NTTコミュニケーションズのセキュリティエバンジェリスト竹内文孝氏

　NTTコミュニケーションズのセキュリティエバンジェリスト竹内文孝氏によれば、「外部起因」かつ「未知」のリスクとしては

• 標的型攻撃
• ゼロデイ攻撃（セキュリティパッチがまだ公開されていない段階の脆弱＜ぜいじゃく＞性を悪用した攻撃）
• 闇市場（ダークマーケット）における企業の機密情報、従業員の個人情報の売買
• 踏み台化（ルーターに侵入し、そこに接続する端末への攻撃の足がかりとする）

などがあるという。これらに対して「脅威を可視化し、迅速かつ的確な対処をしなければならない」と同氏は説明する。

　未知の脅威は定義が存在しないため、検知自体が困難な場合もある。攻撃を防ぐだけでなく、攻撃を受けることを前提とした対策が必要になる。具体的な対策として竹内氏が挙げるのが「EDR」（Endpoint Detection and Response）だ。

　EDRは脅威の検出だけでなく、攻撃を受けてしまった後の対処も支援する。EDR製品を使うことでインシデントを素早く検知して対処し、被害が他の端末に広がることを防ぐことができる。EDRを使いこなせるセキュリティ担当人員を確保できない企業は、EDRの機能をマネージドサービスとして利用できる「MDR」（Managed Detection and Response）を検討するとよいだろう。

　竹内氏は、未知の脅威に関する知見を収集してデータベース化した「スレットインテリジェンス」（「脅威インテリジェンス」「セキュリティインテリジェンス」とも）を活用することも推奨する。スレットインテリジェンスを活用してセキュリティ基盤を構築し強化すれば、インシデントの再発防止に加え、企業ないしグループ全体で一定水準のセキュリティ対策を共有することにつながる。

　何らかのクラウドサービスを利用している企業は「CASB」（Cloud Access Security Broker）の導入も有力な選択肢となる。CASBはクラウドサービスとそのユーザーの間に位置し、単一コントロールポイントとしてアクセス制御やデータ保護、ログ収集などを実現するシステムだ。クラウドサービスの利用状況を可視化し、ポリシーに基づいた制御を可能にすることにで、クラウドサービスの安全な業務利用を支援する。

内部不正には「UEBA」が有効

　「『内部起因』かつ『未知』のリスクとしてまず挙がるのが内部不正だ」と竹内氏は語る。内部不正による機密情報の漏えいリスクは、どの企業にも常に付きまとう。発生すれば、企業の社会的信用を損なう可能性もある。

　内部不正につながる行動を可視化し、従業員の行動をスコア化して評価することは有効な対策手段だ。竹内氏は「性悪説に基づいた対策が必要だ」と述べ、リスク低減策として「UEBA」（User and Entity Behavior Analytics）を提案する。UEBAは従業員の行動データ（システムへのアクセス、入退室、外部・内部ネットワークへの接続などのログ）を収集し、それらの分析環境を提供することで、不振な行動を取る従業員の発見を支援するツールだ。従業員の振る舞いを多角的に捉え、それぞれの相関関係から行動を分析することで、導き出す結果の精度を高められる。UEBAによって異常なふるまいを検知し、従業員のコンプライアンス（法令順守）状況を定量的に評価するとともに、システムの脆弱性診断もできる。

既知のリスクに有効な「CASB」や「SIEM」

　竹内氏の説明によると、「内部起因」かつ「既知」のリスクには以下がある。

• 情報システム部門を介さずに各部門がIT製品／サービス利用する「シャドーIT」
• 社内システムにおける既知の脆弱性の放置
• アカウントやIDの不適切な管理

　これらのリスクへの対策として竹内氏は「リスク評価、対応策の洗い出しと優先度付け、ロードマップの策定、対策実行」のサイクルを回すことを提唱する。具体的な対策製品は次の通り。

• シャドーITには、組織でのクラウドサービスの利用を監視・制御するためのCASBや、使用を許可していないWebサービスへのアクセスを禁止する「フィルタリング機能」が有効。
• 既知の脆弱性には、利用中のOSやミドルウェア、アプリケーションなどに存在する脆弱性を検査する「脆弱性スキャン」や「脆弱性診断」が有効。
• アカウントやIDの管理には、IDにひも付く個人情報や権限情報などを統合的に管理するためのID管理製品が有効。

　「外部起因」かつ「既知」のリスクとして竹内氏は、企業が導入しているソフトウェアの脆弱性を挙げる。対策については、セキュリティパッチの適用はもちろん、システムとネットワークのログを収集し監視するツール「SIEM」（Security Information and Event Management）の利用も有効だ。「SIEMを使って継続的なログの収集と分析を実施し、社内で人員を確保できない場合は外部委託を視野に入れるとよい」と同氏は推奨する。

　全体にまたがる「包括的」リスクとして竹内氏は「事業継続性」を挙げる。「企業全体、グループ全体、あるいは取引先も含めたサプライチェーン全体でリスクマネジメントに対する意識をそろえることが欠かせない」と同氏は述べる。そのためには政府機関が定めたガイドラインを利用してチェックリストを作成するとよいだろう。コンサルティングサービスを併用してチェックリストの評価を受けるのも有効だ。さらに同氏は責任範囲の明確化について「企業内部で対処すべき範囲と外部に委託してもよい範囲を区分することも大切だ」と言及し、セキュリティ戦略の立案や管理、インシデント対処組織「CSIRT」（Computer Security Incident Response Team）の運用は内部で実行するとよいという。一方でセキュリティ対策製品の導入や運用、ログ分析などの専門技術が必要な業務は、外部委託を検討してもよいだろう。

図2　企業が取るべきサイバーリスクへの対策。検出した脆弱性をデータベース化して分析し、リスクの重篤度を数値化することで、対処の優先度判断に対する基準を設けることを竹内氏は「脆弱性管理のDX（デジタルトランスフォーメーション）」と説明する。「CISO」は「最高情報セキュリティ責任者」の略（出典：NTTコミュニケーションズの資料を編集部で一部変更）《クリックで拡大》