セキュリティオペレーションセンターを迅速に拡大する方法

国家、ハクティビスト、その他の悪意ある主体によるサイバー攻撃の頻度と高度化が着実に進む中、多くの組織は、脅威を適切に監視・検知・対応できなくなったと気づいた時点で、ある限界点に達してしまいます。その結果、セキュリティチームが情報を共有し、防御や対応において連携するための一元化された仕組みが構築されます。これは通常、セキュリティオペレーションセンター（SOC）と呼ばれています。

セキュリティを一元化することで、組織はサイバー攻撃を検知し、対応し、対処する能力を向上させることができますが、SOCの構築には、ある程度の検討と労力が必要です。

セキュリティ運用を拡大し、俊敏なSOCを迅速かつ効率的に構築するために、『 』のエンドポイント担当記者、 氏が3人の専門家へのインタビューを行いました。

敵対者がネットワーク全体に拡散する前に、その存在を特定し、封じ込めましょう。

「SOCはターンキー方式ではありません」と、コンサルティング会社Wire SecurityのCEO兼創業者であるウィム・レメス氏は述べています。「単に大量の技術を購入し、大勢のスタッフにキーボードを叩かせただけで、SOCが成果を上げることを期待する、というものではないのです」と彼は言います。「まずは不可欠な機能を整備し、その後、時間をかけてSOCの機能を徐々に改善・拡充していくことが重要です。」

目標を設定しましょう

バーチャルCISOコンサルティング会社「Security Outliers」の共同創業者であるガル・シュパンツァー氏は、SOC（セキュリティオペレーションセンター）の当初の目標は必ずしも同じとは限らないと述べています。組織がどのような目標を掲げているのかを知るために、彼はいくつかの質問を投げかけることを勧めています：

SOCの初期の顧客はどのような方々でしょうか？
その目的は、経営陣向けのダッシュボードの提供でしょうか、それともコンプライアンス対応でしょうか、あるいはのインシデント対応でしょうか？
監視、アラート、分析、および対応に関して、どのようなことが期待されていますか？

こうした質問への回答は、組織全体が持つ知恵に委ねるのが最善かもしれません。だからこそ、複数のステークホルダーへのインタビューを行うことで、目標を明らかにするのに役立ちます。

「重要なのは……単に大勢の人をキーボードの前に座らせて、SOCが機能することを期待することではありません。」
Wire SecurityのCEO兼創業者、ウィム・レメス氏

「セキュリティアーキテクトやエンジニアは、各事業部門と面談を行い、セキュリティ運用チームとどのように連携・コミュニケーションを図りたいと考えているかを把握すべきです」と、セキュリティ運用の自動化について企業に助言を行っているSwimlane社のグローバルセキュリティおよびエンタープライズIT担当上級副社長、マイケル・ライボーグ氏は述べています。

「次に、望ましい成果、ユーザー体験の目標、対応措置、および通知フローを明確にし、そこから逆算して進めていきます。」

ギャップ分析を実施する

レメス氏によると、貴組織には、目標を達成するために必要な能力の一部が、すでに社内に備わっている可能性があります。次のステップは、貴組織の強みとなる分野と、改善が必要な分野を特定することです。

おそらく、その組織はすでにの脆弱性管理を効果的に実施しており、進行中の事象に関する洞察を提供する効率的なセキュリティダッシュボードを備えているのでしょう。一方で、の脅威ハンティングやインシデント対応機能には欠けている可能性があります。不足点を特定したら、社内で対応するか、外部に依頼するか、そのための計画を立てることができます。

適任の人材を採用しましょう

SOCの主要な機能には、セキュリティの監視とテスト、アラートの優先順位付け、インシデント対応、セキュリティ管理、是正措置、脅威ハンティング、調査などが含まれます。これらの能力は、単なるツールの集合体にとどまらず、キーボードの向こう側にいる「頭脳」そのものに関わるものです。

必要な人材は、すでに御社内にいる可能性がありますが、システム管理やセキュリティといった関連分野で働いているかもしれません。

社内からの採用は、多くの場合、良い選択となります。「環境を理解することは不可欠です。なぜなら、知らない環境では適切に対応できないからです」とレメス氏は述べています。「セキュリティのスキルはそれほど高くないものの、組織のことを実際に熟知している人たちに比べれば、あなたほど効率的には働けないでしょう。」

ビジネステクノロジー環境の性質に応じて、SOCには、に示されているような多様なスキルを持つチームメンバーを配置する必要があります。。現代のオペレーティングシステムからメインフレーム、レガシーシステム、さらにはクラウドアーキテクチャに至るまで、あらゆる分野で専門知識が必要となる可能性があります。

重要なデータフィードを取り入れる

SOCとは、基本的に、組織全体にわたるデータフローを分析し、それに対応するための仕組みです。新しいSOCの場合、初期のデータフィードは、最も機密性が高く、業務上極めて重要なシステムから取得すべきです。

Swimlane社のLyborg氏は、新たにSOCを構築する経営幹部に対し、データの種類や分類体系を念頭に置くよう助言しています。また、ツールの統合を迅速化し、情報のマッピングを簡素化するためには、共通のデータモデルを構築することも重要です。通常、データはセキュリティツールセットだけでなく、サーバーやのエンドポイント、、複数のクラウド環境、オンプレミスシステム、ネットワークおよびインフラストラクチャ運用、ならびにID管理システムからも流入します。

[関連記事：組織の「至宝」とも言えるデータを保護するための 5 のステップ]

データソースをマッピングするにあたり、シュパンツァー氏は、それらが物理的にどこにあるかを考慮するようアドバイスしています。「オンプレミスにあるのでしょうか？それらはクラウドシステム上にあるのでしょうか？「そして、社内のリソースか外部のコンサルタントを活用するかに関わらず、いわゆる『データパイプライン』と呼ばれるものを構築し、従来型や最新の手法で生成されたさまざまなログを取得するためのデータエンジニアリングのスキルセットは、私にあるのでしょうか？」

何を外部委託するかを決める

によると、情報セキュリティ分野の求人が数百万件も未充足となっている状況において、組織にとっては、社内で容易に割り当てることができない業務を外部委託する方が、より現実的かつ費用対効果が高いかもしれません。

「セキュリティアーキテクトやエンジニアは、各事業部門と面談を行い、セキュリティ運用チームとどのように連携・コミュニケーションを図りたいと考えているかを把握する必要があります。」
Swimlane社のグローバルセキュリティおよびエンタープライズIT担当上級副社長、マイケル・ライボーグ氏

SANSの調査によると、回答者の 38％はSOCを社内で1日 24 時間運用しており、15％はSOCを完全に外部委託しており、 31％は社内と外部委託による監視を併用していることが分かりました。コストを抑えるため、 16％の企業はSOC 24/7を運用していません。

組織では、専任の専門家をフルに活用できるだけの業務量が確保できていないことがよくあります。そのため、多くの企業が必要に応じて専門的な業務を外部委託しています。 SANSの調査によると、最も頻繁に外部委託されている業務には、侵入テスト、レッドチーム活動、フォレンジック、および脅威インテリジェンスが含まれることが分かりました。

絶えず成熟を目指しましょう

SOCが稼働し始めると、優先事項は、機能の追加、既存の機能の充実、そして長期的な運用最適化へと移行していきます。ベストプラクティスの枠組みを活用することで、直ちに不可欠な能力を特定し、成熟度を評価することができます。一般的なフレームワークとしては、米国国立標準技術研究所（NIST）のサイバーセキュリティ・フレームワーク（NIST CSF）、マイター（Mitre）のATT&CKフレームワーク、およびSOC能力・成熟度モデル（SOC-CMM）などが挙げられます。

一般的に、SOCは、機能が追加され、より多くの業務が自動化され、組織のの重要資産に対するセキュリティ対策の範囲が拡大し、さらにビジネスリスクに基づいて脅威の優先順位付けと軽減が行われるにつれて、成熟していきます。

「あまり早く、あまり大きな期待を抱かないことが大切です」とレメス氏は述べています。「それは、スイッチをパチンと切り替えるようなことにはならないでしょう。」「最初は基本的な作業から始め、手作業が中心となりますが、時間の経過とともに、より運用化され、自動化されていきます。」

要するに、「完璧を追い求めて、良いものを犠牲にしてはいけません」。結局のところ、アジャイルなセキュリティ運用チームを構築することは、最初のスプリントを終えた後のマラソンのようなものです。

セキュリティオペレーションセンターを迅速にスケールアップする方法