多くの組織が自動化された脅威検知・対応プロセスを着実に導入しており、なかには人工知能（AI）だけで運用するセキュリティオペレーションセンター（SOC）にまで踏み込む例もあります。自動化によって、インシデントは数秒で検知できるようになりました。しかし、より高い透明性が求められる業界にあって、コミュニケーションは依然として大半が手作業のままです。
このギャップは、顧客がインシデントの影響や緩和策についての回答を待つ間、関係や信頼を損なう恐れがあります。手作業によるコミュニケーションは、最高情報セキュリティ責任者（CISO）にとっても負担です。CISOは、インシデント対応の時間が刻々と減っていくなかで、IT担当者や経営幹部にタイムリーに最新情報を伝えなければなりません。
インシデント対応（IR）に伴うコミュニケーションは、人手だけで調整するには限界に近づいています。ただし、開示される情報には機微な内容が含まれます。企業のセキュリティ態勢の状況や、インシデントの警告を受けた際の対応などです。自動化すれば、経営陣が握っておきたい開示のタイミングや詳細度のコントロールを、一部手放すことにもなります。
Cytacticの最高戦略責任者（CSO）であるTim Brown氏は、調整と情報共有の観点から、コミュニケーションの自動化は極めて重要だと述べています。たとえば、会議で報告を受ける代わりに、全員の状況を一元的に確認できる場を用意する方法があります。
Brown氏によれば、専用のクライシスコミュニケーションプラットフォームも有効です。ボタンをひとつクリックするだけで全員に通知でき、通常の連絡手段が使えなくなった場合の代替手段も備えられます。システムがオフラインになるインシデントの後には、こうした事態がよく起こります。
Brown氏は、混乱したIR時のコミュニケーションを身をもって知っています。SolarWindsへの攻撃の余波に対処していた当時、元CISOの同氏は次から次へと危機に巻き込まれました。5つのチームを統括し、タスクを調整し、会議を設定し、全員から報告を受けながら、顧客への状況説明も続けようとしました。
今振り返ると、周囲の人々がどれほど助けてくれたかを実感するといいます。それでも、準備不足の点はありました。机上演習をもっと重ねること、事前に適切な関係者と顔を合わせておくこと、そしてコミュニケーションを円滑にするテクノロジーです。
伝わらない言葉
IRのコミュニケーションは複雑です。攻撃者に手の内を明かさないよう、組織が特定の情報の開示を見送ることもあります。被害組織が顧客限定の非公開アドバイザリーを出すこともありますが、その場合、一般への周知は進まず、下流の被害者も無防備なままです。さらに、体面を保つために開示そのものをしない、あるいは影響を過小評価する企業もあります。
米証券取引委員会（SEC）とサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、破壊的な攻撃が増えていることを受け、開示規則の更新と新規導入を続けています。2022年の重要インフラ向けサイバーインシデント報告法（CIRCIA）は、これまでに複数の期限を過ぎましたが、最終化が近づいています。施行されれば、対象事業者は重大なサイバーインシデントを発見から72時間以内にCISAへ報告する必要があります。身代金を支払った重要インフラ組織は、24時間以内の報告が必要になります。
組織が誠意をもって情報を開示しようとしても、課題はあります。被害者、第三者、サプライチェーンのリスクが幅広く絡み合っているためです。今や、誰が影響を受けているのかを把握すること自体が、ますます難しくなっています。
Rapid7の脆弱性インテリジェンス担当ディレクターであるDouglas McKee氏は、多くのセキュリティリーダーがコミュニケーションの問題を挙げるだろうと推測します。しかも、その問題はたいていインシデントが起きるずっと前から存在しています。たとえば、セキュリティチームは共通脆弱性識別子（CVE）や侵害指標（IoC）の言葉で語りがちです。一方、経営判断を下す人々が知りたいのは、それが実際に何を意味するのかです。
平常時であれば、このギャップは煩わしい程度です。しかしインシデント発生時は、事実が時間単位で変わるにもかかわらず、全員が同時に答えを求めるため、言葉の壁はいっそう大きくなります。公の場で誤った発言をした人物になりたい者はいない、とMcKee氏は付け加えます。
「第三者が絡むと、事態はさらに難しくなります」と、McKee氏はDark Readingに語ります。「ベンダーが自社製品の問題を顧客よりずっと早く把握していながら、通知が汎用の受信箱に届いたり、2年前に退職した担当者に送られたりするケースを、数多く見てきました」
攻撃者はこうした混乱につけ込むと、同氏は警告します。そのうえで、顧客に自信をもって情報を伝えるには、防御側が社内で状況認識を一致させておくことが重要だと強調しています。
自動化は慎重に選ぶ
TransUnionのグローバルIDソリューション担当バイスプレジデントであるBrian Killeen氏によれば、組織はもっと透明性を高めたいと考える一方で、コミュニケーションをどう個別化するかという課題に絶えず悩んでいます。日々の不正対策の連絡でも、進行中のインシデントでも、AIや各種の知見、理解を活用できるほど、適応力は高まるとKilleen氏は言います。
McKee氏は、現時点では検知と対応のほうが自動化しやすいと説明します。入力がかなり構造化されており、ログのエントリがルールに一致するかしないかのどちらかだからです。これに対し、IRのコミュニケーションには、法的な影響や評判への影響を伴う判断が求められます。
「自社の名前で外に出す内容を機械に決めさせることに、組織が慎重になるのは当然です」とMcKee氏は話します。「正直なところ、アナリストなら誤検知は数分で受け流せます。しかし、不正確な侵害通知を顧客に送ってしまえば、取り消す簡単な方法はありません」
だからといって、コミュニケーションの自動化が選択肢から外れるわけではなく、課題の適切な部分に向ければよいと、同氏は提案します。インシデントのタイムラインの取りまとめや、どの関係者にいつ通知したかの追跡は、自動化できます。対応担当者がすでに持っているデータから、最新情報の初稿を作成するツールの利用も勧めています。
要は、人間の判断が本当に必要な意思決定に時間を充てられるよう、人を解放することです。McKee氏の考えはこうです。「自動化は、ドラフトを適切な人物の手元に素早く届けるべきです。そして、内容を確認して送信ボタンを押すのは、あくまでその人物であるべきです」
翻訳元: https://www.darkreading.com/cybersecurity-operations/incidents-move-fast-pen-paper
