防御の俊敏性を高めるための7つのヒント

防御面のセキュリティ俊敏性とは、中核業務を止めることなく、進化するサイバー脅威や脆弱性を迅速に検知し、適応し、対応できる組織の力を指します。静的で硬直的な防御アーキテクチャから脱却し、継続的な改善、自動化、部門横断的な柔軟性を重視するのが、俊敏な防御計画の特徴です。

防御の俊敏性があれば、サイバーセキュリティチームは進化する脅威に素早く適応・対応しながら、事業への影響を最小限に抑えられると、ビジネス・テクノロジーコンサルティング企業InfosysのエグゼクティブバイスプレジデントであるAnant Adya氏は述べています。「攻撃対象領域が拡大するなか、組織はリスクの定量化を優先し、脆弱性を特定してセキュリティ態勢を強化する必要があります。避けられない攻撃からの回復力も高めなければなりません」

あなたの組織は、高い防御の俊敏性を実現するために必要な対策を講じているでしょうか。以下で確認しましょう。

1. ゼロトラストの基盤を確立する

防御の俊敏性を実現するには、まずユーザー、デバイス、アプリケーション全体でアクセスを継続的に検証するゼロトラストのアプローチから始めるべきだと、Adya氏は助言します。「効果的なゼロトラスト戦略は、組織のテクノロジー基盤とビジネスライフサイクルに組み込まなければなりません。そうすることで、回復力が高まり、組織全体にセキュリティ意識が根付きます」

企業がAIを導入し、アプリケーションを刷新し、高度に分散した環境で事業を展開するなか、セキュリティは後回しにされる防御策から、ビジネスを加速させる要素へと進化しなければならないと、Adya氏は指摘します。「ゼロトラストを日々の業務やAIワークフローに組み込めば、進化する脅威への適応力を強化できます。同時に、イノベーションを加速し、買収先をより安全に統合し、アーキテクチャや運用上の負債を積み上げることなくグローバルに拡大できます」

2. 既存のセキュリティインフラを刷新し、整理する

多くの大企業は、新たな課題に対応しきれずにいます。システムが極めて複雑だったり、古いソフトウェアや独自開発のコード、連携していないセキュリティツールが混在していたりして、封じ込めのスピードを妨げかねないためだと、Deloitteのサイバー防御・レジリエンス担当リーダーであるSharon Chand氏は述べています。

Chand氏は、CISOに対し、既存のインフラとテクノロジーを評価し、現在どのように脅威へ対応しているかを見直すよう勧めています。同時に、運用をより統合されたシステムへと効率化することも重要です。「セキュリティ組織には、AI駆動のシステムも必要です。マシンスピードの攻撃を検知し、対応を自動化して、攻撃者のペースに追いつくためです」と、同氏は語ります。

3. 確信度が高く、元に戻せる対応にはAIを活用する

研修・認定機関CompTIAのCISOであるRandy Gross氏は、人間を介さずに実行しても安全な防御アクションを、あらかじめ決めておくよう推奨しています。「確信度が高く、元に戻しやすい対応であれば、アカウントのロック、セッションの強制終了、デバイスの隔離はすでに自動化されているべきです」と、同氏は言います。

戦略は少なくとも四半期ごとに見直すべきですが、戦略の見直しを運用ガバナンスと同一視してはならないと、Gross氏は警告します。「中規模から大規模の企業では、エージェントの権限や連携が頻繁に変わる可能性があります。そのため、周囲のガードレールは継続的かつ自動的に機能させる必要があります」と助言します。「リスクが大きく変わるほど変更が積み重なった場合にも、CISOとチームは戦略を見直すべきです」

Gross氏はこう付け加えます。「目指すべきはSOCにAIをただ増やすことではありません。脅威を見つけてから有効な手を打つまでの遅延を減らすことです」

4. 壁を高くするより、動的で構造的な回復力を重視する

防御の俊敏性には、異常な挙動を人手に頼らず吸収し、隔離し、適応できるアーキテクチャ上の能力を備えた企業システムが必要だと、Microsoftのシニアソフトウェアエンジニアであるジャティン・チョプラ（Jatin Chopra）氏は説明します。「壁を高くする静的な境界防御から、環境そのものが絶えず変化して脅威の拡散を抑え込む、動的で構造的な回復力への移行を意味します」

十分な余力を備えたアプローチを採れば、セキュリティが手作業のボトルネックから切り離されるとも、同氏は述べています。「防御プロトコルを審査会で強制するのではなく、アーキテクチャに組み込んでおけば、エンジニアリングチームは高い開発速度を保ちながら、攻撃対象領域を本質的に制限できます」。セキュリティはワークフロー上の負担から、自動化されたプラットフォーム機能へと変わると、同氏は語ります。

5. 決断的な行動につながらない官僚主義に注意する

セキュリティ戦略を年1回の文書作成プロセスと見なすのをやめ、信頼できるデータを使って継続的に回し続けるループとして捉えるべきだと、セキュリティ・アズ・ア・サービス企業Black KiteのCISO、Bob Maley氏は言います。判断の材料は、重要な決定を素早く下す権限を実際に持つ人物に届けるよう勧めています。

攻撃者はすでに高い警戒態勢にあると、Maley氏は警告します。「金曜の午後に新たな脆弱性の突破口が見つかったとき、ランサムウェアグループの誰も、四半期ごとのレビューで攻撃の承認が下りるのを待ちません」と説明します。「防御側が対応する前に運営委員会を必要とするなら、攻撃者のテンポとの差こそが、侵害が起きる隙になります」

6. 自動化を取り入れ、人間の判断力を解放する

コンサルティングおよびソーシャルメディアマーケティングサービスを提供するSoftline SolutionsのシニアソフトウェアエンジニアTimur Rakhmatullin氏は、一緒に仕事をしてきたセキュリティチームの多くが静的な防御を構築していると指摘します。「ルールを設定し、アラートを構成し、ランブックを書きます。しかし、ランブックに当てはまらない事態が起きると、全員が固まってしまいます」

Rakhmatullin氏は、自動化が不可欠だと考えています。同氏は自社開発のツールを使い、30を超えるリポジトリでセキュリティスキャンを自動実行しています。「スキャンでは、脆弱性やライセンスの問題、その他の不備を検出します」と、同氏は説明します。「ただし重要なのは、どのエンジニアでも、スキャン結果を数分で覆したり、エスカレーションしたり、検出内容を再分類したりできる点です」

それでも、負荷の大きい作業はすべて自動化が担っていると、同氏は言います。「判断を下すのは人間です」

7. 定期的に「防火訓練」を実施する

厄介なシナリオは、実際に起きる前にリハーサルしておくべきだと、フラクショナル型のエグゼクティブ向けテクノロジー・AI戦略企業ClearStack Advisoryの創業者、Chris McGlasson氏は提案します。

パッチを適用するのは誰か、テストするのは誰か、事業部門と話すのは誰か、午前2時にシステムをオフラインにする権限を持つのは誰か。これらを把握しておく必要があると、McGlasson氏は述べています。「書面にまとめ、年2回実行してください」と勧めています。「そうしているチームは、インシデント対応を防火訓練のように扱っています」。多くのCISOが、セキュリティを基本的な取り組みではなく研究プロジェクトのように扱っているために、大惨事のリスクを抱えていると、同氏は付け加えます。

McGlasson氏は、最近の「Citrixメルトダウン」を例に挙げます。Citrix NetScaler ADCおよびNetScaler Gatewayのアプライアンスに影響する深刻なセキュリティ危機で、今も続いています。これにより、重大なゼロデイ脆弱性の悪用が大量に発生しました。Citrixは直ちにIT管理者に警告し、問題に対処するため、すぐにシステムへパッチを適用するよう求めました。

その結果、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は連邦機関に3日間のパッチ適用期限を設けた一方、それ以外の組織は独自にスケジュールを立てざるを得なかったと、McGlasson氏は言います。この難局をうまく乗り切ったのは、必ずしも最高のツールを持つ組織ではなかったと、同氏は指摘します。「勧告が出る前から、誰がパッチを当て、誰がテストし、誰が判断を下すのかを、すでに把握していた組織です」

俊敏性は筋肉のようなものだと、McGlasson氏は語ります。「繰り返しによって鍛えられます」