CISO Insider: 第 2 号

ランサムウェアの攻撃者は、最も破壊的である、人質に取られた場合に価値がある、解放された場合に最も機密性が高いなど、最も金銭を引き出せると思われる最も価値のあるアセットを標的にしています。

業種は組織のリスク プロファイルを決定する重要な要素であり、製造業のリーダーはビジネスの中断を最大の懸念事項として挙げる一方で、小売業や金融サービスの CISO は個人を特定できる機密情報の保護を優先しています。そして、医療機関は、どちらの面でも同じように脆弱です。これに対応するセキュリティ リーダーは、境界線の強化、重要データのバックアップ、冗長システム、暗号化の強化などを通じて、データの損失や暴露からリスク プロファイルを積極的に移動させています。

現在、多くのリーダーにとってビジネスの中断が焦点となっています。たとえ短時間の中断であっても、ビジネスにはコストがかかります。ある医療機関の CISO は最近、ランサムウェアは運用上、大規模な停電と変わらないと話していました。適切なバックアップ システムがあれば、電力を迅速に復旧させることができますが、それでもビジネスを中断させるダウンタイムが発生します。別の CISO は、主要な企業ネットワークだけでなく、パイプラインの問題や、ランサムウェアによって主要なサプライヤーがシャット ダウンされることによる二次的な影響など、混乱が運用上の懸念にまでおよぶ可能性について考えていると述べています。

混乱を管理するための戦術には、ダウンタイムを最小化するための冗長システムとセグメンテーションの両方が含まれます。これにより組織は、影響を受けたセグメントを封じ込め、復旧させながら、トラフィックをネットワークの別の部分にシフトさせることができます。しかし、どんなに堅牢なバックアップやディザスター リカバリーのプロセスがあっても、ビジネスの中断やデータ流出の脅威を完全に解決することはできません。軽減策の対照的な面は予防です。

私が話をする CISO の多くは攻撃の予防と検知に対してさまざまな組み合わせのアプローチを取っており、脆弱性テスト、境界テスト、自動化されたモニタリング、エンドポイント セキュリティ、ID 保護などをカバーするベンダーのソリューションを何重にも利用しています。これは意図的な冗長化であり、多層的なアプローチによりあらゆるギャップが埋められることを期待しているものです。スイス チーズの積み重ねのように、穴が一直線に並ばないことを期待しているのです。

私たちの経験では、このような多様性によって修復作業が複雑になり、潜在的にリスク露出が増えてしまう恐れがあることが示されています。ある CISO が指摘するように、複数のソリューションを組み合わせることの欠点は、断片化による可視性の欠如です。"私は最善のアプローチをとっていますが、それ自体に課題が生じています。なぜなら、脅威を管理するためのコンソールがそれぞれ独立して存在し、社内で何が起こっているのかを総合的に把握することができないため、総合的なリスクに対するインサイトが不足しているからです。(医療機関、従業員 1,100人) 攻撃者は複数の異種ソリューションにまたがる複雑な網を張っているため、キル チェーンの全体像を把握し、侵害の範囲を特定し、マルウェアのペイロードを完全に根絶することは困難です。進行中の攻撃を阻止するには、複数の経路を横断して攻撃をリアルタイムで検出、阻止、封じ込め/修復する能力が必要です。

XDR は、まだ一部でしか有効に活用されていません。CISO の多くは、EDR を強力な出発点として導入しています。EDR は実績のあるアセットです。現在、エンドポイントでの検出と対応を使用しているユーザーは、ランサムウェアをより迅速に検出し、阻止しています。

しかし、XDR は EDR の進化形であるため、XDR の有用性に疑問を持っている CISO もいます。XDR は EDR にいくつかのポイント ソリューションを付加しただけのものなのか、まったく別のソリューションを使う必要があるのか、それとも、使用している EDR はいずれ同じ機能を提供するようになるのかなど、現在の XDR ソリューション市場は、ベンダーが先を争うように製品ポートフォリオに XDR 製品を追加しようとしているため、さらなる混乱を招いています。EDR ツールを拡張して脅威データを追加するベンダーもあれば、XDR 専用プラットフォームの構築に注力するベンダーもあります。後者は、セキュリティ アナリストのニーズを中心に、すぐに使える統合と機能を提供するためにゼロから構築されており、チームが手作業で埋めなければならないギャップが少なくなっています。

セキュリティの人材不足と脅威への迅速な対応の必要性に直面しているセキュリティ リーダーに対し、Microsoft は、パスワードのリセットなどの雑務を処理するのではなく、最悪の脅威に対する防御に集中できるよう、自動化を導入することを奨励してきました。興味深いことに、私が話を聞いたセキュリティ リーダーの多くは、自動化機能をまだ十分には活用していないと述べています。セキュリティ リーダーがこの機会を十分に認識していないケースもあれば、コントロールを失ったり、不正確さを招いたり、脅威の可視性が犠牲になったりすることを恐れて、自動化の導入をためらっているケースもあります。後者の懸念は理にかなっています。しかし、自動化を効果的に導入している企業では、コントロールの強化、擬陽性の低減、ノイズの軽減、実用的な分析情報の取得など、セキュリティ チームと一緒に導入することでチームの取り組みを導き、集中させることにより、自動化で正反対の効果を達成しています。

自動化には、基本的な管理タスクの自動化から、機械学習によるリスク評価まで、さまざまな機能が含まれます。ほとんどの CISO から、従来のイベント トリガまたはルールベースの自動化を採用していると報告されていますが、リスクベースのアクセス判断をリアルタイムで可能にする組み込みの人工知能や機械学習の機能を活用しているところはあまりありません。確かに、定型的なタスクを自動化することで、セキュリティ チームは人間が最も得意とするより戦略的な思考に集中することができます。しかし、例を挙げると、インシデント対応のトリアージなど、データ解析、パターン マッチング、インテリジェント パートナーなどの戦略的な領域においてこそ、自動化がセキュリティ チームの力になる可能性が最も高いのです。たとえば、AI と自動化は、セキュリティ シグナルを相関させて、侵害の包括的な検出と対応をサポートすることが得意です。Microsoft が最近実施した調査では、セキュリティ担当者の約半数が、シグナルを手作業で相関させなければならないと回答しています。1   これは、非常に時間のかかる作業であり、攻撃を阻止するために迅速に対応することはほとんど不可能です。セキュリティ シグナルの相関関係のような自動化を適切に適用すれば、攻撃をほぼリアルタイムで検出できることがよくあります。

多くのセキュリティ チームが、既に使用している既存のソリューションに組み込まれている自動化を十分に活用していないことが分かっています。多くの場合、自動化の適用は、固定ルールのアクセス ポリシーをリスクベースの条件付きアクセス ポリシーに置き換えたり、応答プレイブックを作成したりするなど、利用可能な機能を構成するのと同じくらい簡単で、大きなインパクトがあります。

自動化の機会を見送ることを選択する CISO は、多くの場合、人間による監視なしに運用されている間にシステムが回復不可能なエラーを起こすことを懸念しています。想定されるシナリオとしては、システムが不適切にユーザー データを削除したり、システムへのアクセスが必要な経営幹部に迷惑をかけたり、最悪の場合、脆弱性が悪用された場合の制御や可視性を失うことなどがあります。

しかし、セキュリティは、日々の小さな不都合と壊滅的な攻撃の絶え間ない脅威との間で天秤にかけられがちです。自動化は、そのような攻撃の早期警告システムとして機能する可能性を秘めており、その不便さは軽減または排除できる可能性があります。その上、自動化はそれ自体だけではなく、人間のオペレーターと連携することで最高の状態で動作します。その人工知能は人間のインテリジェンスに情報を提供し、また人間のインテリジェンスによってチェックされます。

スムーズに導入できるよう、Microsoft は、ロールアウト前の試運転を提供するために、Microsoft のソリューションにレポート専用モードを追加してきました。これにより、セキュリティ チームは自分のペースで自動化を導入し、自動化ルールを微調整し、自動化ツールのパフォーマンスを監視することができます。

自動化を最も効果的に導入しているセキュリティ リーダーは、チームと一緒になって自動化を導入し、ギャップを埋め、最初の防御ラインとして機能させています。ある CISO が、セキュリティ チームを常にあらゆる場所に配置することはほとんど不可能であり、法外なコストがかかること、仮に可能であったとしても、セキュリティ チームは頻繁に入れ替わる傾向があると、最近私に語りました。自動化は、トラフィックの監視や早期警戒システムなど、常時オンの継続性と一貫性のレイヤーを提供し、この一貫性が必要な分野でセキュリティ チームをサポートします。このようなサポート機能を導入することで、チームはログやシステムを手作業で確認する手間を省き、よりプロアクティブに行動できるようになります。自動化は人間に取って代わるものではなく、アラートに優先順位を付け、最も重要な部分に労力を集中させるためのツールです。