オーストラリアの「Essential Eight」は、同国の政府機関や企業で広く採用されている主要なサイバーセキュリティ・フレームワークであるかもしれませんが、8つの広範な管理領域を網羅するその多層モデルは極めて複雑であるため、 の遵守率は 依然として低水準にとどまっています。 資金が潤沢な政府機関でさえ、基準を満たすのに苦労しています。
AIと自動化 は、この傾向を覆す上で大きな役割を果たす可能性があります。 また、サイバーセキュリティの専門家たちは、こうした状況の好転が一日も早く訪れることを強く訴えています。
オーストラリアの公共部門から発表された最新の（芳しくない）データを見てみましょう。「Essential Eight」の成熟度モデル（ ）のレベル2を満たしている政府機関の割合は、サイバーセキュリティを監督し、8つのリスク軽減戦略を策定した情報機関であるオーストラリア信号局（ASD）によると、 2023 年の25％から 2024年には 15％へと低下しました。
この成熟度モデルには4つのレベルがありますが、やや紛らわしいことに、レベル0から始まっており、実質的には不合格の評価となります。 さらに、レベル1、2、3があり、これによりレベル2が2番目に高い等級となります。 オーストラリア政府内のコモンウェルス機関以外のすべての組織（省庁、機関、および独立した法人格ではなく、より広範な政府組織の一部として運営されているその他の団体）は、レベル2の要件を満たすことが求められています。
レベル2のコンプライアンス率が低下したのは、ASDが 2023年後半にモデルを更新したことが原因である可能性があります。この更新により、一部の事業体が遅れをとったと考えられます。 その主な重点分野には、パッチ適用のタイミングの調整、 フィッシング対策が施された 多要素認証（MFA） の導入拡大、およびインターネットに接続されたインフラストラクチャに対する インシデントの検知と対応 の実施が含まれていました。 とはいえ、 2023 の成績は自慢できるようなものではありませんでした。 一方、民間企業に対しては、「エッセンシャル・エイト」の遵守が単に推奨されているに過ぎません。 したがって、巨額の予算と大規模なセキュリティチームを擁する大手多国籍企業であれば、少なくとも一縷の望みがあるかもしれませんが、 中小企業にとっては、こうした推奨フレームワークへの対応が極めて困難な課題となっています。
これほど頭を悩ませるほど複雑であるにもかかわらず、「エッセンシャル・エイト」は依然として強い影響力を保っています。 どうやって？
これは実際には、オーストラリアの内務省が 2018 年に発表し、昨年改訂された「重要インフラのセキュリティ（SOCI）」法に定められている通り、オーストラリアの企業がサイバーセキュリティのコンプライアンスを証明するために利用できる、オーストラリア、米国、および国際規格を網羅する5つのフレームワークのうちの1つです。 メルボルンに拠点を置くITサービス企業CyberCXのガバナンス・リスク・コンプライアンス担当エグゼクティブ・ディレクター、ポール・フォーリー氏は、「オーストラリアに拠点を置く多くの組織が『Essential Eight』を採用していますが、その主な理由は、おそらく『政府がこれを理解しているから』でしょう」と述べています。 「エッセンシャル・エイト」の用語や構成は、政府関係者がサイバーセキュリティ能力について議論する際の標準となっています。したがって、政府機関との取引を希望する企業が、その原則に従うことは理にかなっています。
[Read also: Cybersecurity frameworks—10 popular standards explained, from HIPAA to NIST to GDPR]
そのため、良し悪しはさておき、企業は「エッセンシャル・エイト」を採用する傾向にあり、その後、その複雑な一連の管理措置の実施に苦労することになります。 テクノロジーを活用すれば、もっと簡単になるのでしょうか？ ある意味では、そうですね、と専門家たちは述べています。 人工知能から「インフラストラクチャ・アズ・コード」（ITインフラをソフトウェアベースでプログラム的に構成できる仕組み）に至るまでのさまざまなイノベーションにより、公共部門や民間部門の組織は、自動化されたシステムに負担を肩代わりさせることができると気づき始めています。
なぜ「エッセンシャル・エイト」が「最低限許容できる」とされるのか
オートメーションは、Essential Eightのレベル0（「上を目指すしかない」レベルとも呼べるかもしれません）に位置する企業にとって、最大の助けとなる可能性があります。これは、サイバーセキュリティ上の脆弱性により、攻撃に対して無防備な状態にあることを意味します。
「政府はそれを理解しているからです。」CyberCXのガバナンス・リスク・コンプライアンス担当エグゼクティブ・ディレクターであるポール・フォーリー氏が、その複雑さやコンプライアンス上の課題があるにもかかわらず、なぜこれほど多くの組織が依然として「エッセンシャル・エイト」に惹きつけられているのかについて語りました。
政府は、各レベルについて、そのレベルを達成した企業が防御できる攻撃者の種類に基づいて定義しており、経験の浅いハッカーから、より高度な技術的専門知識を持つハッカーに至るまでを網羅しています。 例えば、レベル2の要件の一つとして、システムへの認証にフィッシング対策が施された多要素認証（MFA）を使用することが挙げられます。 レベル3は、より手強い敵から身を守ることができる方に向けたものです。
各レベルには、以下の8つの広範な管理領域が共通して含まれています。アプリケーション管理、 アプリケーションのパッチ適用、 オペレーティングシステムのパッチ適用、Microsoft Officeのマクロ設定の構成、ユーザーアプリケーションのセキュリティ強化、管理者権限の制限、MFA、および定期的なバックアップです。 しかし、レベルが上がるにつれて、これらの各分野における要件はより厳しくなってきます。
[関連記事：オーストラリアの「エッセンシャル・エイト」が抱える根本的な問題と、中小企業が順守に苦戦している理由]
「『Essential Eight』が発表されて以来、私は一貫して、これが標準的なネットワークにとって最低限許容できる水準であると主張してきました」と、ITコンサルティング会社Willyama Servicesの創業者であるキアラン・ハインズ氏は述べています。 それは、SOCI法の規制対象となる業界に属する企業が非常に多く、遵守すべき枠組みとして「エッセンシャル・エイト」を選択しているためです。 「オーストラリアの産業の約 80％は、零細企業や超小規模企業を除けば、SOCI法の適用対象となるサービス業に属することになるでしょう」と彼は述べています。
「エッセンシャル・エイト」をより簡単に進めるには、どうすればよいでしょうか？ コンプライアンスの継続的な管理の自動化
自動化は、「エッセンシャル・エイト」の管理をより容易にする上で、どのような助けになるでしょうか？ おそらく、「継続的なコンプライアンス」という課題が関係しているでしょう。これはかつては理想として掲げられていた概念でしたが、 の機械学習の進歩、サイバーセキュリティ分野における AI ツールの普及、そしてリアルタイムのデータ監視やコンピュータネットワーク全体にわたる可視性の向上によるメリットに対する認識の高まりにより、近年ではより実現可能なものとなっています。
「『Essential Eight』が登場して以来、私は一貫して、これが標準的なネットワークにとって最低限許容できる水準であると主張してきました。」ウィリヤマ・サービス社の創業者、キーラン・ハインズ氏
専門家によると、季節ごとの監査が行われ、スタッフが日常業務から引き抜かれてコンプライアンスデータの収集に奔走するという従来のコンプライアンス体制から、より効率的なアプローチへのこのパラダイムシフトは、すでに着実に進んでいるとのことです。 先月、米国国防総省（ ）は、国防総省サイバーセキュリティ成熟度モデル認証（ Cybersecurity Maturity Model Certification：CMMC） に関する新たな規則（ ）を最終決定しました。これはオーストラリアの「Essential Eight」と同様の枠組みであり、防衛サプライチェーンに関わる組織に対し、継続的なコンプライアンスの維持を義務付けるものです。 この規則は来月から施行されます。
従来のコンプライアンスでは、監査人が定期的にシステムを点検し、コンプライアンスがどの程度遵守されているかを確認するという、特定の時点を基準としたアプローチが取られてきました。 その危険性は、「コンプライアンス・クリープ」と呼ばれる現象にあります。これは、システムへの変更によってコンプライアンス要件を満たさなくなっても、次の監査が行われるまで気づかれないというものです。
継続的なコンプライアンスアプローチでは、システムを評価し、常に必要な安全基準の範囲内に収まるようにします。 監査人が訪問してくるたびに、セキュリティチームは、それを裏付ける文書を揃えているため、順調に進んでいると自信を持って対応できます。
国際的な情報システム監査協会（ISACA）の理事であるジェイミー・ノートン氏は、そのメリットについて次のように述べています。「可視性の面では、自動化が間違いなく効果を発揮します」と同氏は指摘しています。 「テクノロジーを活用することで、自社の環境全体において『エッセンシャル・エイト』のどの項目に合致しているかを測定し、把握することができます。」 オーストラリアでは、すでにこうしたツールを提供している企業もあります。
[関連記事：データの深掘り――ISACAの「 2025 」レポートから厳選したprivacy—5 の重要チャート]
そのメリットがあるにもかかわらず、継続的なコンプライアンス遵守には特有の課題があり、特にセキュリティ予算が限られている中小企業においては、その普及を妨げる可能性があります。 コンプライアンスの遵守状況を把握することと、その状態を維持するための管理措置を自動化することには違いがあります。 設定を自動的に行い、システムを管理範囲内に収めるための措置を講じることは、一部の分野ではより困難です。
AI、自動化、そして「エッセンシャル・エイト」：隠れた複雑さ
特に難しい分野の一つが、アプリケーション制御です。 これには、組織が実行できるアプリケーションを、許可リストに掲載されているものだけに制限することが含まれます。 簡単そうに聞こえますが、実は一見した以上に複雑なのです。
「可視性の面では、自動化が間違いなく効果を発揮します。 テクノロジーを活用することで、自社の環境全体において「エッセンシャル・エイト」のどの項目に合致しているかを測定し、把握することができます。”国際的な情報セキュリティ管理非営利団体ISACAの理事、ジェイミー・ノートン氏
「公開される新しいアプリケーションや、新たに発生する脅威に応じて、常にそれを更新しなければなりません」とノートン氏は述べています。 各アプリケーションには複数のバージョンがあり、部署ごとの要件に合わせてこれらも管理する必要があります。 「それは、AIが学習して実行できるようになる可能性があり、その設定を定期的に更新するという負担を軽減できるでしょう。」
「Essential Eight」のカテゴリーのうち、他にも隠れた課題を抱えているのが、アプリケーションとオペレーティングシステムのパッチ適用です。 オペレーティングシステムもアプリケーションも、常に多くのパッチが提供されており、その重要度はそれぞれ異なります。 によると、パッチの適用が遅れると重大なリスクが生じますが（）、一方で、パッチを迅速かつ無差別に適用することも、本番システムに深刻な影響を及ぼす可能性があります。 オペレーティングシステムのパッチによってシステムが正常に動作しなくなることがあるため、パッチの自動適用にはリスクが伴います。
企業インフラ内の製品の種類が増えるにつれて、パッチを適用する際のリスクが高まります。 また、これらの製品間のシステム依存関係も増加しており、攻撃者がさまざまな製品に存在する複数の脆弱性を順次悪用する「連鎖攻撃」のような悪影響が生じるリスクが高まっています。
フォーリー氏が指摘しているように、これにより、パッチ適用はリスク評価戦略の一つとなります。 そのリスクを評価するには、上記のすべての要因に加え、組織内におけるアプリケーションやオペレーティングシステムの重要度も考慮する必要があります。 ある企業にとって生産プロセス全体を動かすアプリケーションであっても、別の企業にとっては単なるログ記録システムに過ぎないかもしれません。
[関連記事：AIガバナンスの新たな担い手である韓国における画期的なAI法について知っておくべきこと]
組織がソフトウェアのパッチを適用するための想定される時間的余裕は、「Essential Eight」の成熟度レベルが上がるごとに狭まり、この問題はより困難なものとなります。
ここで、AIが活躍する可能性があるのです。
「 依然として人間の関与が必要ですが」とフォーリー氏は述べ、「では、どうすればそうした意思決定をより迅速に行えるのでしょうか？」 「パッチ適用にあたっては、環境の複雑さを理解しておく必要があります。」 AIは、企業のITインフラにおける複雑なアプリケーション間の依存関係を把握することで、特定の脆弱性を持つ重要システムについて、リスクに基づいた評価を行うことができます。 その後、その評価結果をアナリストに提示し、アナリストが最終的な判断を下すことになります。
即効性のある成果――そして自動化に伴う課題を軽減する方法
サイバーセキュリティのいくつかの側面を自動化することは、他の側面よりも容易であると考えられます。 特に注目すべき点は、Officeのマクロを制限する必要があるということです。
「これはグループポリシーの設定です」とフォーリー氏は説明します。 「組織レベルで設定を行うことで、Officeのマクロを無効にすることができます。」 もちろん、それはすべての従業員がそれらなしでもやっていけるという前提に基づいています。 一部の分野、特に金融業界では、従業員が業務の一部を処理するために、長年にわたって作成されてきたマクロに頼っています。 そのような場合、彼は、悪意のあるマクロによる被害の範囲を最小限に抑えるために、一部の部門をネットワーク上の独立した領域に隔離しておくほうが、多くの場合、より簡単だと述べています。
同様に、フォーリー氏は、MFAの適用は（アプリケーションベンダーが対応していることを前提として）、一元的に自動化できるべきものであると述べています。
フォーリー氏によると、自動化の道にはいくつかの大きな障壁が立ちはだかっているとのことです。 一部の組織にとっては、自社のシステムこそが足かせとなっているのです。 「連邦政府は、往々にして従来の技術的負債に悩まされていることがよくあります」と彼は説明します。
[関連記事：ITの自動化――その仕組み、メリット、そして将来のツール]
長年にわたって開発されてきたシステムには、適切な自動化機能が組み込まれていない可能性があり、ましてや、ここで説明したようなAIを活用した機能など、到底備わっていないでしょう。 また、多くのベンダー製のコンポーネントで構成され、互換性が低い異種混在システムも、自動化が困難です。 そのため、ウィリヤマ社のハインズ氏は、自動化の課題を緩和する一つの手段として、クラウドへの移行を挙げています。
「『Microsoft M365』では、[顧客]には実質的な管理責任が一切ありません。なぜなら、マイクロソフトがすべて代行してくれるからです」と彼は述べ、その一例を挙げました。 「自動化はマイクロソフトによって行われています。」 社内で何かを行う必要はありません。 「それは、ほとんどの組織にとって最も確実な結果です。」
サイバーセキュリティの自動化は、おそらく「最善を尽くす」という取り組みと言えるでしょう。 ハインズ氏はパレートの法則を挙げており、そこでは 20％の労力を費やすことで、 80％の成果を上げることができるとしています。
その後、彼はこう述べています。「あらゆることを自動化しようとすると、かえって複雑さが増し、収益の増加幅も次第に小さくなっていくのです。」 しかし、比較的少数のベンダーが提供・管理するシステムを採用し、最新のサイバーセキュリティ・スタックを構築することで、業務を効率化する機能を活用できる可能性が高まり、「Essential Eight」への準拠に一歩近づくことができます。
