特定のITシステムが組織の全体的な使命にどのように寄与しているか、また、それらのシステムに影響を及ぼす可能性のある具体的なリスクの発生確率はどの程度かを把握した上で、リスクの測定と評価を行います。
リスクを特定し、発生の可能性に応じて優先順位を付けた後、組織はそれらを軽減するための措置を講じるべきです。 例えば、パッチが適用されていないサーバーの存在がリスクとして特定された場合、企業はそのリスクを軽減するために、 のパッチ管理システム（ ）を導入することができます。
これら3つのステップの結果は、ステークホルダーに報告するとともに、リスクの状況に変化があったかどうかを判断するために継続的に監視する必要があります。 このプロセスはガバナンスをもって締めくくられます。 このステップでは、ITおよびビジネスのリーダーが、リスクを低減し、リスク管理全体を最適化するために、どこに、どのように投資すべきかを決定します。
Taniumがリスク管理フレームワークの支援にどのように役立つか
のTaniumプラットフォーム（ ）は、セキュリティおよびIT運用チームに対し、重要なエンドポイントデータの包括的でリアルタイムな一元的なビューを提供します。これにより、組織は十分な情報に基づいた意思決定を行い、迅速に対応することで、業務への支障を最小限に抑え、リスクを低減することができます。 Taniumモジュール（Taniumプラットフォームを構成するコンポーネント）は、RMFの主要な要件に対応しています。
リスク特定のためのTaniumモジュール
3つのTaniumモジュールは、企業が保有するITシステム（オンプレミス、遠隔地、クラウドのいずれにあるかに関わらず）を把握し、それらのシステムがどのように連携して業務やプロセスを支えているかを理解するために必要な、リアルタイムのエンドポイント情報を提供します。
- をご覧ください。すべてのエンドポイントにわたる環境全体のインベントリを、わずか数分で作成できます。 数十万ものエンドポイントを抱えるネットワークをスキャンして、管理対象外の資産を特定し、管理者がそれらをブロックしたり、管理下に置いたりできるようにします。
- Asset – IT資産の正確なインベントリを迅速に構築・維持することで、リスク管理や業務の成功に向けたより適切な意思決定が可能になります。
リスクの測定および評価のためのTaniumモジュール
脅威、脆弱性、影響、発生可能性、および誘因を特定したら、以下のTaniumモジュールを使用して、組織が対処すべきリスクを算出し、優先順位を付けることができます：
- コンプライアンス – 数日や数週間ではなく、わずか数分で、すべてのエンドポイントにわたる脆弱性やコンプライアンス上の不備を特定します。
- – 機密データフィールドへの変更を迅速に特定し、エンドポイント上で直接対応できます。
- Impact – 高リスクなアカウントやシステムを迅速に特定し、攻撃対象領域を縮小します。
- Integrity Monitor – 重要な低レベルのOSファイル、アプリケーションファイル、レジストリファイルを継続的に監視し、アラートが発生した際には調査をエスカレーションします。
- Risk – エンドポイントのリスクを包括的に評価することで、情報に基づいた意思決定をより迅速に行うために必要なリアルタイムデータ、自動化、およびインテリジェンスを活用できます。 このデータを活用し、運用およびセキュリティの指標に基づいたインテリジェントなリスクスコアリングにより、対応策の優先順位を決定してください。
リスク軽減のためのTaniumモジュール
次に、リスクの優先順位リストをもとに、脅威の大きさが大きいものから小さいものへと順に、その軽減策を検討し始めましょう。 あなたやチームは、発生の可能性が極めて低いという理由や、第1期において優先して取り組むべきより差し迫ったリスクを特定したため、ある一定の水準以下のリスクについては対処する価値がないと判断するかもしれません。 いいですよ。 リスク管理は継続的なプロセスです。 そのリスクが本当に重要であるならば、リスク分析のプロセスを繰り返す際に、それに対処する機会が得られるでしょう。 万が一、そのリスクが発生する可能性が突然高まった場合でも、 のTaniumリスク管理ソフトウェア（ ）を導入しておけば、リスクに関するリアルタイムの洞察を得られるほか、脅威を封じ込め、軽減するためのリアルタイムの対策を実施することが可能です。
以下のTaniumモジュールは、リスクの軽減に役立ちます。
- の導入 – 柔軟に設定可能な対象コンピュータグループまたは個々のマシンに基づいて、ソフトウェアのインストール、更新、およびアンインストールを行います。
- パッチ – エンドポイント全体で適用漏れとなっているパッチを修正するため、オペレーティングシステムのパッチ適用を数秒でスケジュールできます。
- の適用 – オペレーティングシステムやデバイスの設置場所を問わず、ポリシー管理を一元化し、適用します。
- Threat Response – 任意のヒューリスティックを用いて、攻撃者を積極的に探知します。
リスク報告およびモニタリングのためのTaniumモジュール
RMFでは、組織に対し、既知のリスクの一覧を維持し、それらのリスクを監視して、適用されるすべての方針への準拠を確保することが求められています。
- トレンド – エンドポイントからの現在および過去のデータを表示する可視化を作成することで、主要なセキュリティ指標や運用状況に関する洞察を得ることができます。
- Risk – 経営陣や取締役会向けの報告書を作成し、主要な傾向、改善点、および業界のベンチマークを伝達します。 「Risk」を使用してエンドポイントを継続的に監視することで、コンプライアンスとリスク管理体制を強化することができます。
- との連携 – Taniumをサードパーティ製ソリューションや米国連邦政府のCDMダッシュボードと簡単に統合できます。
TaniumがRMFコンプライアンスの達成をお手伝いいたします
Taniumは、連邦政府機関やその他の組織が、リスクとコンプライアンスに対して先を見据えた効率的な取り組みを行うことを支援してきました。 Taniumプラットフォームは、拡張可能なデータモデル、分散型通信プロトコル、および軽量エージェントを組み合わせることで、お客様がリスク管理にかかる時間とコストを削減できるようにします。
Taniumプラットフォーム：
- 数日や数週間ではなく、わずか数分で、脆弱性やコンプライアンス上の不備だけでなく、すべてのエンドポイントにわたる全体的なリスクについても、包括的な可視性を提供・維持します。
- IT運用、セキュリティ、リスクの各チーム間で、優先順位付けや是正措置に関する合意形成を促進する、単一で正確かつ充実した「真実の源」を提供します。
- 各チームが、ツールを切り替えることなく、環境全体にわたる問題を迅速に解決できるようにします。
- これにより、組織は、新たなツールを購入し、それに伴うインフラを構築するための費用や手間を省くことができます。
公共部門におけるエンドポイントリスクの測定に関する「 」の詳細については、当社の最新電子書籍（ ）をご覧ください。 Taniumが、 貴社のRMFコンプライアンス達成にどのように役立つか をご覧になりたい場合は、弊社までお問い合わせください。
