WorkNest Secure、レッドチーミング分野でCREST STAR-FS認定を取得

WorkNest Secureは、金融サービス向けの脅威ベース攻撃シミュレーション・対応評価「CREST Simulated Targeted Attack & Response for Financial Services（STAR-FS）」の認定を取得しました。高リスクで規制の厳しい環境で事業を営む組織に対し、インテリジェンス主導のレッドチーム評価を提供できる能力が認められた形です。

今回の認定は、WorkNest SecureがCRESTの定める脅威主導型ペネトレーションテストの基準を満たしていることを示すものです。現実的な攻撃シナリオを用いて、組織が高度なサイバー脅威をどの程度効果的に防御・検知・対応できるかを評価します。

STAR-FSは、イングランド銀行、健全性規制機構（PRA）、金融行動監視機構（FCA）と共同で開発されました。金融機関が、重要な業務サービスの耐性を現実的なサイバー攻撃に照らして評価できるよう設計されています。

従来のペネトレーションテストを超えて

従来のペネトレーションテストは技術的な脆弱性の特定に重点を置きます。これに対してレッドチーミングは、執拗な攻撃者が組織の人、プロセス、テクノロジーをどのように狙うかを模擬する、より広範なアプローチです。

STAR-FSの評価では、商用の脅威インテリジェンスを活用し、実在する脅威アクターの戦術・技術・手順（TTP）に基づいたシナリオを作成します。このシナリオを使って、組織のセキュリティ対策、検知能力、インシデント対応プロセスをテストします。

目的は、弱点の所在を明らかにするだけではありません。攻撃者がそれを突こうとした場合に、組織がどれだけ効果的に対応できるかも見極めます。

WorkNest Secureのマネージングディレクターを務めるKirsty Fowler氏は、サイバーレジリエンスをより包括的に評価する手法を求める組織が増えていると述べています。

「技術的な脆弱性の特定にとどまらないセキュリティテストへの需要が高まっています。レッドチーミングを通じて、執拗な攻撃者に直面したとき、自社の人、プロセス、テクノロジーがどれだけうまく連携するのかを、はるかに明確に把握できます」

同氏は次のように続けました。「CREST STAR-FSの認定取得は、WorkNest Secureにとって重要なマイルストーンです。当社のレッドチームの専門性と、業界最高水準の一つを満たすインテリジェンス主導の評価を提供できる能力が認められました」

攻撃的セキュリティの専門性を強化

今回の認定は、WorkNest Secureの立ち上げに続くものです。同社は、Pentest PeopleとBulletproofのサイバーセキュリティ分野の専門性を単一ブランドに統合して誕生しました。

また、同社が攻撃的セキュリティサービスへの投資を継続していることも示しています。組織は、自社のセキュリティ対策や対応能力が現実的な攻撃に耐えられることを示すよう、ますます求められているためです。

WorkNest Secureのレッドチーム責任者Dominic Mortimer氏は、効果的なレッドチーミングは、組織の防御がどれだけ万全かという前提に疑問を投げかけるものであるべきだと述べています。

「レッドチーミングとは、熟練した攻撃者が本気で自社を狙ったら何が起きるのかを理解することです。現実的な攻撃シナリオを再現し、前提を問い直し、負荷がかかった状況でセキュリティ対策、検知能力、対応プロセスがどれだけ効果的に機能するかについて、価値ある知見を組織に提供するよう設計されています」

Mortimer氏はさらに、STAR-FSの認定取得は、攻撃的セキュリティの能力を高め続けながら、高い技術水準を維持するという同社の姿勢を示すものだと述べました。

今回の認定により、WorkNest SecureのCREST認定サービスのポートフォリオが拡大します。同社が重視する、インテリジェンス主導でより積極的なサイバーリスク管理を組織が採り入れるための支援にもつながります。