サイバー攻撃の手法や攻撃者の多様化が課題に

　グレイザー氏は、サイバー攻撃のコモディティ化や商業化が進んでいることも脅威の拡大に拍車を掛けると指摘する。「脆弱性や認証情報、情報資産に関するオークションなど、アンダーグラウンド経済圏は確実に存在する。豊富な情報資産を持つグローバル企業は攻撃者の格好の標的だ」

　攻撃手法の多様化も悩みの種だ。標的型攻撃の攻撃者は、さまざまな攻撃手法を織り交ぜた複合攻撃をする。グレイザー氏はソーシャルエンジニアリングやフィッシング、マルウェア、ゼロデイ攻撃などを一例として挙げる。

ユーザー企業が今後なすべきセキュリティ対策とは

　サイバー攻撃が高度化、複雑化した現在、ユーザー企業はどのような対策を講じればよいのだろうか。あらためて重要性を認識すべきだとグレイザー氏が指摘するのが「脅威評価」と「モニタリング」である。

脅威評価

　脅威評価とは、情報漏えいなどの事故をもたらす潜在的原因を明らかにすることだ。

　脅威評価を実施することによるメリットは何か。グレイザー氏は、「セキュリティ対策の優先順位付けが容易になる」ことを挙げる。「攻撃者や攻撃方法、攻撃の理由などを分析することで、攻撃を検知したり防止するためにまず何をすべきかが明確になる」

　「脅威評価のための手段は豊富にある」とグレイザー氏は説明する。脅威評価サービスに加え、マネージドセキュリティサービスや侵入テスト、セキュリティコンサルティングサービスなども脅威評価のメニューを含むという。「最低限、脅威に関する情報共有フォーラムに参加したり、信頼できるベンダーに相談するといった取り組みを始めるべきだ」とグレイザー氏はアドバイスする。

　脅威評価の実行に当たっては、自社が経験した過去のセキュリティインシデントを調査したり複数の脅威について検討することで、自社が攻撃される可能性について理解することが必要だとグレイザー氏は指摘する。「リスクが高いと判断した脅威については、シミュレーションやモデルを利用して徹底的に分析する必要がある」

モニタリング

　ネットワークやシステムのログやイベント情報を常時収集するモニタリングも重要になるとグレイザー氏は指摘する。モニタリングを実現するセキュリティ製品の一例を以下に示す。

• IDS（侵入検知システム）／IPS（侵入防止システム）：ネットワークやホストに対する攻撃を検知
• SIEM（セキュリティ情報とイベント管理）：イベントやログの収集と分析
• EFM（企業不正行為管理）：ビジネスロジックに対するセキュリティ分析
• NBA（ネットワーク挙動分析）：ネットワークの異常な振る舞いを検知
• DLP（Data Loss Prevention）／DAM（データベースアクティビティ監査）：データとデータベースの監視

　グレイザー氏は、こうしたセキュリティ製品から得られる情報を脅威の発見に生かす「セキュリティインテリジェンス」が今後重要になるという見方を示す。「複数のセキュリティ情報を相関分析することで、脅威の前兆を早期に発見できる」（グレイザー氏）

　グレイザー氏は、「まずはIDS／IPSやNBAなどの製品を導入し、セキュリティ情報の収集を可能な限り自動化することが大切だ」と指摘する。その上でSIEMなどの相関分析機能を持つセキュリティ製品を使い、収集した情報を分析する。

情報セキュリティ部門に今後求められる役割は？

　グレイザー氏は、ユーザー企業の情報セキュリティ部門に期待される役割の中心が「セキュリティ製品の実装や運用から、組織や従業員、パートナーの教育にシフトするだろう」と指摘する。高度化、複雑化するサイバー攻撃に対処するには、サイバー攻撃などのセキュリティに関する社内全員の知識の底上げが必要だという考えに基づく。

　情報セキュリティ部門が注力すべき役割として、グレイザー氏は以下の4つを挙げる。

• 現業部門とIT部門に対するアドバイザリーサービス
• 社内外の脅威の評価（外部脅威のアセスメントや情報提供、社内監査など）
• ビジネスリーダーと従業員に対するセキュリティ情報の提供と教育
• ITインフラの防御体制の構築（ITインフラの運用部門と協力）

　こうした役割を踏まえた上で、「部分的な対策の強化にとどまらず、社内全体のセキュリティを総合的に高める視点を持つことが大切だ」とグレイザー氏はアドバイスする。