求める機能

　SOCサービスベンダーは次のような機能（役割）を提供できる。

• ファイアウォールや統合脅威管理（UTM）の監視や管理
• 不正侵入検知システム（IDS）と不正侵入防止システム（IPS）の監視や管理
• Webおよびメールセキュリティゲートウェイの監視や管理
• 高度な脅威防御テクノロジーの監視や管理
• 潜在的なサイバーセキュリティインシデントを探すためのリアルタイムデータフィード（アプリケーションや情報システムから送られたシステムログやアラートなど）の選別と短期分析
• デバイスやインシデント対応の監視や管理に関連付けられたデータの長期分析と相関付け
• 情報システムやアプリケーションの脆弱性スキャンの管理
• 顧客が導入したSIEM（セキュリティ情報イベント管理）の監視や管理
• 脅威インテリジェンスの現状と関連性の把握

　上記のリストから明らかなように、SOCサービスベンダーは企業のSOCに役立つ可能性があるサービスを多数提供している。だが、サービスがこれほど多様化していると圧倒されることもある。SOCサービスベンダーの評価に着手する一つの方法は、基本的な2つの手順を通じてこれらのサービスの中から自社にとって最も価値があるものを特定することだ。

　まず、企業が既に導入していても、技術的な問題か、チームに必要な専門知識が足りていないことが原因で効果的に使用されていないセキュリティ機器（ファイアウォールやIDS／IPSなど）を特定する。次に、企業が必要としているが、適格な担当者がいないか、必要な規模を実現できないために効果的に導入できていないサービス（脅威インテリジェンスなど）を特定する。

　脅威インテリジェンスのような高度なサービスを申し込む前に、既存のセキュリティ機器を効率的に管理／監視できているかどうかを確認しておく必要がある。例えば、セキュリティシステムで発生していることをまだよく理解していなければ、脅威インテリジェンスのメリットを生かすのは難しい。

　事前に決めておくべき重要な決断もある。SOCサービスベンダーに監視のみを委託するのか、特定のサイバーセキュリティシステムの管理も任せるのかを決めるべきだ。前者の例には、企業のサイバーセキュリティシステムの一部またはその全てからログを取得することなどがある。後者については、ファイアウォールやSIEMなどの管理がある。この判断は、企業のセキュリティポリシーとリスク許容度によって決まるだろう。

　SOCサービスベンダーを利用すると、自組織のSOCの負担を軽減できる。ただし、SOCベンダーを継続的にタスクに従事させ、その持続的な効果を評価するために、企業はプログラムマネジメント（複数のプロジェクトを連携・統括して管理する手法）におけるリソースを定義して割り当てる役割を続ける必要がある。

　SOCサービスベンダーのどのサービスを選ぶにしても、次の機能的な特色を求めるべきだ。

• SOCサービスベンダーが多要素認証と役割ベースのアクセス制御を備えた顧客向けWebポータルを提供している。そのポータルでは、分析機能と視覚資料、リアルタイム更新、SOCサービスベンダーのチケットステータスを利用できる。幹部やSOC担当者など、さまざまなユーザーの種類に合わせてカスタマイズ可能なレポートも提供される。
• ベンダーは要求に応じたサービスを年中無休で提供できる。そのコミュニケーション方法は電話やメールなど複数用意されている。重要なイベントやインシデントを実際に適切な顧客担当者に迅速にエスカレーションした実績がある。
• SOCサービスを顧客企業のセキュリティインシデント対応計画に統合できる。
• SOCに要求されたサービスを2カ所以上に分散した地域から提供できる。それにより冗長性を確保し、災害から復旧できるようにする。
• 顧客企業で監視や管理を担う重要なサイバーセキュリティテクノロジーに関して、認定を受けた担当者がいる。
• コンプライアンスで必要な場合に、SOCサービスベンダーは要求されたサービスを特定地域（米国拠点など）のみから提供していることを保証できる。

　採用するSOCサービスベンダー選びは重要なビジネス上の決断になる。つまり、強力で、信頼できるパートナーでなければならない。そのため、そのベンダーが財政的に安定していることや、高い顧客維持率を達成している証拠など、重要なビジネス上の特徴を調査すべきだ。SOCサービスベンダーは、保証付きのパフォーマンスベースのサービスレベル契約（SLA）を提供している必要がある。このSLAにはパフォーマンスが不足している場合にサービスを解除できる条件が盛り込まれていなければならない。当然、ベンダーには顧客の特定業界における経験と専門知識に定評があることが求められる。提供されたSOCサービスを適度にカスタマイズできることも必要だ。企業は自社を万能型のサービスに無理やり合わせるべきではない。

　SOCサービスベンダーを利用すると、機密データを共有したり、企業の一部の情報システムへのアクセス権をベンダーに提供したりすることになる。セキュリティインシデントやコンプライアンスのずれを防ぐために、SOCサービスベンダーは最低でも次のセキュリティ機能を有している必要がある。

• SOCサービスベンダーが、そのセキュリティ対策について適性評価することを顧客企業に許可している。例えば、セキュリティ対策の監査権限についての条項をサービスベンダーとの契約に追加できる必要がある。さらに、セキュリティ対策に関する評価質問票への回答をサービスベンダーに要求できる。
• サードパーティーのサイバーセキュリティ監査を用意している。さらに、内外部からの侵入テストを年に1回以上実行している。
• 一般に認められたセキュリティ標準規格の認定を1つ以上受けている。例えば、クレジットカードに関わるセキュリティ標準「Payment Card Industry Data Security Standard」（PCI DSS）、クラウドセキュリティ標準「Federal Risk and Authorization Management Program」（FedRAMP）、情報セキュリティマネジメントシステム（ISMS）に関する国際規格「ISO27001」などだ。さらに、「SSAE16」（米国保証業務基準書16号、受託会社における統制手続きに関する報告書）の評価を定期的に実施している。
• SOCサービスベンダーは、TLS 1.1以降など、暗号化された方法を通じて企業との間でデータを送受信できる。

結論

　適切に導入、管理、委託したSOCサービスは、企業のサイバーセキュリティ計画において重要な要素になり得る。サービスベンダーとパートナーシップを結ぶことが、企業のSOCを効率的かつ効果的に強化する賢明な方法となるだろう。自社に適したサービスにたどり着けるように、SOCサービスベンダーを慎重に評価してほしい。