ウォルマートが実践する「トラステッドエージェント」方式のパープルチーミング

多くの組織はレッドチームとブルーチームの間に生じる本質的な緊張関係に苦慮しています。攻撃側のセキュリティテスターと防御側のオペレーターがそれぞれ孤立して活動したり、時には敵対的な関係に陥ったりすることも珍しくありません。しかしウォルマートは、この力学を根本から作り直しました。同社でセキュリティオペレーション部門のグローバル担当バイスプレジデントを務めるジェイソン・オデル氏は、両チームを厳格に分離したまま個別に演習を行う従来型のモデルでは得られる効果が限られるうえ、チームの士気や組織全体の学習効果をむしろ損なう可能性があると認識しています。

オデル氏はこの課題に対し、セキュリティオペレーション内で信頼関係と心理的安全性を築くことに重点を置いて取り組んでいます。パープルチーミングを変革することで、勝ち負けを競う対立的な図式から、協働的な学習環境へと転換したのです。チームを物理的に同じ場所に配置し、「トラステッドエージェント（信頼された観察者）」による監視モデルを導入し、個人の勝利よりも組織全体の改善を重視することで、ウォルマートは攻撃側・防御側双方の担当者が継続的にスキルを高め合えるセキュリティオペレーション文化を築き上げました。そして両者の成長が合わさることで、会社全体のセキュリティ態勢も向上しています。以下にその具体的な手法を紹介します。

オペレーション内で学習と信頼を築く

オデル氏の成功の根底にあるのは、組織内における人間関係です。一体感を持たせるという姿勢は、彼がセキュリティオペレーションにおけるパープルチーミングをどのように構築しているかにも表れています。この取り組みには、机上演習（テーブルトップエクササイズ）、攻撃シミュレーション、敵対者エミュレーションが含まれます。

企業によっては、防御側（ブルー）と攻撃側（レッド）のチームを厳格に分離したまま維持するところもあれば、両方を担う「パープルチーム」を編成するところもあります。オデル氏のアプローチはさらに踏み込んでおり、チームメンバーが演習をどう感じるかという点を重視しています。チームをチームにぶつけることで自然に生じる「本質的な摩擦」を乗り越える信頼関係を築くことが重要だと同氏は説明します。演習の勝ち負けが目的ではないということを、組織文化として徹底して伝える必要があるといいます。

「その認識を変える必要があると思います」とオデル氏は語ります。「『このキャンペーンや取り組みの結果として、組織にとって最良の価値をもたらし、自分たちがより良くなれたかどうか』を大切にできるよう、彼らにとって安全な環境を作らなければなりません」

オデル氏はレッドチームとブルーチームの両方を同じ事業部門・同じ物理的な場所に統合し、パープルチーミングに「トラステッドエージェント」モデルを採用しました。本格的な敵対者エミュレーションを実施する際には、観察者がそのキャンペーンを見守ります。例えば、ブルーチームのメンバー2名がレッドチームと一緒に座り、レッドチームが攻撃活動を行う様子を見ながら、テレメトリやログ、検知が実際にリアルタイムで機能しているかを確認します。彼らはまた、演習中にレッドチームが事業に損害を与えないよう守る役割も担います。

「ブルーチームの仲間にヒントを漏らさない、優秀なブルーチームメンバーさえいれば、これは非常にうまく機能します」とオデル氏は述べます。

レッドチームが攻撃するだけでレポートを提出して終わりであれば、「そこから得られる価値はわずかなものです」と同氏は言います。しかし、レッドチームの担当者がブルーチームに対して「どうすればさらに厄介な攻撃にできるか」を伝えるようになると、演習の力学そのものが変わるとオデル氏は述べます。

「それによってレッドチームはどうなるでしょうか。方向転換を迫られるのです」とオデル氏は語ります。「時間が経つにつれて、レッドチームとブルーチームの両方が少しずつレベルアップしていき、それが組織に価値をもたらします。両方のチームが成長しているからです」

この方式は人材の定着にも大きく貢献しています。両チームとも、常に学ぶべきことがあると感じられるからです。

Walmart Leaders Transform Security Operations Without Going Bananasは、ウォルマートがセキュリティオペレーション戦略全体をどのように変革してきたかを伝える完全版の記事です。経営層とのコミュニケーションに対するオデル氏のアプローチ、セキュリティの価値と業務上の摩擦のバランスを取るためのフレームワーク、そしてセキュリティを事業の推進力として位置づける同氏の哲学についても取り上げています。