改訂されたNISTサイバーセキュリティ・フレームワークには、2つの重要な変更点が盛り込まれています。それは、サイバーサプライチェーンのリスク管理に関する詳細の拡充と、サイバーセキュリティの指標および測定に関する新たなセクションの追加です。 TaniumのCSOであるデビッド・ダマト氏が、これらのアップデートが企業にとってなぜ重要なのか、また今後さらに改善の余地があると思われる点について解説しています。
The National Institute of Standards and Technology’s (NIST) Cybersecurity Framework, first released in 2014, has become widely popular with businesses and government agencies alike, largely due to its voluntary, risk-based, non-one-sized-fits-all nature. 2017年1月 において、この枠組みは、初となる重要かつ待望の「」の更新を受けました。、および 。一般からの意見募集 の締め切りは4月10日でした。
調査会社ガートナーの予測によると、 2020年までに、 全米の組織の50％が「フレームワーク」 を利用するようになる見込みです。 組織は、このフレームワークを活用して、自社のサイバーセキュリティ態勢を評価し、目標を設定し、独自のリスクや事業目標に沿ったサイバーセキュリティプログラムを策定します。 改訂版には、2つの重要な変更点が盛り込まれています。それは、サイバーサプライチェーンのリスク管理に関する詳細の拡充と、サイバーセキュリティの指標および測定に関する新たなセクションの追加です。
NISTフレームワーク：サプライチェーン管理におけるサイバーセキュリティへの対応
世界が相互につながり合っていることを踏まえると、組織が自組織の内部セキュリティのみを担当するだけでは、もはや不十分です。 サプライチェーン全体にわたるセキュリティに留意しなければなりません。なぜなら、どのパートナーも、知らず知らずのうちに組織への侵入経路を提供してしまう可能性があるからです。 更新されたフレームワークは、組織が買い手、サプライヤー、その他のパートナーに対してサイバーセキュリティ要件を伝えるための共通の用語体系を提供します。 企業は、契約を通じてこれらの要件を定めた上で、それらが満たされているかどうかを確認することができます。そのすべてを、共通のリスクベースのフレームワークを用いて行うことができます。
サプライチェーン管理にサイバーセキュリティを取り入れることの重要性は、いくら強調しても強調しすぎることはありません。 多くの企業や政府機関は、数十社、場合によっては数百社ものサプライヤーと契約を結んでおり、それらのサプライヤーは、多くの場合、自社のネットワークに広範なアクセス権を持っています。 ITシステムの刷新を目指す連邦政府機関や、クラウドプロバイダーを探している企業は、今後、セキュリティ上の要件を標準化された形式で提示できるようになりました。 このフレームワークは、多くの規制当局にとって共通の基盤でもあります。サプライチェーンのリスク管理も考慮されるようになったことで、その有効性はさらに高まっています。
NISTフレームワーク：サイバーセキュリティ指標の策定
さらに重要なのは、サイバーセキュリティの測定に関する新たな節であり、これは当初の草案には明らかに含まれていませんでした。 適切に行われれば、サイバーセキュリティの測定は、サイバーセキュリティを大規模に改善するために私たちができる最も有意義な取り組みの一つとなります。 共通の指標セットがあれば、企業は共通の定量化可能な目標に向けて取り組むことができるようになります。 最終的には、適切なインセンティブがあれば、こうした指標によって、同種の組織と比較した自組織のリスクを評価できるようになるでしょう。 これにより、保険会社が保険料を標準化できるようになるため、サイバー保険は現在よりもはるかに効果的な選択肢となるでしょう。 また、それは政府が実世界のデータに基づいた効果的な政策や戦略を策定する上で役立つでしょう。
この草案では、評価指標には「実施段階、サブカテゴリー、およびカテゴリー」が含まれるものと定義されています。 このフレームワークの各構成要素は、組織が十分な情報に基づいた意思決定を行うために活用できますが、パフォーマンスを標準化された方法で測定する方法や、サイバーセキュリティ活動の有効性を評価する方法に関する指針は、依然としてこのフレームワークには欠けています。
このフレームワークの強みは、画一的なものではない点にありますが、それでもなお、内部の計画立案や同業他社との比較のためには、すべての組織が把握しておくべき――あるいは、少なくとも把握できるよう努めるべき――特定の主要指標が存在します。 今こそ、NISTが産業界や政府機関と協力し、これらの主要な指標について合意を形成し、フレームワーク内か、あるいは別の文書として公表すべき時です。
もちろん、こうした指標に意味を持たせるためには、組織は信頼性が高く、権威ある記録システムから得られる最新のデータに基づいて業務を行わなければなりません。 多くの組織にとって、これを実現することは依然として課題となっています。 NISTは、「測定システムの正確性と精度」が、組織がサイバーセキュリティとビジネス成果を関連付ける能力に影響を与えることを認識していますが、この点は特に強調しておく必要があります。 正確かつタイムリーな記録システムは、あらゆる測定活動の基盤となります。
このフレームワークは、すでに各組織がリスク管理の基盤を築く上で役立っています。 今後は、リスクの測定においても、この同じ厳格さを徹底することに注力しなければなりません。
Taniumの経営陣ブログから、さらに詳しくお読みください：
著者について：最高セキュリティ責任者（CSO）として、デビッド・ダマト氏は、Taniumプラットフォームのモジュール開発に関する戦略的な製品方針を策定するとともに、同社の社内セキュリティプログラムを統括しています。 デビッド氏は、インシデント対応やフォレンジック、脆弱性評価、セキュリティプログラムの策定、セキュリティ運用、さらにはネットワークおよびセキュリティアーキテクチャに至るまで、幅広いセキュリティの専門知識をタニウムにもたらしています。 Tanium入社前は、FireEye傘下のMandiantでマネージング・ディレクターを務めており、同社のチームを率いて、フォーチュン 500 社にランクインする100 社以上において、インシデント対応および情報漏洩後の是正措置を主導しました。 マンディアント社では、デビッドは新たなインシデント対応サービスの機能開発や、国内外におけるコンサルティングオフィスの設立においても重要な役割を果たしました。 マンディアート入社以前、デビッド氏はPwCのワシントン連邦政府業務部門においてセキュリティコンサルティングチームを率い、またレイセオン社では、社内ネットワークおよび政府ネットワークの管理に重点を置いたIT関連の職務に従事していました。 デビッドは、業界のイベントやメディアを通じて、自身の専門知識や洞察を頻繁に発信しています。
