セキュリティ・ハイジーン は、人によってその意味が異なります。 このため、セキュリティ衛生管理に取り組むことは、大変な作業になりかねません。 3回にわたるブログシリーズの最終回では、TaniumのCSOであるデビッド・ダマト氏が、何を測定すべきか、そしてその理由について指針を示しています。
最先端の情報セキュリティプログラムを導入した後、多くの組織は「任務完了」と宣言します。 その結果、セキュリティプロセスや技術的対策は、時間の経過とともにその効果が低下したり、あるいは意味をなさなくなったりし、組織は変化するリスクに対応できなくなってしまいます。 セキュリティ対策に優れた企業は、自社のプログラムに脆弱性がないか継続的に監視し、既存の対策措置を絶えず改善しています。
本シリーズの「 」、「パート1」、「 」では、セキュリティ・ハイジーン・プロセスの評価段階について解説いたしました。 『 』（）の第2部（）では、先進的な情報セキュリティプログラムに沿うことが、セキュリティ投資のバランスを保ち、さまざまな法的および規制上の要件を満たし、将来の成長を管理するための柔軟な枠組みとして機能する方法について解説しました。 次のステップは、プログラムが引き続き効果的かつ適切であることを確認するために、継続的に評価を行うことです。
セキュリティ・ハイジーン：対策、測定指標、および主要業績評価指標（KPI）
測定値、指標、KPIの違いについては、業界内で多くの議論がなされています。 一般的に言えば、これらはすべて関連しているものの、それぞれ異なります。 測定値とは、単にデータの一点に過ぎません。 例としては、脆弱性やインシデントの件数などが挙げられます。 指標とは、測定の一種ですが、さらに一歩進んで、進捗状況やパフォーマンスを示すものです。 例えば、指標としては、完了したセキュリティポリシーの総数を、定義された目標（例： 50 件の特定のポリシー）と比較するものなどが挙げられます。 KPIとは、要するに、重要なビジネス目標に沿った重要な指標のことです。 例としては、組織が重要なパッチを適用するのに要する中央値の時間が挙げられます。これは、測定可能なリスクにつながります。
どのような呼び方をしても、優れたセキュリティ対策には常に以下の点が求められます：
- 測定しようとしている対象について、関連性があり、有意義な洞察を提供してください；
- 実行可能なものにしましょう。明確かつ具体的な行動によってその指標に影響を与えることができないのであれば、その指標を測定する価値はないかもしれません。
- 長期的に測定可能であり、経営陣が進捗状況を把握できるようにすること；および
- 競争優位性が重要となる業界において、同業他社と肩を並べられるようにすること。
多くの組織では、上記の要件を満たさない測定指標が使用されています。 NIST 800-55 （新しいタブで開きます） では、脆弱性修正プロセスの有効性を判断するための測定指標として、次のような例が挙げられています。「パッチが適用された、あるいはその他の方法で緩和措置が講じられた、企業のオペレーティングシステムの脆弱性の割合。」 このような測定における課題は、特定のベンダーがリリースしたパッチの数や、組織が脆弱性に対して迅速にパッチを適用できる能力に、最も大きく左右されるという点です。 このため、この測定値について経時的な傾向を把握することは難しく、また、用途や関連する脆弱性の数が異なる可能性のある同業他社との比較も容易ではありません。
サイバー衛生：パッチ適用の有効性の測定
パッチ適用（すなわち、脆弱性の修正）の効果を測定する上で有効な手法の一つは、ソフトウェアの脆弱性を修正するまでにかかる時間の中央値です。 つまり、「当組織が重要なパッチの修正を完了するまで、どれくらいの時間がかかるのでしょうか？」ということです。 このアプローチにより、リスクの低減という私たちの最終目標を正確に測定することができます。 重大な脆弱性へのパッチ適用に時間がかかるほど、組織が直面するリスクは高まります。 傾向は容易に把握でき、時間の経過に伴う改善や悪化の詳細がわかります。 また、この測定結果は、同業他社やベンチマークと比較することも可能です。
セキュリティプログラムの有効性を最も幅広く、かつ的確に把握できる、確立された測定指標のその他の例としては、次のようなものがあります：
- セキュリティインシデントの検出から是正までの平均所要時間。 これは、検知やインシデント対応に関連するパフォーマンス活動を評価するのに最適な方法です。
- 検出イベント総数に対する偽陽性の割合。 これにより、スタッフがどのように時間を費やしているのかがわかります。
- 定義されたベースライン構成基準に合致するシステムの割合。 これにより、構成管理プログラムの有効性や、誤った構成によるリスクを把握することができます。
- 運用資産の割合。 これにより、 資産管理ソリューション（ ）の有効性や、未知のデバイスがもたらすリスクについて、洞察を得ることができます。
現在、これらの測定値を使用していなくても、ご心配はいりません。 上記の対策には、成熟したプロセスと技術的な管理措置が必要となります。 文書化されたインシデント対応体制が整っていなければ、インシデントの復旧にかかる平均時間を追跡することは期待できません。 そのような場合は、まずはより簡単な測定から始め、時間をかけて改善していくことを目指しましょう。 測定がまったくないよりは、多少でも測定したほうがいいのです。
お客様がTaniumを活用してパフォーマンスを測定・改善する方法
多くのお客様が、当社の通信プラットフォームが提供する即時的かつ拡張性の高い可視性を活用し、Taniumを用いて自社のセキュリティプログラムのパフォーマンスを測定しています。 簡単な測定項目としては、適用されていない重要なパッチの数、誤ったホストベースのファイアウォール設定、あるいはフルディスク暗号化（FDE）が適用されていないノートパソコンなどが挙げられます。 より高度なお客様は、Taniumを活用して、 に基づく「 」の脆弱性に対する修復までの所要時間の中央値や、 に基づく「検出から修復までの平均時間（MTTR）」 を測定するために必要なデータの収集を行っています。
「セキュリティ・ハイジーン」の意味は、人によって異なります。 このため、セキュリティ衛生管理に取り組むことは、大変な作業になりかねません。 この「 」と題した3回シリーズのブログ記事（ ）が、セキュリティ・ハイジーンのあらゆる側面を体系的に対処するための行動計画をどのように構築すべきかについて、参考になれば幸いです。 セキュリティの衛生管理もまた、継続的な取り組みです。 ある時点を選んで、衛生管理の成果を測定することができますが、その取り組み次第で、その成果は時間の経過とともに増減していくものです。 Tanium なら、セキュリティ衛生状態の測定を開始するのに役立ちます。
セキュリティ・ハイジーンについてさらに詳しく知りたい方は、以下の記事をご覧ください：
- IT部門がセキュリティの日常管理で失敗している理由
- セキュリティ・ハイジーンの3つの段階：評価
- セキュリティ・ハイジーンの3つの段階：フレームワーク
- NISTのサイバーセキュリティ・フレームワークの更新では、サプライチェーンと指標が重視されています
著者について：最高セキュリティ責任者（CSO）として、デビッド・ダマト氏は、Taniumプラットフォームのモジュール開発に関する戦略的な製品方針を策定するとともに、同社の社内セキュリティプログラムを統括しています。 デビッド氏は、インシデント対応やフォレンジック、脆弱性評価、セキュリティプログラムの策定、セキュリティ運用、さらにはネットワークおよびセキュリティアーキテクチャに至るまで、幅広いセキュリティの専門知識をタニウムにもたらしています。 Tanium入社前は、FireEye傘下のMandiantでマネージング・ディレクターを務めており、同社のチームを率いて、フォーチュン 500 社にランクインする100 社以上において、インシデント対応および情報漏洩後の是正措置を主導しました。 マンディアント社では、デビッドは新たなインシデント対応サービスの機能開発や、国内外におけるコンサルティングオフィスの設立においても重要な役割を果たしました。 マンディアート入社以前、デビッド氏はPwCのワシントン連邦政府業務部門においてセキュリティコンサルティングチームを率い、またレイセオン社では、社内ネットワークおよび政府ネットワークの管理に重点を置いたIT関連の職務に従事していました。 デビッドは、業界のイベントやメディアを通じて、自身の専門知識や洞察を頻繁に発信しています。
