役に立たないセキュリティ研修から脱却【第2回】

攻撃者目線で考える「パープルチーム演習」がもたらす効果とは？

セキュリティ研修においては、理論や知識を詰め込むだけでなく、自らの経験を通した学習が有効だ。実践型のセキュリティ研修を採用する組織の事例を紹介する。

公開 2023年08月25日 05時15分

[TechTarget]

印刷する連載新着通知を受け取る

　「.uk」のドメインを管理する非営利団体Nominet UK（以下、Nominet）は、同団体のセキュリティ担当者向けの研修で、「パープルチーム演習」という実践型のトレーニングを採用している。従業員はこのトレーニングを通して、どのような力を身に付けることができるのか。

「パープルチーム演習」がもたらす効果とは？

併せて読みたいお薦め記事

連載：役に立たないセキュリティ研修から脱却

第1回：「このセキュリティ研修は無意味だ」と感じてしまう――何が足りない？

セキュリティ研修の関連記事

　パープルチーム演習は、セキュリティ担当者で構成した2チームが競い合う演習形式のトレーニングだ。レッドチームが攻撃を仕掛け、システムへの攻撃を試みる。ブルーチームは攻撃の防御を担う。トレーニング中に両チームは互いにフィードバックを重ね、研修の効果を最大化する。

　Nominetはパープルチーム演習を実施したことで、セキュリティ担当者のスキル向上とセキュリティの強化を実現した。セキュリティ担当者は演習を通して、最新の脅威に関する情報や攻撃ベクトル（手段や経路）だけでなく、攻撃者の考え方や心情まで理解することができた。

　セキュリティ担当者は一連の模擬攻撃を実行することで、攻撃の組み立て方だけではなく、どうすれば攻撃を防御できるかという視点を持つことができた。具体的には、攻撃を検知してその影響を緩和するにはどうすればいいか、ログの記録や分析を正しいプロセスで実施できているかどうかといった内容だ。セキュリティ担当者は実践型のトレーニングを重ねることで、広範にわたる攻撃を把握し、状況を分析したり問題に対処したりする力を強化できる。

　セキュリティを確保するために技術力はもちろん必要だが、攻撃者目線でセキュリティ対策について考えることも重要だ。攻撃者はシステムへの新たな侵入方法を常に模索しており、用いる手口は日々巧妙になっている。この状況に対処するには、攻撃者と同じ目線に立って攻撃を予測する必要がある。これは簡単なことではないが、自社の機密情報やシステムを保護するためには不可欠だ。

　第3回は、セキュリティ対策に有効な「DevSecOps」を実現するためのトレーニングについて紹介する。