「セキュリティインテリジェンス」を生かし切る具体的な方法とは？（1/2 ページ）

セキュリティインテリジェンスの活用は、セキュリティ対策の強化と、CSIRT／SOCの業務効率化の両立に力を発揮する。具体的にどう活用すればよいのか。

公開 2016年12月27日 09時00分

更新 2017年04月12日 20時02分

著者

高岡隆佳

[ブルーコートシステムズ]

印刷する連載新着通知を受け取る

　連載第1回「セキュリティ対策を“対症療法”で済ませるのは、もう終わりにしよう」、第2回「機械学習が『セキュリティ人材不足』解消の“特効薬”になる？」では、現状のセキュリティ対策の課題と、その解決に向けた人工知能（AI）技術、特に「機械学習」への期待の高まりについて説明してきた。

　企業に求められるセキュリティ対策の実効性や速度の水準は、ここ近年で格段に高まってきている。その背景には、攻撃手段の目まぐるしい変化がある。攻撃指令サーバ（C＆Cサーバ）のIPアドレスは1時間単位で変化し、多様かつ大量のマルウェアがツールで自動生成されている。未知の脅威は、インターネットとLANの境界セキュリティ対策をいとも簡単にすり抜ける。

　企業内のサイバーセキュリティ対策組織「CSIRT」「SOC」は実害を防ぐために、早期の段階で侵入や感染の事実に気付き、迅速に対処することが求められる。だがほとんどのCSIRT／SOCは、人員や予算が潤沢にあるわけではない。限られたリソースで一連の対策を進めなければならず、スタッフの負担は増える一方だ。

　こうした状況にセキュリティインテリジェンスが効果を発揮するのは第2回までに説明した通りだが、実際にどう活用すればよいのかが分からないという企業も少なくないだろう。最終回となる今回は、セキュリティインテリジェンスの具体的な生かし方を説明する。

併せて読みたいお薦め記事

「AI」はセキュリティ担当者を救うのか

「エンドポイントセキュリティ」再浮上のなぜ

標準プロセスに基づいてセキュリティインテリジェンスを生かす

　CSIRT／SOCの負担を増やすことなく、効果的なセキュリティ対策を進めるにはどうすべきか。そこで役立つのが、情報セキュリティのリスクマネジメントに関する標準規格「ISO/IEC 27005：2008」に基づいたセキュリティインテリジェンスの活用だ。具体的には、ISO/IEC 27005：2008で定義されているリスクマネジメントプロセスに、セキュリティインテリジェンスを当てはめて運用する。ISO/IEC 27005：2008自体は、既に国内企業の間で情報セキュリティにおけるリスク対策のアプローチとして活用されており、おなじみの企業も少なくないだろう。

　ISO/IEC 27005：2008のモデルを一般的な情報セキュリティ対策に当てはめて考えると図のようになる。ISO/IEC 27005：2008においてリスクマネジメントで対処すべき領域を定める「前後関係（コンテキスト）の把握」（Context Establishment）は、セキュリティ対策におけるシステム設計と内部統制に該当し、コンプライアンス（法令順守）を考慮しながら進める。

図　ISO/IEC 27005：2008で定義されているリスクマネジメントプロセス（左）と、それを一般的な情報セキュリティ対策に当てはめたプロセス《クリックで拡大》

　次に、考慮すべきリスクや侵入してきたリスクに対して、「リスクの査定」（Risk Assessment）を実施する。より詳しくいえば、これらのリスクを確認（Risk Identification）し、分析（Risk Estimation）し、評価（Risk Evaluation）する。リスクの査定精度が高ければ、セキュリティインテリジェンスと機械学習をはじめとする人工知能（AI）技術の活用でリスク対応を自動化でき、CSIRT／SOCにとってリスクの監視と再調査の作業を削減できることになる。その際、対処すべきリスクに適した機械学習の手法を活用する必要がある。機械学習と一言でいっても、決定木やニューラルネットワーク、ベイジアンネットワークなどさまざまな手法があり、手法によって得手不得手があるからだ。

次ページへ実装が始まったAI技術