「 」3部作の第2回では、TaniumのCSOであるデビッド・ダマト氏が、リスクベースのフレームワークを活用して、成熟した持続可能なサイバーセキュリティプログラムを構築する方法について解説します。
サイバーセキュリティ体制を構築する際、多くの組織は予防策のみに重点を置いています。 理論上は、これは素晴らしいことのように思えます。 しかし、私の経験上、予防策のみに注力すると、かえって大規模な情報漏洩が発生する可能性が高まってしまいます。というのも、初期の予防措置を回避できた攻撃者は、その後まったくチェックされなくなるからです。
その結果、 サイバーセキュリティフレームワーク を活用して、さまざまなセキュリティ衛生管理活動 に取り組んでいない場合、トラブルを招くことになりかねません (新しいタブで開きます)。
本シリーズの「 」第1部（ ）では、現在の環境の状態を把握することが、重要なセキュリティ対策における不備を特定するのにどのように役立つかについて解説しました。 そうすることで、既存の投資を活用してセキュリティの衛生状態を改善する、即効性のある成果が得られます。 次のステップは、最先端のサイバーセキュリティ・フレームワークを採用し、セキュリティ・ハイジーンのあらゆる分野を含むサイバーセキュリティ活動を包括的に取り組むことです。
フレームワークを利用することには、次のような多くの利点があります：
- 予防や検知だけでなく、関連するセキュリティ対策全般において、活動のバランスが取れていることを確認すること；
- あらゆる組織の成長や変化に合わせて柔軟に対応できる仕組みを提供し；
- さまざまな法的および規制上の要件への対応を容易にし、さらに；および
- 同様のフレームワークを使用している仲間とより円滑にコミュニケーションを図れるよう、共通の用語の確立を支援します。
選択肢となるフレームワークは数多くあります。 代表的な例としては、 、NISTサイバーセキュリティ・フレームワーク（CSF）、 、ISO 27001、および 、COBITなどが挙げられます。
サイバーセキュリティのフレームワークを活用して、基本的なセキュリティ対策を包括的に実施する
主要なサイバーセキュリティ・フレームワークは、情報セキュリティ・プログラムを構成する幅広い活動に対応しています。 これには、システムやソフトウェアの資産管理や、システムへのパッチ適用を適時に行うことなど、基本的なセキュリティ対策が含まれます。
サイバーセキュリティのフレームワークを導入するにあたり、ほとんどの組織では、ギャップ評価、リスク評価、および導入計画を実施することになります。 ギャップ評価は、定義されたフレームワークに基づいて、情報セキュリティ対策の現状を把握するために用いられます。 すでに、 （）のCIS重要セキュリティ対策や、SANS Top 20（）に基づいてギャップ分析を実施されている場合は、作業の一部がすでに完了していることがお分かりいただけるでしょう。 その結果、自社の情報セキュリティプログラムの現状に加え、定義されたフレームワークとの照らし合わせによる主な弱点や不備を把握することができます。 次のステップは、リスク評価を実施し、特定のセキュリティインシデントが発生する可能性と影響を特定することです。 リスク評価の結果によって、組織が目標状態をどのように定義するかが決まります。 ギャップ分析とリスク評価が完了した段階で、実施計画では、組織が現状から、定義されたリスクプロファイルに沿った目標状態へとどのように移行するかを定めます。
どのような導入計画においても、その3つの主要な構成要素は、人材、プロセス、そして技術です。 目標とする状態を実現するには、適切な人材とスキルが必要となります。 十分に文書化され、実践されているプロセスにより、活動が再現可能であり、リスクを十分に考慮したものとなることが保証されます。 しかし、テクノロジーこそが、重要な業務の自動化を通じて人とプロセスを統合し、業務の効率化を促進し、チームの規模拡大を可能にすることで、これらすべてを真に結びつけるのです。
サイバーセキュリティ体制に適したテクノロジーへの投資
新たなセキュリティ投資を行う際、多くの組織は、ニーズの優先順位付けや、そのニーズに対応するための適切な技術の選定に苦労しています。
特定のニーズにおける「リスク」と「依存関係」という2つの要素を考慮することで、セキュリティへの投資の優先順位を決定することができます。 実施されたリスク評価に基づき、リスクの高いニーズを最優先にしてください。 しかし、多くの組織と同様、おそらく「高」リスクの項目が多数あることでしょう。 「高」リスクの優先順位を決定するにあたり、組織は依存関係や前提条件となる要件を考慮すべきです。
依存関係は、マズローの欲求階層説に似ており、他のより上位の機能を正常に実行するために必要な機能を指します。 例えば、資産管理データベースや脅威ハンティングプログラムが機能していないと仮定すると、それはビジネスにとって重大なリスクとなります。 この場合、セキュリティチームが防御対象となっている資産を十分に理解するまでは、効果的な脅威ハンティングプログラムを構築することはできません。
多くの意思決定者が直面する2つ目の課題は、与えられた枠組みの中で、必要な機能を実現するための適切な技術をどのように選定するかということです。 POCの一環としてのテスト要件にとどまらず、意思決定者は、既存および提案されている技術を、選定されたフレームワーク内の各機能と整合させる必要があります。 ソリューションの中には、フレームワークの多くの構成要素に対応しているものもあれば、単一のアクティビティのみを満たすものもあるでしょう。 目標とするのは、最も多くのニーズに対応し、かつ必要な目標能力を達成できる態勢を整えることができるソリューションを、できるだけ少ない数に絞って投資することです。
なぜ私は、解の数を制限することにこれほど重点を置いているのでしょうか？ 理由は単純です。ソリューションを過剰に購入するとコストがかさみ、複雑さが増します。特に、ツールの機能や性能にかなりの重複がある場合にはなおさらです。 複雑化は、攻撃対象領域を拡大することでリスクを高め、スタッフの負担を増大させ、サポートコストを押し上げ、統合が必要なデータのサイロ化を招きます。
お客様がTaniumを活用して、サイバーセキュリティフレームワークに対応し、セキュリティ衛生状態を改善している方法
当社の顧客は、一般的にセキュリティ・ハイジーンの一部と見なされる活動にとどまらず、主要なフレームワークで定められた要件の多くに対応するためにTaniumを活用しています。 全体として、Taniumは、 （）、NIST Framework Core（）、 、およびISO 27001で特定された5つの機能すべてにおいて必要とされる機能に対応しています。 Taniumは、以下の例が示すように、組織が主要なサイバーセキュリティフレームワークの主要な構成要素に準拠できるよう支援します：
- ある大手金融機関は、 （）、Tanium Discover（）、 を活用し、資産およびソフトウェアのインベントリの精度を大幅に向上させました。
- あるエンターテインメント企業は、 （）、Tanium Comply（）、 を活用し、定義されたセキュリティベースライン構成基準に基づいて脆弱性や逸脱を特定・是正することで、 のエンドポイントセキュリティ（ ）を強化しました。
- ある大手健康保険会社は、 のTanium Core（ ）を活用し、ワークステーションやサーバー上で不適切な権限を持つドメインアカウントを特定することで、攻撃者による横方向の移動の可能性を低減しました。
- の主要小売業者である は、 の「Tanium Detect」（ ）および の「Tanium Trace」（ ）を活用し、インシデントの調査と是正のスピードを向上させました。これにより、対応担当者はインシデントの検出から修正までを1時間以内に完了できるようになりました。
- ある政府機関は、 Tanium Patch を活用し、グローバルネットワーク全体に存在する数万件の脆弱性を特定し、迅速に修正を行いました。
持続可能で成熟したサイバーセキュリティプログラムを構築するには、業界をリードするフレームワークに沿った取り組みが必要です。 Taniumは、拡大を続ける製品ポートフォリオを通じて、顧客がサイバーセキュリティフレームワークで定義された多くの取り組みに対応できるよう支援するとともに、複数のソリューションをサポートする際の複雑さやコストを削減します。
このシリーズの「 」、「パート1」、「 」でご紹介した手順を参考に、すでに取り組みを始めておられ、セキュリティ・ハイジーンに対処するためのサイバーセキュリティ・フレームワークに沿った投資方針について検討されていることを願っております。 私のブログ「 」（）の次の記事（ ）では、有意義かつ測定可能なパフォーマンス指標を用いて、継続的な衛生管理活動の効果を継続的にモニタリングする方法について解説します。
著者について：最高セキュリティ責任者（CSO）として、デビッド・ダマト氏は、Taniumプラットフォームのモジュール開発に関する戦略的な製品方針を策定するとともに、同社の社内セキュリティプログラムを統括しています。 デビッド氏は、インシデント対応やフォレンジック、脆弱性評価、セキュリティプログラムの策定、セキュリティ運用、さらにはネットワークおよびセキュリティアーキテクチャに至るまで、幅広いセキュリティの専門知識をタニウムにもたらしています。 Tanium入社前は、FireEye傘下のMandiantでマネージング・ディレクターを務めており、同社のチームを率いて、フォーチュン 500 社にランクインする100 社以上において、インシデント対応および情報漏洩後の是正措置を主導しました。 マンディアント社では、デビッドは新たなインシデント対応サービスの機能開発や、国内外におけるコンサルティングオフィスの設立においても重要な役割を果たしました。 マンディアート入社以前、デビッド氏はPwCのワシントン連邦政府業務部門においてセキュリティコンサルティングチームを率い、またレイセオン社では、社内ネットワークおよび政府ネットワークの管理に重点を置いたIT関連の職務に従事していました。 デビッドは、業界のイベントやメディアを通じて、自身の専門知識や洞察を頻繁に発信しています。
