民間ジェット機が墜落すると、連邦航空当局の調査官たちが現場に急行し、その原因や経緯を解明しようと努めます。 彼らの調査結果は、一般市民や航空業界に情報を提供するとともに、犯罪的な意図、人的ミス、あるいは技術的な不具合のいずれに起因するものであれ、同様の墜落事故を防ぐことを目的としています。
しかし、サイバー攻撃に関しては、同様の検証を行い、重要な情報を共有するような機関は存在しません。 その状況はまもなく変わろうとしています。 In the wake of the SolarWinds attack—in which hackers breached some 300 companies and nine federal agencies, with a cleanup cost of some $100 billion—the Biden administration plans to create a cybersecurity incident review board.
まもなく発令される予定の「 」大統領令（）に基づき、政府のソフトウェア請負業者は、サイバー侵害が発生した場合、国土安全保障省内に新設される機関に速やかに報告することが義務付けられることになります。 その機関は、民間航空事故やその他の事故を調査し、安全対策の提言を行う国家運輸安全委員会（NTSB）と同様の役割を担うことになります。
ソフトウェアのセキュリティ基準を満たすための新たな規則が含まれる見込みであるこの連邦指令の目的は、政府がサイバーセキュリティインシデントを検知し、対応できるよう支援することにあります。 また、 サプライチェーンのセキュリティを促進し、 連邦政府の請負業者に対し、防御体制の強化を促すことも目的としています。
しかし、連邦政府の請負業者に対する新たな要件は、はるかに広範な影響を及ぼすと見込まれています。 セキュリティの専門家によると、大小さまざまな企業が新たなセキュリティ対策を導入し、リスクを低減し、多大な損失を伴う業務中断を回避し、透明性を高めてビジネスを獲得し、顧客の信頼を得るよう努めるにつれ、こうした動きは企業の取締役会や経営陣の間にも波及していくとのことです。
「政府の取り組みにより、民間企業も同様の報告要件を導入する動きが活発化するでしょう」と、Tanium社の米州担当最高情報セキュリティ責任者（CISO）であるクリス・ハレンベック氏（ ）は述べています。 「透明性の低い企業になりたいと思う会社などあるでしょうか？」
実際、今日のCISOたちは、自社および業界全体の強化に向けて、積極的な取り組みを進めています。 同社は、ソフトウェア開発に対する管理の強化、企業ネットワーク全体の可視性の向上、そして情報共有の改善という3つの重要な分野に注力しています。
「 」には、どのような機能が搭載されているのでしょうか？ ソフトウェアについて教えてください。
食品パッケージの原材料表示と同様に、ソフトウェアベンダーの ソフトウェア部品表（SBOM） では、各コンポーネントを明確かつ正確に把握し、その出所を明示しなければなりません。 これは、サプライチェーン管理において極めて重要な部分です。 これにより、ベンダーはソフトウェアコンポーネントが最新の状態であることを確認でき、購入者は脆弱性分析を行ってソフトウェアのリスクを評価することができます。
「出所が不明で、悪意のある可能性のあるソフトウェアを統合してしまうのは、あまりにも簡単すぎるのです。」IDCのプログラム担当副社長、フランク・ディクソン氏
「ソフトウェアベンダーにSBOMの作成を依頼した際、それができないようであれば、そのベンダーのソフトウェア開発の実践体制に疑問を抱くことになるでしょう」と、JupiterOneのCISO兼リサーチ責任者であるソウニル・ユー氏は述べました。 「SBOMを容易に作成できるという事実を知るだけで、その企業のソフトウェア開発の実践が、脆弱性やメンテナンスが不十分なソフトウェアに関連する幅広い一般的な問題に対処できるほど、現代的かつ成熟しているという確信が持てます。」
企業が、ソフトウェア共同開発プラットフォーム「GitHub」などのコードリポジトリを活用するにつれ、コードの出所や真正性を検証することの重要性が高まっています。 「出所が不明で、悪意のある可能性のあるソフトウェアをシステムに組み込んでしまうのは、あまりにも簡単すぎるのです」と、市場調査・コンサルティング会社IDCでサイバーセキュリティ分野を担当するプログラム担当副社長、フランク・ディクソン氏（ ）は述べています。
組織は、より詳細なSBOMによって自社のテクノロジーを構成するソフトウェアについてより明確な把握ができるようになる一方で、そうした詳細情報は「新たなデータやノイズの洪水」をもたらす可能性もあり、「そのすべてが実用的な情報になるとは限らない」と、セキュリティ企業ランドリ（Randori）の共同創業者兼最高技術責任者（CTO）であるデビッド・ウォルポフ氏は述べています。同社は、顧客が脆弱性を特定できるよう支援するため、敵対的攻撃を実施しています。
政府の請負業者は、まだ対応していない場合は、SBOM要件の強化によって連邦政府の調達プロセスに生じる複雑さへの備えを講じる必要があります。 しかし、最終的には、プロセスが円滑化されることで、彼らにもメリットがもたらされるはずだと、Square, Inc.の元CISOであり、コンピュータネットワークセキュリティ企業Thistle Technologiesの創業者兼CEOである ・ウィンドウ・スナイダー氏（）は述べています。
「政府が義務付けるSBOMは、『パッチ適用や脆弱性管理のために何を行う必要があるか』を明確に示すという点で、非常に役立つ可能性があります」と彼女は述べています。 「これにより、セキュリティチームは、技術系メディアでは取り上げられないものの、それでも対処したいと考えている、それほど重要ではない課題に対処できるようになります。」 「うまく機能すれば、[自動化]を通じて、パッチ管理にかかる日数を 30 日から15 日に、目に見える形で短縮できるでしょう。」
目に見えるものしか管理できません
まもなく発令される大統領令の規定によれば、政府のソフトウェア請負業者は、情報漏洩やその他のセキュリティインシデントを確認した場合、速やかに政府に通知しなければなりません。 しかし、その要件を満たすためには、ベンダー各社は自社のネットワークや資産全体にわたる可視性を向上させる必要があります。
業界の格言にもあるように、「見えないものは管理できない」のです。
運用レベルにおいて、可視性とは、企業のIT環境内にあるすべてのコンピュータおよびデータ資産を包括的に把握することを意味します。 可視性とは、特定の時点でどのエンドポイントやデバイスが脆弱であるかを把握することでもあり、それによってセキュリティチームは十分な情報に基づいた是正措置の決定を下すことができます。 可視性が向上することで、組織は情報漏洩への対応をより効果的に行い、規制報告データの品質に対して確信を持ち続けることができます。
「まず第一に、セキュリティ侵害が発生する可能性そのものを低減させるために、組織のセキュリティを強化する必要があります。」Taniumの米州担当CISO、クリス・ハレンベック氏
しかし、可視性を確保することは依然として課題となっています。特に、パンデミックによって保護すべきエンドポイントや資産の数が増加し、攻撃対象領域が拡大した後はなおさらです。 A 2020 Tanium survey of 750 IT decision-makers found that nearly all—some 94%—have discovered endpoints that were previously unknown, a startling lack of visibility that could lead to compliance violations.
タニウム社のハレンベック氏は、この新たな大統領令において、攻撃が発生した後の対応よりも、攻撃が発生する前のセキュリティ強化に、より重点を置くことを望んでいます。 「私たちがすべきことは、そもそもセキュリティ侵害が発生しにくくなるよう、組織のセキュリティを強化することです」と彼は述べ、企業が自社のIT環境を可視化できれば、より先を見越した対応が可能になり、生産性も向上すると付け加えました。
可視性を高めるためには、セキュリティチームは、自組織がさらされるリスクに関する脅威モデルを策定する必要があります。 そのモデルは、高価値な資産や重要な業務機能に対応していなければなりません。 さらに、セキュリティチームやITチームは、データがどこに保存されているか、どのようなオペレーティングシステムが使用されているか、またそれらのシステムがクラウドサービスを利用しているのか、それともオンプレミスのサーバーやネットワークインフラを利用しているのかといった質問に答えられるようにしておく必要があります。 その情報がないと、企業は適切な人員配置やツール導入の判断を下すための可視性を確保できず、結果としてセキュリティ侵害のリスクが高まってしまいます。
[関連記事：政府機関のCIOがより強固な防御体制を築くには]
「企業が自社のビジネスワークフローを把握できれば」と、セキュリティ、ネットワーク、IT運用プロバイダーであるNetenrichのCISO、クリス・モラレス氏は述べています。「ワークフロー全体を可視化し、発生しうる、あるいは実際に発生するであろう攻撃者の行動を確実に監視できるようになります。」
共有の準備をしてください
情報漏洩を政府に報告するまでの期限は、欧州連合（EU）の一般データ保護規則（ 、 、GDPR）と同様に、72 時間となる見込みです。 しかし、モラレス氏は、ソフトウェア業界は、影響の大きい重大な脅威に対して「数分以内」に対応することができ、またそうすべきだと考えています。
「セキュリティとは、防御側と攻撃側の競争です」と彼は述べ、対応速度こそが「侵害を封じ込める上で最も重要な要素」であると指摘しています。 防御側は、攻撃者が標的に到達する前に、それを検知し、対応しなければなりません。 「通知が遅れると」と彼は付け加えました。「善意の人たちの動きを遅らせるだけなのです。」
たとえ通知が適切かつ迅速に行われたとしても、政府がサイバー分野におけるNTSBに相当する機関を設立しようとする際には、いくつかの課題に直面することになります。 そのためには、多くの知的財産が関わる民間企業に対し、情報を共有するよう説得しなければなりません。
連邦政府の サイバーセキュリティ・インフラセキュリティ庁（CISA） は、民間部門と公共部門の両方にとって強力な支援者となっていますが、企業からは情報共有が一方通行であるとの不満が寄せられており、政府はこの課題を克服し、双方向の情報共有を実現する必要があります。
「関係は良好ですが、透明性も重要です」と、特権アクセス管理ソリューションを提供するThycoticCentrifyの顧問CISO、ジョセフ・カーソン氏は述べました。 「CISAはより積極的に関与するようになり、主体的な姿勢を見せています。これは良い傾向であり、サイバーセキュリティは、事後に対処して後始末をするのではなく、攻撃を未然に防ぐことができたときに最も効果を発揮するということを示しています。」
セキュリティの専門家がインシデントに関する情報の共有に関して推奨するベストプラクティスには、次のようなものがあります：
- あらゆる出来事を、改善の機会と捉えましょう。
- 責任のなすり合いを避け、組織的な弱点や根本原因に焦点を当ててください。
- 効果的な事後分析の共有を奨励し、報奨を与えるようにしてください。
JupiterOneのSounil Yu氏によると、あらゆる種類のインシデントについて、 の「非難を伴わない事後分析」 を実施することで、組織は重大なセキュリティインシデントに対処する準備を整えることができるとのことです。 「セキュリティは、単なるインシデントの一種に過ぎません」と彼は言います。 「組織が『非難を伴わない事後検証』の取り組みを導入すれば、[大統領令]から生じるどのような要件に対しても、十分に備えることができるでしょう。」
非難を伴わない事後検証は、インシデントから得られた教訓が忘れ去られることのないようにもします。 また、それらの教訓を今後のソフトウェア設計に活かす機会にもなります。 「これは企業の存続にとって素晴らしい投資です」とユー氏は述べています。 副次的な効果として、非難を伴わない事後検証を行うことは、今日の組織が、将来的にサイバー分野におけるNTSB（国家運輸安全委員会）のような調査機関が設立された際に備えることにつながります。 このような機関は、偏りのない事後分析に専念し、大規模な情報漏洩事件の際に何が起きたのかを徹底的に解明することに重点を置くことで、組織内およびサプライチェーン全体におけるセキュリティの向上に寄与できるでしょう。
