データ漏洩は、後を絶たない勢いで発生しています。 これらが人々の日常生活や、企業の事業継続力、さらには国家安全保障に与える影響は、今や否定できないものとなっています。
ここ数ヶ月だけでも、サイバー犯罪者たちは世界最大の食肉加工業者を標的にし、米国内の主要な食肉加工工場を操業停止に追い込みました。また、国内最大のガスパイプラインを機能不全に陥らせ、買い占め騒ぎを引き起こしました。さらに、米国史上最大規模のサイバー攻撃により、 300 社と9つの連邦機関が被害を受けました。 （ SolarWinds 攻撃を参照）
企業 や政府機関 にとって、この戦いはもはや単にクレジットカード番号やその他の個人データを保護することだけにとどまりません。 これは、国の 経済的利益 を守ること、そしておそらくそれ以上に重要なこととして、社会が機能し続ける能力を守ることに関するものです。
[関連記事：インシデント対応ツールが、被害が発生する前にセキュリティ侵害をどのように解決するか]
で報じられた注目を集めたサイバー攻撃の多くは 、米国の「経済の原動力」に深刻な打撃を与える可能性を秘めていたと、フロンティア・コミュニケーションズの元CEOであり、複数のテクノロジー企業の取締役を務めるマギー・ワイルダーロッター氏 は述べています。 この脅威は極めて深刻であるため、 6月2日の日、 のホワイトハウスは、「企業の幹部およびビジネスリーダー」宛てに公開書簡 を送付し、同国におけるサイバーレジリエンスの強化において彼らには「重要な責任」があると述べた一方で、「規模や所在地にかかわらず、どの企業も（ランサムウェアから）安全ではない」と指摘しました。
しかし、自社の防御体制さえあれば安全が保たれるかのように運営している企業は、自覚している以上に大きなリスクを負っているのです。 いずれ、攻撃者は成功してしまうでしょう。 （パンデミックが始まって以来、サイバー攻撃が急増していることをご承知おきください。 600% ）
侵害を受けた組織は、「 」ランサムウェア（ ）による攻撃により、中核となる事業運営が停止してしまう可能性があります。 Those incursions come with a cost to a company’s reputation as well as its bottom line: Companies spend an average $3.86 million to mitigate a breach.
企業は、単なる防御に徹する姿勢から、攻撃を成功させるための準備を整え、被害を最小限に抑える姿勢へと転換しなければなりません。 そのための5つの方法をご紹介します。
訓練し、準備する
実際にセキュリティ侵害への対応を行っている最中に、インシデント対応の方法を学ばなければならないような状況にはなりたくないでしょう。 当たり前のように聞こえますが、多くの企業は準備をしていません。 「チームは万全の準備を整え、何をすべきかを正確に把握していなければなりません」と、S&Pグローバル・マーケット・インテリジェンス傘下の 451 リサーチでエンタープライズセキュリティチームの主席アナリストを務めるフェルナンド・モンテネグロ氏は述べています。
「チームは準備を整え、何をすべきかを正確に把握していなければなりません。」451 Researchのセキュリティアナリスト、フェルナンド・モンテネグロ氏
「何かが起きた場合に、 理論的には どうすべきかを知っているということではありません」と彼は付け加えます。 「つまり、その状況に応じて、彼らが具体的に何をすべきかを正確に理解することです。」
つまり、人、プロセス、そしてテクノロジーを見直すということです。 モンテネグロ氏は、まず、インシデントが発生した際に通知が必要な人物を特定することから始めるべきだと述べています。
“Who do you call at 3 in the morning to escalate something about a particular application?” と彼は言います。 「あるいは、主な連絡先に連絡がつかない場合は、誰に連絡すればよいのでしょうか？」
研修の過程でそうした人々を巻き込むことで、重要な関係性が築かれ、何を、誰が、どのように行うべきかという共通の認識が生まれます。 セキュリティやIT部門に加え、対応チームには、人事、広報、法務、製品開発、および社内外のコミュニケーション担当者が含まれる場合があります。
モンテネグロ氏は、インシデント対応チームが、おそらく四半期ごとに訓練を行うよう勧めています。 シミュレーション演習を実施することで、セキュリティチームはインシデント対応戦略における不備や時代遅れの指針を特定することができ、チームの対応に対する確信と迅速性を高めることができます。
「常に最新の対応策を心がけ、1年間も手つかずのままだった『仮想の棚』から古い対応マニュアルを引っ張り出してきてはならないのです」と彼は言います。
状況認識を高める
による迅速なインシデント対応 を確実にするためには、企業はハッカーや悪意のあるソフトウェアによってシステムが侵害された兆候を常に探さなければなりません。 セキュリティ侵害について、影響を受けたパートナーや顧客、法執行機関、あるいはランサムウェアによって突然暗号化されてしまったサーバー群から知らされるような事態は避けたいものです。
「攻撃者が認証情報を利用したり、何らかの方法で多要素認証を迂回したりして活動し始めた時点で、システムは侵害されたことになります」と、仮想CISOコンサルティング会社「Security Outliers」の創業者であるガル・シュパンツァー氏は述べています。
「セキュリティチームには、コンピューティングデバイス間の新たな通信を検知し、それが正常なものかどうかを判断できるプロセスが必要です。」
侵害を早期に検知するためには、セキュリティチームは、コンピューティングデバイスやその他のエンドポイントに到達したマルウェアの新たな兆候を特定し、それらが本来あるべきものかどうかを判断できるプロセスを必要としています。 「デスクトップ間での不審な通信や、奇妙なプロトコルや新しいプロトコルを使って他のサーバーに接続しようとするサーバー、あるいはネットワーク上で新たな接続関係を確立しようとする動きなどを探すべきです」とシュパンツァー氏は述べています。
のエンドポイントセキュリティツール（ ）を導入し、侵入検知システムや異常検知システムといった包括的な機能を備えたシステムを整備し、不審な活動を合理的に可能な限り迅速に検知できるようにしたいとお考えでしょう。 「コミュニケーションにおける新規性と、二項対立における新規性は、重要な手がかりとなります」とシュパンツァー氏は述べています。
ビジネスへの影響を理解する
セキュリティインシデントが発生し始めた際、ほとんどの組織はそのインシデントがビジネスに与える影響を把握できていません。 しかし、どのような事象であれ、ある程度は業務に支障をきたすものです。
「差別化の要因は、それがビジネスにどの程度の混乱をもたらすかという点にあります」と、ReSource Proの情報セキュリティ担当ディレクター、デビッド・エルフェリング氏は述べています。 「サービスデスクでの問い合わせから、上層部の対応を必要とする事態へとエスカレートするプロセスは、多くの企業において『根本的に機能不全に陥っている』」と彼は述べています。
「サービスデスクでの懸念事項から、上層部の対応を必要とする問題へとエスカレーションされるプロセスは、多くの企業において機能不全に陥っています。」ReSource Proの情報セキュリティ担当ディレクター、デビッド・エルフェリング氏
それは、ほとんどの企業が自社の主要なプロセスに関する一覧を把握していないからです。 つまり、彼らは自社のプロセスの価値を理解していないということです。 そのため、真の重要度を割り当てることはできません。 ですから、IT部門が何かを「重要」や「低リスク」と分類する場合、エルフェリング氏によれば、多くの場合、「単なる推測に過ぎない」とのことです。
サイバーインシデントの影響をより深く理解するためには、組織はIT環境を「下から上へ」というアプローチで評価することをやめる必要があります。 モンテネグロ氏は、ITシステムがビジネスをどのように支えているかを列挙するのではなく、トップから切り出すほうがよいと述べています。
「主要なビジネスプロセスを特定し、そのプロセスを支えている技術を特定してください」と彼は言います。 「これにより、価値の観点から、どのインシデントが最も重要な事業運営にとって重大であるかを判断する際、シンプルに考えることができます。」
リモートセキュリティオペレーションセンター（SOC）の導入をご検討ください
パンデミックの間、多くの企業のセキュリティチームがリモートでの業務を開始しました。 組織がセキュリティ人材の不足に直面する中、 リモート勤務 がメリットとして認識されるようになってきており、これにより、 地理的に広範囲にわたる候補者プール を活用できるようになっています。
「通常、SOCの運用担当者は、至る所にモニターが設置された物理的な環境で、全員がアラートを確認しながら業務を行っていました」と、 451 Researchの情報セキュリティ研究責任者であるスコット・クロフォード氏は述べています。 「どこからでもアナリストがコンソールを確認し、共同で作業を行うことができることがわかりました。」
また、そのようなリモートワーク環境は、自分の住みたい場所で暮らし、オフィスへの通勤にかかる費用や手間を避けたいと考える多くの労働者にとっても魅力的です。
「そうすれば、インシデントに効果的に対応するために必要なセキュリティの専門知識を持つ人材を確保することが、はるかに容易になります」とクロフォード氏は述べています。
合理的な範囲で自動化しましょう
データの収集やログの確認に関しては、自動化が可能であり、また自動化すべきプロセスが数多くあります。 「できるだけ自動化したいものです」とシュパンツァー氏は述べています。 「大きな赤いボタンを押すことで、一連の侵害指標（IOC）をアップロードし、ログを徹底的に調査して、そのIOCが影響を与えたすべてのマシンを特定し、DNSプロキシのログに記録されているすべてのURLを確認するようなプレイブックを作成することができます。」
その作業の手作業の割合を減らしたいですね。特に、誰かがその作業を繰り返し行っている場合はなおさらです。 自動化は、作業が速くなるだけでなく、人手によるミスも減らすことができます。 シュパンツァー氏によると、進行中の事件というストレスのかかる状況下では、これが極めて重要だとのことです。 また、ログをどのくらいの期間保存するかを決定することも極めて重要です。 多くの攻撃は数週間、場合によっては数ヶ月にわたって発生するため、ログをどこに保存すべきかを決定し、必要に応じて迅速にアクセスして解析できるワークフローを構築する必要があります。
「ボタンをクリックするだけでそれらのログを取得できるようにしたいですし、適切なデータが明記された、分かりやすいラベルのついたボタンをクリックできるようにしたい」とシュパンツァー氏は述べています。 これには、「DNS用のIOCが記載された入力スプレッドシート」、「IPアドレスが記載された入力スプレッドシート」、「ハッシュ値が記載された入力スプレッドシート」といったラベルが含まれる可能性があります。
これらを組み合わせることで、 のエンドポイント検出・対応プラットフォーム（ ）が、これらすべてを統合するとのことです。 「こうすれば、何が起きたのか、どこで起きたのか、そしてどのような影響が出たのかを、素早く把握することができるでしょう」と彼は言います。
データ漏洩は「もし」ではなく「いつ」の問題であり、事実上避けられないものですが、少なくとも可能な限り長くそれを防ぐための対策を講じ、万が一発生した際にはその影響を最小限に抑えられるよう準備を整えておくことは可能です。
