脆弱性を徹底して排除する「サイバーハイジーン」とは：“不衛生な端末”に注意

セキュリティ管理手法として注目を集めるサイバーハイジーン。導入に当たってどのような課題があるのか。既存のセキュリティ対策と何が違うのか。

[TechTargetジャパン]

　日本政府が2018年に閣議決定した「サイバーセキュリティ戦略」は、2015年に全面施行されたサイバーセキュリティ基本法に基づき、日本における3年間のサイバーセキュリティ施策の基本方針を示している。この中で新たに取り上げられていることが「サイバーハイジーン（衛生管理）」というセキュリティ管理手法だ。

　サイバーハイジーンは平時からのセキュリティ対策で、企業や組織にある全端末をリアルタイムに把握し、連続的に脆弱（ぜいじゃく）性の可視化と対処を実施するものだ。脆弱性の徹底的な排除を目的としている。

　サイバーセキュリティ戦略は、「情報システムの状態のリアルタイム管理」「サイバー空間の状況把握」の強化もうたっている。つまりリアルタイムにサイバー空間の状況を把握することが必要だと指摘しているわけだ。組織内のあらゆるIT資産に潜むリスクを可視化し、迅速に対応できるようにするサイバーハイジーンを徹底するには、リアルタイムかつ網羅的な可視化や対応の仕組みがなければならない。

　だが、サイバーハイジーンの徹底には高い運用コストという課題がある。セキュリティチームやITチームが個別にポイントソリューションを導入した結果、膨大なツール群が社内に存在したり、それらを複数の組織や担当者で運用していたりするためだ。

　例えば企業内で「Windows 10」のセキュリティパッチや機能更新プログラム（FU）などの適用を徹底しようとした場合、資産管理、構成管理ツールで端末の利用状況を把握するITオペレーションが欠かせない。把握した端末に対しては、脆弱性管理ツールでパッチを適用したり暗号化ツールを導入したりといったセキュリティオペレーションが必要だ。サイズの大きい機能更新ファイルを配布する場合は、ネットワークの強化というITオペレーションも必要になる。

　セキュリティオペレーションとITオペレーションにトータルで取り組み、運用コストを抑えながらサイバーハイジーンを徹底するにはどうすればいいのだろうか。