出典：NicoElNino（Alamy Stock Image経由）
論説
長年にわたり、サイバーセキュリティ業界はネットワークインフラの保護に重点を置いてきました。しかし、ファイアウォールや侵入検知システムにイノベーションの焦点が当てられる一方で、運用に不可欠な他のITインフラは無防備なまま残されていました。
境界の外側では、ITインフラは企業において最も見落とされがちな攻撃対象領域の一つです。ハイブリッド環境の複雑化により、ゼロトラストの導入が妨げられ、攻撃者にとっての標的も増えています。
最近の報道では、AT&Tの大規模な情報漏洩がクラウドプロバイダーに起因していることが追跡されており、攻撃が基盤部分で発生すると、見出しを飾るような財務的損害やダウンタイム、長年かけて築いた顧客の信頼喪失といった常に存在する脅威を改めて示しています。
リスクの低減はサイバーセキュリティの課題と見なされがちですが、インフラの保護責任はセキュリティチームだけに委ねられるものではありません。常時稼働し進化し続けるシステムの管理には、企業全体での協力が必要です。情報は以下のように移動します：
-
クラウドとオンプレミス環境間
-
セキュリティチームとエンジニアリングチーム間
-
運用チームと法務チーム間
多くの場合、これらの機能間で責任が移譲される際に共通の用語や基準の理解がなく、セキュリティの脆弱性がプロセスの隙間から見逃されてしまいます。
これらのギャップを埋めるためには、チームがインフラを構築・提供・運用・保守するあらゆる段階でセキュリティを組み込む必要があります。Secure by Design（設計段階からのセキュリティ）原則は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）によって示されており、インフラセキュリティを能動的・柔軟・継続的なものにするための新たなセキュリティ管理ロードマップを示しています。
クラウドの複雑性とリスクの増大
クラウド環境はITインフラを再構築し、デジタル時代に不可欠なストレージ容量と柔軟性を実現しました。しかし、この変革は運用の複雑性も増大させました（特に大規模組織において）。
多くの多国籍・多製品企業では、ITインフラは複数のパブリッククラウド、プライベートクラウド、オンプレミス導入の多様な組み合わせとなっており、ビジネスニーズや技術の進歩に応じて環境は常に再構成されています。
もはや、単一の孤立したオンプレミスインフラを一元管理する時代ではありません。今日のインフラは動的かつ断片化されやすく、攻撃の可能性がある領域が拡大しています。IBM「データ漏洩コストレポート」2024年版によれば、全漏洩の約40％が複数環境に分散したデータに関与しています。
新たなインフラが絶えず立ち上がるハイブリッドな世界では、セキュリティチームとエンジニアリングチームは新たなプレッシャーに直面しています：
-
各導入は異なり、それぞれの環境・業界・地域ごとに変化する標準や規制に合わせたセキュリティ制御が必要です。
-
ベンチマークは継続的に評価・監視されなければなりません。
-
設定ドリフトは迅速に修正し、攻撃者より先にセキュリティを維持する必要があります。
クラウド変革によって生まれた新しいワークフローやツールがあるにもかかわらず、インフラのセキュリティ確保プロセスは、エンジニアリングとセキュリティチーム間の手作業によるやり取りでしばしば遅延します。通常、セキュリティチームが要件を記載したスプレッドシートをエンジニアに渡し、エンジニアは何をどう構築するかを自分で調査します。セキュリティが結果をスキャンすると、さらに問題が見つかり、それをエンジニアに戻します。
その結果、重要な制御が遅れて実装されるか、全く実装されないこともあります。
既存インフラの更新もまた地雷原です。エンジニアや法務チーム、サードパーティが週末にシステム作業を行い、セキュリティ制御を手動で再設定することがよくあります。こうした一時的な設定は、セキュリティチームが優先順位の競合の中でリセットし損ねると、バックドアを開いたままにしてしまうことがあります。
最善の意図があっても、コミュニケーション不足やミスが設定ミスを残します。2019年のCapital One漏洩事件は警鐘となりましたが、業界全体の問題は依然として続いています。
Secure by Design：ムーブメントの拡大
インフラの複雑性が増し、時間が重要となる中、既存のセキュリティアプローチは遅れをとっています。私たちはマルチクラウド・ハイブリッドな世界で運用しているにもかかわらず、古いプロセスは依然としてオンプレミス思考を反映しています。
ガバナンスやコンプライアンスプラットフォームはギャップの可視化には役立ちますが、それを埋める作業まではほとんど行いません。可視化は必要ですが、迅速な脅威や継続的なデプロイサイクルに対応できる修正が伴わなければ不十分です。
現代のインフラを守るには、セキュリティを全ての段階・全てのチームのワークフローに組み込む必要があり、後付けでは不十分です。サイバーセキュリティは家庭のセキュリティと似ています。ドアが開いているか、窓が開いているかを確認するだけでは不十分です。本当のセキュリティには、環境が稼働する前にドアや窓を積極的にチェックすることが求められます。
CISAがSecure by Designフレームワークを発表したことで、新たな道が示されました。ソフトウェア分野では、Secure by Designは単なる技術的な手順を超え、ソフトウェア開発ライフサイクル全体でセキュリティを優先する業界全体のムーブメントとなりました。
Secure by Designインフラは、セキュリティとエンジニアリング間の煩雑なやり取りを、ギャップを埋めエンジニアリング実践とシームレスに統合するセキュリティ制御管理の継続的サイクルへと変革します。
Secure by Designをインフラに適用することで、セキュリティを静的なガイドラインから、迅速な対応を優先する常時稼働のプロセスへと変革できます。これには、Secure by Designインフラを構築するための新たな原則が必要です。いくつかのステップは以下の通りです：
-
企業の業界、地域、環境（クラウド、オンプレミス、ハイブリッド）に合わせてセキュリティ制御ポリシーを作成・カスタマイズする。
-
独自または公開されているスキャナーを用いて制御のセキュリティ状況を継続的に評価・検証する。
-
セキュリティスキャンの結果を個別のエンジニアリングタスクとして提供し、DevSecOpsなどのワークフローに統合できるようにする。
-
ユーザーの操作、ソフトウェアの更新、脅威状況の変化などに起因する変更を迅速に修正する。
強靭なインフラの構築
CISAは旗を掲げました。今や、システム保護に関心を持つすべての人がその志を受け継ぎ、企業全体でシステムを守るために行動を起こす責任があります。Secure by Designはアプリケーションやコードだけでなく、それらを支える基盤にも拡張されなければなりません。
ここで紹介した各ステップをアジャイルなワークフローと統合し、自動化を適用することで、デプロイの加速と同時にセキュリティの強化という新たな機会が生まれます。新世代のツールは、弱点を特定し結果を示すだけでなく、攻撃者に発見される前に問題を修正するためのアクションも可能にします。
セキュリティ分野で「シフトレフト」という言葉は、できるだけ早い段階でセキュリティを実装することを技術者に求めています。ソフトウェア分野でSecure by Designが急速に普及したことに続き、セキュリティ制御管理の実践をインフラにもできるだけ早い段階で適用することで、サイバーセキュリティの戦いで見落とされがちな側面を強化できます。
著者について
Sicura アドバイザリーボードメンバー
Marene Allisonは、ジョンソン＆ジョンソンの元最高情報セキュリティ責任者（CISO）であり、10年以上にわたりグローバルなサイバーセキュリティとリスク管理を主導しました。ウェストポイント陸軍士官学校で女性が初めて入学したクラスの卒業生であり、FBIの特別捜査官やMedco Health Solutions、Avayaでのシニアセキュリティリーダー職も歴任し、2002年ワールドカップのネットワーク保護も担当しました。影響力のあるサイバーセキュリティリーダーとして広く認められており、CISO of the Yearや生涯CISO功労賞など複数の賞を受賞しています。現在はSicuraのアドバイザリーボードで戦略やガバナンスについて助言し、セキュリティ制御管理の未来を推進しています。
Sicura 最高経営責任者（CEO）
Lisa UmbergerはSicura Inc.の最高経営責任者（CEO）であり、米国国防総省（DoD）のサイバーセキュリティ政策、認証プロセス、ガバナンスツールに関する全米的な専門家です。RMF実装、ATO取得、eMASSコンプライアンス報告、新たな継続的ATO（cATO）フレームワークにおいて10年以上の実務経験を持ち、機密・非機密環境の両方でセキュリティエンジニアリングを成功裏に主導してきました。彼女のリーダーシップは、安全なDevSecOpsパイプラインの設計、リスク許容戦略に関するミッションオーナーへの助言、DoDサイバーセキュリティポリシーに沿ったコンプライアンス自動化ソリューションの調整など多岐にわたります。SicuraのCEOとして、セキュリティ制御管理（SCM）と自動化を通じてDoD組織に先進的なリーダーシップを提供しています。CEO兼セキュリティエンジニアという二重の役割により、技術的方向性が運用ニーズと取得成功にしっかりと根ざしています。
翻訳元: https://www.darkreading.com/vulnerabilities-threats/building-resilient-it-infrastructure