2015年3月4日に開催された「2015 SecureWorld」カンファレンスにおいて、米Blue Lava ConsultingでITセキュリティリサーチャーとストラテジストを兼任するデメトリオス・ラザリコス氏は、小売大手の米Searsのオンライン部門で最高情報セキュリティ責任者（CISO）として、ビッグデータによるセキュリティ分析を活用する脅威検出システムを導入した当時のことを詳しく語った。

　ラザリコス氏によると、Searsはセキュリティデータの相関関係とリスクを分析するエンジンを構築して、あらゆるデータをビッグデータを活用する1つのセキュリティシステムに投入していたという。これには、行動分析、サイバー攻撃の脅威の情報、地理情報、その他の警告が含まれる。

　また、システムは3つの段階で展開されたという。第1段階では、システムがどのように反応するかを把握するために小規模な環境に導入された。第2段階では、警告の定義と分類、SOP（Same Origin Policy）の作成、業務ダッシュボードへのシステムの組み込み、業務担当者に向けたシステムの使用方法のトレーニングが行われた。そして、第3段階では、データソースを追加して、相関関係とトレンドを活用した高度な警告を実装し、さらに多くのインフラオペレーションアナリストを教育して、システムを本稼働させた。

　導入が完了すると、このプラットフォームは目覚ましい成果を上げたとラザリコス氏は語る。ビッグデータを活用するセキュリティシステムの導入前は、1つの警告を調査して実際に起こったことを判別するのに10人掛かりで12時間を要することがあった。それが、システム導入後には、警告1件当たりの調査に必要な時間は2人で10分に短縮された。

　ラザリコス氏は、このデータから導き出された数多くの驚くべき発見を紹介した。例えば、婦人用の靴や洋服の検索が3つの異なる国・地域から同時に行われた場合、それはDDoS攻撃が進行していることを示す兆候であることが分かった。また、手動ではロイヤルティープログラムへの登録情報の入力は数分を要する。だが、ボットは数ミリ秒で完了できることから、これも悪質な操作の兆候になることも分析から特定できた。

　この2つのシナリオでは、新しいプラットフォームから得た最大の教訓の1つが明らかになっている。それは、情報セキュリティチームと詐欺グループの取り組みがどれほど重複していたかということだ。どちらの攻撃シナリオも当初はセキュリティ問題として表面化しているかもしれない。だが、攻撃が成功すると、詐欺グループのインシデントへと転じることが往々にしてある。

ビッグデータによるセキュリティ分析について経営幹部の承認を得るには

　ビッグデータによるセキュリティ分析プラットフォームの導入における最優先事項は、取締役会と経営幹部の同意を得ることだったとラザリコス氏は言及した。

　ビッグデータによるセキュリティ分析の導入について経営幹部から承認を得るためにラザリコス氏が取った戦略には、幾つかの作業が含まれていた。全てのコンセプトをビジネス用語で解説した報告書を作成し、保護強度と比較した場合の漏えいリスクについて理解して、各脆弱性が会社に与え得る経済的損害に関する全ての脆弱性の解説を行った。それから、わずかばかりの公の辱めが事を運ぶのに役立ったと同氏は付け加えた。

　「システム監査に関わる全員のメールアドレスをCCに入れると、経営幹部が潜在的脅威を無視することが格段に難しくなる」（ラザリコス氏）

　SecureWorldへの参加者の1人、米マサチューセッツ州ウォルサムを拠点とするセメント卸売業者のHolcim USで情報セキュリティ部門のマネジャーを務めるブライアン・キャリー氏は、ラザリコス氏のプレゼンテーションとビッグデータを活用するセキュリティシステムの将来性に関する説明に感銘を受けた。だが、Holcim USのように予算と人材に制約のある小規模な企業が、このプラットフォームをどう生かせるのかを見いだせずにいた。

　「コンセプトは素晴らしいが、多くの企業にとっては大掛かりになりすぎるように思える。小さなチームと限られた予算しかない環境では、セキュリティ侵害が起きてから対応する体勢から、予防措置を取れるようになるのは容易ではない」（キャリー氏）

　「情報セキュリティプログラムは全て同様の能力を有している。これらのプログラムに共通する難関は最初の一歩にある。私自身どこから始めればよいのかすら分からない」とキャリー氏は付け加える。

　ラザリコス氏が紹介したプラットフォームが大手小売企業の役に立つ可能性についてはキャリー氏も認めている。米Targetや米TJX Companiesなどが同じようなプラットフォームを導入していないなら、信じ難いことだと述べている。だが、より規模の小さい企業では、脅威に関する情報の共有に力を入れるべきだとキャリー氏は考えている。

　「互いに知恵を借り合い、同じ脅威や侵害に直面していることを認識し、同じような問題にどう対処したかを共有するコミュニティーがあれば、小さな企業でも対策を強化することができる。自分の会社だけでどうにかしようとしても、決してうまくいかないだろう」（キャリー氏）