この2年間は、セキュリティ担当のリーダーたちにとって、控えめに言っても困難な時期でした。 彼らは、脅威レベルを高め、組織の最高レベルにおいてサイバーリスクへの認識を高めた、かつてない事態を経験してきました。
前回のブログでは、最近の注目すべきサイバーセキュリティインシデントについて取り上げました。その中には、ニュースの見出しを飾り、被害を受けた組織に甚大な損害をもたらしたものもあり、いずれの事例も多くの組織に恐怖を与えました――あるいは、そうあるべきものです。
また、攻撃から身を守るためのサイバーセキュリティプログラムを構築するために、組織が採用すべき戦略についても説明を始めました。 この計画は、在庫および資産管理、部門間の壁の解消、リスク評価、ギャップ分析、パッチ管理の5つの分野を対象としています。
この投稿では、計画の最後の3つの部分について引き続き説明していきます。 による在庫・資産管理やサイロ化の解消について、詳しくは私の前回の記事「」をご覧ください。
ITリスク評価とは何でしょうか？
ITリスク評価は組織にとって必要なものですが、実施するのは容易ではありません。
まるで会計の計算のようなものですが、技術版といったところです。 意味合いは変化する可能性がありますが、それはすべて、リスク評価者が何を目指しているのか、またどのようにリスクを測定しているのかについて、共通の理解があることを前提としています。
幸いなことに、リスク評価にはいくつかの効果的な手法があります。 その一つは、文脈に沿った理解を提供することです。 リスクとは、本質的に、脆弱性、脅威、および重要度の間にある関係のことです。 リスク評価チームは、脆弱性の有無、それらの脆弱性を悪用しようとする者によって組織が標的とされる可能性、および標的となったシステムが組織にとってどれほど重要であるかといった要素に基づいて、リスクを評価する場合があります。
Taniumのリスク評価を活用して、リスク状況の全体像を把握し、増大するサイバー脅威から組織を守るための積極的な対策を講じましょう。 無料レポートをご請求ください。
選択できるリスク測定の枠組みは数多くあります。 重要なのは、あらゆる要素を「脆弱性」「脅威」、そして「特定の資産がいかに重要か」という点に照らし合わせて分析することです。
もうひとつ留意すべき点は、リスクが刻一刻と変化しているということです。 新たな脅威アクターの出現、実環境で確認されるゼロデイ脆弱性、そしてログインするノートパソコンの台数が増えるたびに、リスクは変化しています。 セキュリティ業界では、リスクを「ある時点での断面」として捉えるという時代遅れの見方が根付いていますが、これほど頻繁に変化する技術環境においては、そのような考え方は到底通用しません。
もう一つの課題は、リスクの報告です。 多くの組織において、リスクに関する説明は、取締役会への四半期報告資料の中でたった1枚のスライドにまとめられているに過ぎません。このような状況では、リスクの全体像や動向について有意義な議論を行うことは不可能です。
組織はリアルタイムのリスク測定手法を確立する必要があります。そして、それを成功させるためには、リスクの算出を自動化する必要があります。 環境に計測機能を導入する際には、これを最優先事項として考慮すべきです。
リスクを理解し、 効果的に管理すること の目的は、リスクの軽減および是正に向けた実践的な知見を提供することにあります。 緩和とは、完全な是正または排除に向けた計画を立てつつ、リスクを一時的に低減させる状態のことです。
多くの場合、緩和策には、ホットフィックスや一時的なアクセス制御の変更、あるいはその他のセキュリティ強化措置が含まれますが、これらは脆弱性を軽減する一方で、生産性を低下させる可能性もあります。 このプロセスは、適切な是正措置を講じるための時間を確保することを目的としており、その是正措置には、多くの場合、脆弱性のある資産のアップグレードや交換が含まれます。
場合によっては、リスクの悪用によって生じうる損失と比較した是正措置のコストに関する背景情報をステークホルダーに提供することで、企業が「リスクを受け入れる」ことが求められることがあります。
リスクの受容は有効なアプローチではありますが、組織が負担できる範囲を超えてリスクを負っていないことを確認するため、慎重に運用し、定期的に見直す必要があります。
結局のところ、自分が「確実に現金化できる」と確信できるリスク受諾チェックのみを記入したということを、確信していなければなりません。 結論として、リスクは軽減、是正、あるいは受容されなければなりません。また、軽減や受容が「安定状態」であると決して想定してはなりません。
セキュリティのギャップ分析と管理
セキュリティインシデントが発生するたびに、攻撃を受けた組織内には、サイバー犯罪者が悪用できた何らかの脆弱性が存在していたと考えられます。 だからこそ、手遅れになる前に、既存のセキュリティ上の脆弱性を見つけ出し、それを解消することが非常に重要なのです。 環境を更新すべき時期は、攻撃を受けている最中ではなく、今日です。
ネットワークの可視性や侵入検知に関するギャップ管理は、現状と最終目標を把握し、経時的な改善状況を測定しなければ、行うことはできません。 まず第一に、企業は、把握・管理できるエンドポイントの数と、把握・管理できないエンドポイントの数を比較して把握し、四半期ごとにその差を縮めるという目標を設定する必要があります。
これらの目標が達成されるにつれて、組織はそれらをさらに発展させ、より詳細なレベルまで掘り下げ、具体的かつ高度に技術的なユースケースを対象とすることができます。
こうしたより高度なユースケースの中には、差し迫った課題のように思えるものもあるかもしれませんが、すべてのエンドポイントの可視性を確実に確保しているとは言い切れない組織は、最優先事項として可視性の向上に取り組む必要があります。 可視性を高めることで、セキュリティや運用に関するその他のあらゆる取り組みの効果が倍増します。
エンドポイントの脅威を管理する組織にとって、検知、トリアージ／分析、インシデント対応のワークフロー、およびインフラ管理は、最優先の目標となっています。 こうしたことを効果的に行うためには、企業は、必要になる前に適切な監視体制を整備しておく必要があります。
計測機器を評価する際、企業はどのような情報を把握できるかを検討する必要があります。 既存のソリューションは、可視化が必要なすべての領域を網羅しているのでしょうか？ これには、 のエンドポイントデバイス、ネットワーク、アプリケーション、クラウドサービス、およびその他の分野が含まれます。
パッチ管理
多くの組織にとって、 のパッチ管理 は依然として弱点となっており、予期せぬ急速なリモートワークへの移行によって、その状況はさらに悪化しています。 数ヶ月が経過した今でも、視界に入らないデバイスにパッチを適用する適切な方法を模索している方もいらっしゃいます。
調査によると、重要なパッチを 24 時間以内に適用できる組織は比較的少数にとどまっており、また多くの組織は、適用したパッチが確実に効果を発揮したかどうかについて確信を持てていないことが分かっています。
今日、脆弱性は数日や数週間ではなく、わずか数時間のうちに実環境で積極的に悪用されています。 より深刻な脆弱性に対しては、30日、60日、あるいは90日間のパッチ適用状況に依存するだけでは、明らかに不十分です。
組織は、パッチ適用状況全体を把握することに加え、優先的に対応すべきIT資産を特定し、分類する必要があります。 ただし、すべてのシステムに対してパッチの適用は優先事項であることに留意することが重要です。ただ、現実的には、最も緊急性の高いシステムを先にパッチ適用できるよう、一部のシステムについてはもう少し時間を確保してもよいということです。
だからこそ、リスクを理解するためには、資産の重要性を理解することが前提となるのです。 運用上の意思決定は、環境をリアルタイムで状況に応じて把握することにかかっています。
ほとんどの組織にとって、これは、攻撃に対して最も脆弱であるため、eコマースサイトなどの対外向けシステムを最優先事項として特定することを意味します。 そうすれば、そこから内側へと進み、エンドユーザーのワークステーションまで対応することができます。
テクノロジー業界では、同じ単調で時間のかかる作業を何度も繰り返すことにうんざりしたことが、自動化のきっかけになるのだと、よく冗談交じりに言われています。 これは、パッチ管理に関しては間違いなく当てはまります。 一見単純に聞こえますが、実務に携わる方々ならご存知の通り、デバイスの紛失やネットワークの制約、業務上のニーズに合わせたタイミングの調整など、多くの課題が伴うことがよくあります。
可視化に次いで、次に重要な優先事項は、パッチの適用を自動化することであるべきです。 そうすることで、優秀なエンジニアリングチームは、毎月数十時間から数百時間も事後対応の修正作業に費やすことなく、イノベーションや、先を見据えた体制の確立に注力できるようになります。
サイバーセキュリティ行動計画を作成し、実行する時が来ました
サイバーセキュリティの観点から言えば、組織にとって今は間違いなく厳しい時期です。 新たな脅威や脆弱性が絶えず出現している一方で、IT環境はますます複雑化の一途をたどっています。
実のところ、これからはますます厳しくなるでしょう。 セキュリティ担当幹部は、在庫および資産管理、業務部門とセキュリティ部門の縦割り構造の解消、リスク評価、ギャップ管理、パッチ管理といった主要分野を網羅した行動計画の策定と展開において、組織を主導する必要があります。
このようにすることで、組織は最新の脅威に対する防御体制を強化する機会を得ることができます。 これにより、デジタルビジネスとして効果的に競争できる道が開かれると同時に、貴重な情報資産を保護し、セキュリティ運用を先見的かつ革新的なレベルへと引き上げることができます。
Taniumが、貴社のセキュリティ対策の強化にどのように役立つかをご覧ください。 デモをご希望の方は、 までお問い合わせいただくか、 の無料トライアル（）を利用して、ご自身の環境でTaniumをお試しください。
