サイバーセキュリティ行動計画の策定：可視化とサイロ化の解消に焦点を当てて

サイバーセキュリティの経営幹部にとって、これほど「刺激的」な時期があるでしょうか？人によっては、他にも「ストレスがたまる」「不確実」「混乱する」「理解に苦しむ」といった形容詞を選ぶかもしれません。ここ2年ほどの間、前例のない一連の出来事が相次ぎ、脅威レベルが高まり、組織の最高レベルにおいてサイバーリスクに対する認識が高まりました。

サイバーセキュリティが注目を集めるようになった背景には、パンデミックを契機としたリモートワークやハイブリッドワークの急増、クラウドへの継続的かつ急速な移行、職場におけるモバイルデバイスへの依存度の高まり、Eコマースプラットフォームや取引の劇的な拡大、ランサムウェアを含むより高度な脅威の台頭、データプライバシー規制の増加、セキュリティ人材不足の深刻化、そして脅威の標的となる領域の拡大といった傾向があります。

マルウェア、フィッシング、ゼロデイ攻撃、分散型サービス拒否攻撃、データ漏洩など、脅威の数や種類は増え続けています。ソフトウェアの脆弱性は大きな懸念事項となっており、Javaベースのロギングユーティリティ「 Log4j」で最近発見された欠陥が、そのことを如実に物語っています。専門家たちは、このフレームワークにおける任意のコード実行を可能にするこの脆弱性を、近年で最大かつ最も深刻なもののひとつだと指摘しました。

このブログシリーズでは、最も重大なサイバーセキュリティインシデントを振り返り、組織が最新の脅威から身を守るための強固なサイバーセキュリティ体制を構築するのに役立つ戦略をご紹介します。

ニュースの見出しを飾るサイバー攻撃

ここ数ヶ月間に発生した主な攻撃のいくつかを簡単にご紹介します：

2021年5月によると、テキサス州を起点とし、主に米国南東部へガソリンやジェット燃料を輸送する米国の石油パイプラインシステム「コロニアル・パイプライン」は、ランサムウェア攻撃を受け、パイプラインの管理に使用されるシステムに影響が出ました。コロニアル・パイプラインは、攻撃を封じ込めるため、また攻撃者がパイプラインに対してさらなる攻撃を行う恐れがあることから、パイプラインの全運用を停止しました。襲撃から数時間後、コロニアル社は襲撃者たちが要求した身代金を支払いました。この事件は、米国史上、石油インフラに対する最大規模のサイバー攻撃だったとされています。
2021年6月では、のプリントスプーラーの脆弱性（）が、マイクロソフトの定期的な「パッチ・チューズデー」の一環として修正されました。それから数週間後、 7月4日の開催週末頃、概念実証（PoC）のエクスプロイトが公開されました。興味深いことに、これは意図しないゼロデイ公開でした。というのも、この攻撃で悪用されたバグは、当初の「Common Vulnerabilities and Exposures（CVE）」とは異なるものだったからです。それだけでなく、この脆弱性は、サーバー版・ワークステーション版を問わず、Windowsのすべてのバージョンに影響を及ぼしました。各組織は、連休期間中、急いで対策を実施しようと奔走しましたが、その対策はすぐに不十分であることが判明しました。このことから、組織には脆弱性の有無を特定するための、拡張性が高く、高速なソリューションが必要であることが浮き彫りになりました。
2021 年の夏、ネットワークおよびシステム管理用ソフトウェアを提供する企業「カセヤ」に起きた出来事は、あらゆるベンダーが夜も眠れなくなるような出来事でした。 Kaseyaの場合、によるサプライチェーン攻撃（）により、同社のエンドポイント管理ツールへの信頼が損なわれ、ランサムウェアが展開されました。約 50 社のマネージドサービスプロバイダーが攻撃を受けましたが、その影響は、これらのプロバイダーにサービスを委託していた1,500 社以上の企業に及びました。 REvilによって実行されたこの攻撃により、システムが広範囲にわたり停止する事態となりました。また、この件により、REvilランサムウェアを用いて米国の企業や政府機関を攻撃したとして起訴された2名が逮捕されました。
2021年12月のセキュリティ研究者らは、Apache Logging Servicesの一部であるJavaベースのロギングフレームワーク「」のバージョン Log4jにおいて、による任意のコード実行を可能にするゼロデイ脆弱性を特定しました。セキュリティの専門家によると、この脆弱性は、近年発見されたものの中でも最大級かつ最も深刻なものの一つであるとのことです。このバグは、エンタープライズ向けおよびフリー／オープンソースを含む、数千ものアプリケーションで使用されているライブラリに影響を及ぼしました。

これらは、サイバーセキュリティに関する注目すべき出来事――というよりは、むしろ「残念な出来事」――のほんの一部に過ぎません。攻撃者たちは、大企業やサプライチェーンを標的にすることで、莫大な利益を得る機会があることに気づきました。どのようなビジネスにおいても、規模の経済は常に最も収益性の高い解決策となります。これはサイバー犯罪においても同様です。「ビッグゲーム・ハンティング」が増加する一方で、中小企業はしばしば波及攻撃やサプライチェーンの侵害の影響を受けています。

セキュリティ環境における最も懸念される脅威について考える際、私たちは往々にして最新の脆弱性に目を向けがちです。しかし、攻撃者は繰り返し、目立つ場所に身を隠し、かつての契約業者の認証情報や、何年も更新されていないサービスアカウントのパスワードを利用したり、ソーシャルエンジニアリングによって正当なユーザーを誘導してアクセスを容易にさせたりして、組織の環境内に潜伏しています。

組織は、あらゆる脅威に対抗するための行動計画を策定する必要があります。この計画では、少なくとも以下の5つの主要分野を網羅する必要があります。在庫および資産管理、部門間の壁の解消、リスク評価、ギャップ分析、そしてのパッチ管理。

在庫および資産管理

エンドポイント上のマルウェアなどのセキュリティ脅威を検知し、阻止するためには、セキュリティチームがこれらの脅威を把握できる必要があります。しかし、多くの組織が、可視性の欠如がセキュリティ運用における課題であると報告しています。

従業員が中央のIT部門の知らぬ間に、あるいは承認を得ずにデバイスやソフトウェア、サービスを調達する「シャドーIT」といった行為は、問題をさらに悪化させるだけです。そして、これは必ず起こります。人々は、身元不明のデバイスを使用し、それを会社のネットワークに持ち込むことになります。悪意があるわけではありませんが、その影響は壊滅的なものになりかねません。

また、資産管理の課題をさらに複雑にしているのが、リモートワークやハイブリッドワークといった働き方の形態です。多くの従業員が、業務に必要なデータにアクセスするために、個人の端末を利用しています。

セキュリティチームは、環境内にそのようなデバイスが存在することさえ把握していない場合、問題のあるエンドポイントデバイスを特定したり、パッチを適用したり、安全に設定したりすることができません。どんなに徹底した脅威ハンティングを行っても、彼らが見落としている資産の欠如を補うことはできません。

IT資産を効果的に管理するためには、結果が出るまでに数週間もかかるような従来のツールに頼るわけにはいきません。彼らは、ネットワーク全体にわたって、リアルタイムかつ大規模な成果を必要としています。エンドポイント管理およびセキュリティ管理機能を統合した資産管理ソリューション「」は、セキュリティチームに対し、エンドポイント全体にわたるリアルタイムで実用的なデータを提供します。

エンドポイントは、IT環境への侵入経路として最も一般的なものです。つまり、エンドポイントのセキュリティを効果的に管理することが極めて重要です。それには集中力と警戒心が必要です。

ITのサイロ化を解消する

もう1つの重要な取り組みは、セキュリティチームとビジネスチームの間にある可能性のある縦割り構造を解消することです。残念ながら、セキュリティチームとビジネスユーザーとの関係は、やや対立的なものになりがちです。セキュリティの専門家は、システムやデータの保護を確保しようと努めていますが、一方、ユーザーは、セキュリティのためのものを含め、業務の妨げになりかねないツールやプロセスを避けたいと考えています。

サイバーセキュリティの責任者にとって重要なのは、自分たちはセキュリティやテクノロジーの専門家である一方で、ビジネスユーザーこそが、そのテクノロジーをどのように活用してビジネス目標を達成するかという点の専門家であるということを肝に銘じておくことです。セキュリティ部門と対立するのではなく、協力して取り組むことが極めて重要であり、セキュリティはビジネスのあらゆる分野に提供される基盤となるサービスとして捉えられるべきです。セキュリティチームは、セキュアな設計を通じて、より良い体験を支え、実現するために存在すべきです。

資産、ソフトウェアのインベントリ、および保存中および転送中のデータのマッピング作業は、IT運用部門だけで行うことはできません。これは、社内で連携を築き、課題を明らかにし、業務効率を向上させ、さらにはコスト削減にもつながる、またとない機会です。

セキュリティチームがアーキテクチャの導入や近代化を進めるにあたっては、組織全体の各部門の担当者との関係を築き、彼らの賛同を得るとともに、信頼関係を構築し、フィードバックの機会を設けることが重要です。

CISOは、ビジネスユーザーからの知見やフィードバックを集めるために、CISO諮問委員会の設置を検討すべきです。

彼らは、シャドーITの実態を明らかにできる人々と関係を築き、ソリューションの評価が進む中で、セキュリティ部門の責任者にその状況を常に把握してもらうようにすべきです。こうした貴重な関係は、新たなセキュリティ施策の導入を促進し、問題が発生した際にセキュリティ担当者に積極的に警告を発し、信頼関係を深めることにつながります。

ビジネスユーザーと連携することで、IT部門やセキュリティ部門は、例えば3つの異なる事業部門が、実質的に同じ目標を達成するために、それぞれ別々のクラウドベースのソフトウェアツールを使用しているといった状況を発見する機会も得られます。これにより、重複した作業や時代遅れの解決策を特定したり、他チーム間でツールやワークフローを統合する機会を見出したりするという、大きな可能性が開かれます。その結果、大幅なコスト削減につながります。

次回の記事では、「」サイバーセキュリティ行動計画（）の残りの3つの分野について取り上げます。

Taniumが、を通じて、貴社のセキュリティ防御体制を強化する方法については、こちらからデモをご依頼ください。