サイバーレジリエンスとは、攻撃や自然災害、その他のサイバーインシデントが発生しても、組織が業務を継続し、復旧する能力を指します。 サイバーレジリエンス計画は、サイバーセキュリティ、IT、および事業継続の概念を統合し、ミッションクリティカルな情報システムおよびそれに依存するコンポーネントを保護するものです。
レジリエンスを向上させることで、組織はデータ漏洩やその他の事業中断といった潜在的な攻撃に備え、先手を打つことができ、システム、プロセス、インフラが堅牢かつ適応力のある状態を保つことができます。 また、ダウンタイム、評判の低下、金銭的損失といった悪影響を軽減するための復旧対策も含まれています。
「これって、単に組織のサイバーセキュリティへの取り組みを説明しているだけではないのか？」と疑問に思われるかもしれません。 はい、ともいえ、いいえ、ともいえません。 サイバーセキュリティに関しては、私たちが使用する用語の重要性がますます高まっています。 多くの場合、それらは複雑な問題を説明するための近道となります。
「」 しばしば同じ意味で使用される2つの用語として、「サイバーセキュリティ」と「サイバーレジリエンス」があります。 しかし、この区別は「 2024 」以降、ますます重要になっていくでしょう。”Forbes1
キャリアの初期の頃、プロジェクトの要件に関する会議で、緊張した1時間を過ごしました。 しかし、ある簡単な質問が、その緊張をすべて和らげてくれました。「『X』とはどういう意味ですか？」 さて、結局のところ、両グループは同じ単語に対して異なる定義を持っており、また、相手グループが指しているものに対しては異なる単語を使っていたことがわかりました。 その経験と疑問は、特に用語の意味が絶えず変化している今日の脅威情勢に関する問題について議論する際、大いに役立っています。
さて、私が最近はできるだけ使わないようにしている言葉やフレーズがいくつかあります。例えば、「threat hunting」や、「Zero Trust」といったものです。 それらを使う必要がある場合は、誤解を避けるため、まずその言葉が相手にとってどのような意味を持つのかについて話すことから始めます。
「サイバーレジリエンス」という言葉も、定義が必要になってきている表現の一つになりつつあることに気づきました。 この記事では、サイバーレジリエンスとは何か、その主要な構成要素、そしてその重要性について解説します。 また、組織が5つの基本的な問いを自問することで、サイバーレジリエンスを向上させる方法についても概説いたします。 それでは、1つのプラットフォームに一元化されたリアルタイムのエンドポイントデータを活用することが、単一の信頼できる情報源を用いてチーム間の連携を図る上でいかに不可欠であるかを強調し、この記事を締めくくりたいと思います。
サイバーレジリエンスの定義
私が「サイバーレジリエンス」と言うとき、それは、組織が、業務に深刻な支障をきたすようなサイバー攻撃を受けたにもかかわらず、引き続きその目標を達成し続ける能力を指しています。 率直に申し上げると、サイバーレジリエンスは、インシデントの検知というよりも、災害復旧戦略との共通点の方が多くあります。
サイバーレジリエンスとは、自社の重要なビジネスプロセスと、それを支えるシステムを理解することを意味します。 これには、自社の環境内にどのようなマシンが存在するか、またビジネスプロセスやサイバーセキュリティ・スタックの両方に必要なツールについて把握することが含まれます。具体的には、それらの設置場所や、サイバーセキュリティ・スタックのどの部分が欠落しているかといった点です。
「レジリエンス対策は、攻撃に成功された場合でも業務の継続性を確保することを目的としています。 データ損失とダウンタイムを最小限に抑えつつ、機敏に復旧する能力を構築することは、 2024における戦略的優先事項となります。」Forbes1
効果的なサイバーレジリエンス計画の主要な構成要素について、詳しく見ていきましょう。 これらの要素は、組織がサイバー脅威に耐え、迅速に復旧できるようにするために不可欠です。
サイバーレジリエンス計画の主要な構成要素
私の考えでは、サイバーレジリエンス計画に必要ないくつかの要素は、個別に活用しただけでは、レジリエントなシステムを構築することはできません。
- インシデント対応計画: どの組織も、情報漏洩が発生した際の是正措置に関する計画を策定しておくべきです。 例えば、誰に、いつ連絡を取る必要があるか、といったことです。 主な連絡先が個人の場合、その方が連絡が取れないときは、誰が代理として指定されていますか？ 是正措置のために外部の業者を招き入れる場合、誰が、どのような方法で連絡を取るのでしょうか？ 情報漏洩が発生した場合、どのような報告義務が存在するのでしょうか。また、報告義務の適用基準を満たしているかどうかを判断する責任は誰にあるのでしょうか。さらに、実際に報告を行うのは誰なのでしょうか。 その事案が情報漏洩の段階に至らない場合、どのような対応が必要であり、誰に報告すべきでしょうか？
- 多層防御： 複数のセキュリティ層を設けることは、システムの回復力にとって極めて重要です。 1つのエンドポイントのデータだけを見てしまうと、ネットワークデータやアカウントの利用状況における異常といった点を見逃してしまうことになります。 検知機能に重複を持たせることで、ある種類の検知が失敗したり無効化されたりした場合でも、攻撃者が貴社のコンピューティング環境内を自由に移動できないようにすることができます。
- 重要資産リスト： ご自身の環境における資産の重要性を理解することは、その保護に携わるすべての人にとって不可欠な知識です。 隔離処理を行う前にフェイルオーバーが必要なシステムがある場合、そのマシンに影響を与える可能性のあるすべての関係者には、この情報が必要となります。 そのことをあらかじめ把握しておかないと、ディフェンダーは日常業務の中で、意図せずしてビジネスに損害を与えてしまう可能性があります。
- 継続的な監視と検知： 環境における悪意のある活動を監視することは極めて重要です。 これは、EDR によるの監視だけではありませんが、それもその一部ではあります。 ご自身の環境において何が「正常」であるかを把握し、その基準からの変化を探ることは、極めて重要な手法となり得ます。 例えば、自動起動やサービスの状態を確認することで、EDRでは検知できない悪意のある活動を突き止めることができます。 さらに、重要なデータがどこにあり、どこにあるべきかを把握しておくことも重要です。 データ保護計画を策定し、誰がデータにアクセスできるか、またそのデータがどのように扱われているかを確実に把握しておくことで、回避できる脅威はますます増えています。
- リスク管理： ご自身のリスクを把握することは極めて重要です。 これには、リスクの内容だけでなく、そのリスクにどのように対処するかという点も含まれます。 リスクの中には軽減できるものもありますが、受け入れざるを得ないものや、何らかの形で補う必要があるものもあります。 コンプライアンスチェック、パッチ管理、および脆弱性スキャンは、自社のリスクを把握する上で極めて重要です。
- バックアップおよび復旧計画： データのバックアップは極めて重要です。 しかし、バックアップがあるだけでは不十分です。復旧計画も同様に重要です。 この計画では、データをどのように復旧させるか、また、そのデータに依存するシステムが正常に稼働し、セキュリティが確保されるようにするための措置について記載する必要があります。
- セキュリティスタックの位置づけ： すべてのツールが、企業のあらゆる部門に導入されるわけではありません。 セキュリティツールを導入できないOTシステムが存在する可能性があります。 ツールはアプライアンスに展開できません。 軽量で「短命」なコンテナやIoTデバイスには、セキュリティスタックを組み込むことができない場合があります。 セキュリティスタックのどの部分に不足があるかを把握することは、セキュリティチームにとって極めて重要です。なぜなら、チームはそれらのデバイスにおけるツールの不足を補わなければならないからです。
- テスト： もちろん、プロセスや手順を策定するだけでは不十分です。 これらの手順は、危機発生時にも確実に機能し、組織のサイバーレジリエンスを支えることができるよう、定期的にテストおよび検証を行う必要があります。
[関連記事：NIST、GDPR、その他一般的な規格を含む、サイバーセキュリティフレームワークとコンプライアンスに関するわかりやすいガイド]
真にサイバーレジリエンスを備えたシステムを設計することは、しばしばほぼ不可能な課題のように感じられるかもしれませんが、サイバーレジリエンス戦略に必要な要素や、レジリエンスを高めるための手順をじっくりと検討することは、全体的なセキュリティ態勢の向上やサイバー脅威に対する防御力を高める上で、依然として価値のあることです。
サイバーレジリエンスはなぜ重要なのでしょうか？
システムの耐障害性が高ければ高いほど、攻撃によるダウンタイムは平均して短くなります。 とはいえ、システムを停止させなければならないからといって、そのシステムに回復力がないというわけではありません。
インシデント発生時に重要なシステムを稼働させ続けることができない場合でも、そのプロセスに何が含まれているか、またそれを完了させるために何が必要かを把握しておけば、ダウンタイムを短縮することは可能です。 そうすれば、防御策の優先順位を付け、どこに抜け穴があるかを特定することができます。
システムのレジリエンスを高めるには、さまざまな方法があります。その例としては、攻撃に対する脆弱性の低減、攻撃対象領域の縮小、 攻撃者が横方向に移動する能力の抑制、、侵入の検知にかかる時間の短縮、および侵入への対応にかかる時間の短縮などが挙げられます。
[関連記事：サイバーレジリエンスにおいて「レフト・オブ・バング」戦略が有効な理由]
サイバーレジリエンス計画を効果的に機能させるためには、自社の環境、それが業務プロセスに与える影響、そして事業継続を確保するための組織の能力について、しっかりと理解しておく必要があります。
組織はどのようにしてサイバーレジリエンスを向上させることができるでしょうか？
こうした目標を踏まえて、どこから始めればよいでしょうか？ サイバーレジリエンス戦略を改善するためには、まず以下の5つの基本的な質問を自問し、それに対処することから始めるとよいでしょう：
- 御社の重要な業務プロセスにはどのようなものがありますか？ 一般的に、これらは収益を生み出すプロセスであり、たとえ短期間であっても停止すると、事業運営に支障をきたし、経済的損失につながります。 これらのプロセスの実行を支えている重要なインフラやシステムには、どのようなものがありますか？ これらのシステムを停止させた場合、どのような重要な業務プロセスに影響が出るでしょうか？
- 認証や、 のアイデンティティ・アクセス管理（IAM）システム（）など、で提供される重要な機能を提供する外部サービスを活用されていますか？ たとえば、IAMが外部ホスト型サービスの一部である場合、そのサービスに接続できなくなったときはどうなるでしょうか？ IAMシステムやジャンプサーバーがなくても、プロセスの実行自体は継続できるかもしれませんが、それらのシステムへのアクセスや、それらに関するレポートの作成には、IAMが必要になる可能性があります。
- どのようなシステムは本質的に回復力に欠けるのでしょうか？ 交換できない40年前のハードウェア上で重要なプロセスが稼働している場合、そのシステムは回復力に欠けます。
- 重要なユーザーは誰ですか？ 重要なユーザーやサービスアカウントを無効にする必要がある場合、どのような影響がありますか？
- ビジネスプロセスを新しい環境へ移行する必要がある場合、それを実現するためにはどのような作業が必要でしょうか？ これには、どのようなプロセス、ソフトウェア、アカウントが必要かを把握し、成功の度合いをどのように測定するかを決定することが含まれます。
[関連記事：ITレジリエンスを構築するためのベストプラクティス]
「」によると、80％の企業が、変化し続けるサイバーセキュリティ環境の中で回復力を維持できる能力について、ある程度から非常に自信を持っているとのことです。 この数字は昨年より減少しているものの、企業が脅威の状況を乗り切る能力に対して過信しており、直面している課題の真の規模を適切に評価できていないことを示唆するギャップを浮き彫りにしています。”シスコの「 2024 サイバーセキュリティ準備度指数」
サイバープロセスのレジリエンスを構築するのは大変な作業かもしれませんが、重要なシステムやプロセスを特定することには、非常に大きなメリットがあります。 これにより、インシデント対応計画を含め、何をどのように監視すべきかという判断に役立てることができ、サイバーインシデントに対して先手を打って防御する能力を高めることができます。
回復力のある組織がリアルタイムのエンドポイント可視性を必要とする理由
情報セキュリティにおける多くの取り組みと同様に、サイバーレジリエンスの向上は、自社のエコシステム全体をより深く理解することから始まります。 なぜですか？ インシデントが発生する前に、システムへの理解を深めるための対策を講じ、組織のサイバーレジリエンスの枠組みを十分に検討しておくことで、インシデント発生時にしばしば生じるダウンタイムや不確実性、パニックを軽減するための緩和策や復旧計画を実施することが可能になります。
すべてのエンドポイントについて、より包括的かつ詳細な可視性をリアルタイムで得ることで、組織は以下の点を迅速に把握することができます：
- エンドポイントにはどのようなツールが導入されており、それらはどのような目的で利用されているのでしょうか？
- 各デバイスには、セキュリティスタックのどのコンポーネントが搭載されており、環境内のどこに配置されていますか？
- エンドポイントの更新やセキュリティ確保の妨げとなるような、可視性や制御が不十分な環境の箇所はありますか？
[関連記事：御社の企業は「サイバーレジリエンス」を備えていますか？] おそらくそうではないでしょう。 他の掲示板では、次のように対処しました]
サイバーインシデントに関する可視性が欠如している場合、そのシステムを強靭なものにしたり、復旧を優先させたりすることはできません。 可視性がなければ、変化をコントロールしたり、変化をもたらしたりすることはできません。 したがって、自社の認知度が高い分野と低い分野を把握することが不可欠です。
Taniumがサイバーレジリエンスの向上をどのように支援するか
レジリエンスは「すべてか、まったくか」というものではありません。攻撃を受けている間も完全な機能を維持できる、完全にサイバーレジリエントなシステムを、私はこれまで見たことがありません。むしろ、サイバーレジリエンスを「目指すべき目標」として捉えることが有益であり、組織がその達成に向けて取り組みを行うことにこそ、その価値があるのです。
のTaniumプラットフォーム（ ）は、サイバーレジリエンス戦略のほぼすべてのレベルにおいて実行に必要な機能を提供します。 自社の環境を理解することは、あらゆるサイバーレジリエンス戦略の出発点となります。 「現在、特定のソフトウェアがインストールされているエンドポイントがいくつあるか」といった質問への回答は、数秒で得ることができます。 環境の状態を変更するのも、同様に簡単です。 たとえば、ソフトウェアがインストールされているすべてのマシンでレジストリキーの値を設定することも、簡単な作業になります。 また、Taniumを含むセキュリティスタックが導入されていないマシンを特定することも、はるかに容易になります。
インシデントの対応にかかる時間を迅速に短縮できるほか、調査で得られた知見を活用して、問題の再発を防ぐための新たな検知ルールを開発・導入することが可能です。 これは、Taniumの迅速なデータ収集機能を活用し、稼働中のシステムデータを分析することで、お客様の環境内に何が存在しているかを把握するとともに、Tanium独自の形式およびYARAルールやIOCなど、標準的な脅威インテリジェンス形式（ ）によるを配信することを可能にするものです。 また、エンドポイントの状態を変更することで、影響を受けたエンドポイントを迅速に隔離し、復旧させることができます。
その他にも、ソフトウェアを可能な限り最新の状態に保つためのパッチ適用やソフトウェア展開機能など、リスク状況を改善する重要な機能がいくつかあります。 また、脆弱性やコンプライアンスのチェック機能も、お客様の環境にとって最大のリスクを把握する上で重要な役割を果たします。 このデータは、Taniumが利用可能な他のデータと統合され、エンドポイント向けの重要な リスクスコア（ ）を提供します。これにより、環境の現状に基づいて課題の優先順位付けが可能となり、業界のベンチマークと比較することで、自社の環境がどの程度位置づけられているかを確認することができます。
おそらく最も重要な点は、これらすべてを自動化し、他のツールと統合できることです。これには、Tanium内で直接ビルディングオートメーションを構築することや、堅牢なAPIを通じてそれらやその他の機能を利用することも含まれます。 さらに、Taniumから 、Microsoft Sentinel 、、SplunkなどのSIEMや、 、ServiceNow といったシステム・オブ・レコードへデータをエクスポートすることができます。これにより、データがTanium内に閉じ込められることなく、最も活用できる場所で利用できるようになります。
から、無料の個別デモをご依頼ください。Taniumが、お客様のサイバーレジリエンスに関する課題の解決にどのように役立つか、ぜひご確認ください。
