英国の主要なサイバーセキュリティ機関が、重要インフラ事業者がサイバーレジリエンス（耐性）を検証・改善できるようにする新たな制度を正式に開始しました。
英国国家サイバーセキュリティセンター（NCSC）は、この「サイバー攻撃者シミュレーション（CyAS：Cyber Adversary Simulation）」制度を、CYBERUK 2025カンファレンスで初めて予告していました。
参加組織は、審査を通過した供給事業者の一覧から委託先を選びます。委託先は、顧客のIT基盤、外部への露出状況、脅威の動向を偵察した結果をもとに、現実的な攻撃計画を作成します。
NCSCは次のように説明しています。「テスターは攻撃者の視点に立ち、適切なツールや手法を用いて、合意した目標の達成を目指します。商用で調達した脅威インテリジェンスに左右されることも、文書化された戦術・技術・手順（TTP）に縛られることもありません」
サイバーレジリエンスに関する関連記事：NCSC: Observability and Threat Hunting Must Improve
CyAS制度は、サイバー評価フレームワーク（CAF：Cyber Assessment Framework）や、関連するサイバーレジリエンス監査（CRA：Cyber Resilience Audit）など、NCSCの他の取り組みを補完するものとして設計されています。
NCSCは、とりわけ大規模組織、重要国家インフラ（CNI）事業者、政府機関がこれらのフレームワークを活用し、自らのセキュリティ態勢とレジリエンスをより深く把握することを期待しています。
NCSCの最高技術責任者（CTO）であるオリー・ホワイトハウス（Ollie Whitehouse）氏は、次のように述べています。「最高水準の攻撃者シミュレーション専門家が、厳格かつ現実的なエンドツーエンドの評価を行います。CyASによって、組織は実際のサイバー攻撃にどこまで耐えられるのかを、より明確に把握できます。そのうえで、セキュリティとレジリエンスの強化に取り組めるようになります」
「最終的には、英国全体のレジリエンスが高まることで、国家の危機への備えにつながります。私たちが日々頼りにしている重要なサービスを、差し迫った脅威から守ることになるからです」
将来に向けたレジリエンスの構築
AttackIQの敵対的リサーチチームでエンジニアリングマネージャーを務めるアンドリュー・コスティス（Andrew Costis）氏は、攻撃を受けても重要なサービスをどこまで維持できるかを組織が検証するうえで、この制度が役立つ可能性を歓迎しました。
同氏は次のように述べています。「組織が実際に抱えている露出状況に即してシミュレーションを組み立てれば、一般的な評価では見逃しかねない弱点を洗い出せるはずです。振り返れば、こうした手法なら、侵入が長期的なサービス停止に発展する前に、検知や封じ込めの不備を見つけられた可能性があります」
「長期的に見れば、こうした発見事項を、敵対的エクスポージャー検証（adversarial exposure validation）を通じた継続的な取り組みへと発展させることが重要です」
コスティス氏は、弱点を修正した後は、その対策が有効に機能しているかを確認するために攻撃の挙動を再現する必要があると説明しました。また、環境の変化に合わせて、テストの内容も時間をかけて調整していくべきだとしています。
同氏は次のように締めくくりました。「保証された事業者がいれば、組織は評価の品質に自信を持てます。こうした教訓を常に最新の状態に保てるかどうかが、この制度がどれだけのレジリエンスをもたらすかを左右するでしょう」
CyASは当初、実用最小限の製品（MVP：Minimum Viable Product）として運用されます。NCSCは、需要の検証や手法の改良、信頼性の確立を進めたうえで、より本格的な運用モデルへの移行を目指します。
サービス事業者の一覧はこちらから確認できます。
翻訳元: https://www.infosecurity-magazine.com/news/ncsc-cyber-adversary-testing-boost/
