放置仮想マシンがランサムウェアを呼ぶ インフラの「死角」をつぶす監査チェックリスト：リスクを可視化する6つの点検項目

セキュリティ監査を単なる形式的な対応で終わらせていないか。放置されたVMやシャドーITなど、インフラに潜む「死角」を可視化し、企業の回復力を高めるための実践的な監査手法と運用の鉄則を詳説する。

[Damon Garn，TechTarget]

　サイバー脅威が巧妙化し、IT環境が複雑さを増すなか、ITリーダーには自企業のインフラセキュリティの現状を正確に把握することが求められている。ITインフラセキュリティ監査は、脆弱性の特定やセキュリティ対策の妥当性確認、業務停止や機密データ流出を招くリスクの抽出に役立つ。

　経営層にとって監査の価値は、単なる法令順守にとどまらない。リスク管理戦略の策定やセキュリティ投資の判断、企業のレジリエンス（回復力）強化に直結する。監査で何が判明し、その結果にどう対処すべきかを知ることは、リスクを抑えつつ長期的なビジネス目標を達成するために有効だ。

　本稿では、ITインフラセキュリティ監査の実施方法や、監査で浮き彫りになりがちな課題、内部監査と外部監査の違いを解説する。特に、実務に役立つチェックリストと、監査結果をその後の行動にどうつなげるかに焦点を当てる。

ITインフラセキュリティ監査を実施するタイミングと理由

「シャドーIT」に関連する編集部のお薦め記事

　インフラセキュリティ監査は、特定の要件や脅威をきっかけに実施される場合が多い。また、戦略的な方向性や経営判断に資する測定可能な価値を提供する。

　監査の必要性を生じさせる要因には、内的・外的な要因が混在している。主に以下のケースが挙げられる。

• 規制やコンプライアンス上の要件への対応
• 顧客やステークホルダーからの期待
• 企業の合併・買収（M＆A）や大規模なインフラ構成の変更
• 過去のセキュリティインシデントや新たな脅威の出現
• 取締役会レベルでのリスク監視義務

　監査は改善の機会を特定し、サービスの停止やデータ流出を招くインシデントの回避を可能にする。事前にセキュリティ上の不備を特定し、能動的に対処することで、以下のようなビジネス上のメリットが得られる。

• リスクの可視化による、より確実な軽減策の策定
• 既存のセキュリティ対策の妥当性確認
• データに基づいた投資判断
• レジリエンスとガバナンスの強化
• 顧客やビジネスパートナーからの信頼獲得
• 規制要件への準拠の証明

インフラセキュリティ監査で浮き彫りになる共通課題

　監査では、業務停止やコンプライアンス違反、データ流出の可能性を高めるリスクが見つかることが多い。インシデントに発展する前に対処できるのがメリットだ。

　特に、以下のようなセキュリティとガバナンスの不備が指摘される傾向にある。

• パッチ未適用、またはサポートが終了したシステム
• シャドーIT（管理外のインフラや慣行）
• クラウドやネットワークリソースの設定ミス
• 管理者が不在の仮想マシン（VM）やクラウドデプロイ
• 不完全な資産インベントリ（目録）
• モニタリング、ログ記録、脅威検知の不足
• バックアップや復旧、レジリエンスについての慣行の脆弱さ

　これらの放置は、データ漏えいやランサムウェア攻撃、不正アクセスなどの深刻な事態を招く。また、予期せぬダウンタイムによる金銭的損失や社会的信用の失墜、コンプライアンス違反による制裁金につながる恐れもある。

　これらの不備を特定して解消することは、企業のセキュリティ体制を大きく改善する。

内部監査と外部監査：ITリーダーが知っておくべき違い

　企業は内部監査、外部監査、あるいはその両方を組み合わせて実施する。それぞれに特有の利点と課題がある。

　内部監査は通常、社内のチームが実施する。システムの継続的な可視化が可能で、迅速かつ低コストで遂行できる。ただし、慣れによるバイアスや企業特有の思い込みから、死角を見逃すリスクがある。

　外部監査は独立した専門家が実施し、客観的な妥当性確認を行う。内部チームよりも広い視野での評価が期待できる。コンプライアンス要件や顧客への保証、取締役会への報告として必要になることが多い。一般的に、内部監査よりもコストは高くなる。

　ITリーダーは、内部監査を継続的な監視ツールとして使い、外部監査をコンプライアンスと保証のメカニズムとして活用すべきだ。両者を組み合わせることで、インフラリスクを最も包括的かつ正当に把握できる。

ITインフラセキュリティ監査チェックリスト

　インフラ監査で、自動化は重要な要素だ。資産の特定やアカウント管理、パッチ適用、ログ記録、バックアップなどの検証工程を効率化し、一貫性を保つことができる。チェックリストを実行する際は、可能な限り自動化を検討すべきだ。

　以下のチェックリストは、ITチームが潜在的な問題を特定し、対処するために有効だ。

• 資産インベントリとインフラの可視化

　オンプレミス、クラウド、ネットワーク、SaaS、エンドポイントの各資産が網羅され、継続的に更新されていることを確認する。全ての資産が文書化・監視されているか検証する。所有者、分類、依存関係を明確にすることで、シャドーITのリスクを抑えインシデント対応の精度と速度を向上させる。

• 脆弱性とパッチ管理

　脆弱性の特定から優先順位付け、修正までの速さを評価する。パッチ適用のSLA（サービス品質保証）や、危険にさらされている期間、重要システムに対するリスクベースの優先順位付けに重点を置く。

• アイデンティティーとアクセス管理（IAM）

　認証、多要素認証、アカウントのライフサイクル管理、ユーザー権限を見直す。特権アクセスアカウントも対象に含める。最小権限の原則が徹底されているか、退職者などの未使用アカウントが速やかに削除されているかを確認する。

• ネットワークとクラウドのセキュリティ設定

　セグメンテーション（ネットワーク分離）、ファイアウォールポリシー、クラウドの設定、重要デバイスの脆弱性を評価する。過剰な権限設定や、インターネットへの露出リスク、ハイブリッド環境のポリシーの不一致など、攻撃者の横展開（ラテラルムーブメント）を許す要因を特定する。

• モニタリング、ログ記録、インシデント検知

　ログの一元管理、リアルタイムのアラート、SIEM（セキュリティ情報イベント管理）の有効性を確認する。異常な振る舞いを即座に検知し、システム横断的にインシデントを追跡して迅速な封じ込めと調査ができる体制を整える。

• バックアップ、復旧、ビジネスレジリエンス

　バックアップの頻度、整合性、および本番システムからの分離を確認する。定義されたRTO（目標復旧時間）とRPO（目標復旧時点）の範囲内で重要システムを復旧できるか、テストを実施して検証する。

監査結果を受けたITリーダーの行動指針

　まずは、業務、財務、規制、あるいは評判に最も大きな影響を与える問題から着手する。リスクマトリックスを活用し、重大な脆弱性と優先度の低い懸念事項を切り分ける。その上で、企業のリスク許容度に合わせて是正措置を講じる。

　定期的な外部検証に加え、日常的な内部監査を通じて「継続的改善」の文化を醸成する。以下の慣行を取り入れるのが早い。

• 是正活動の責任者（オーナー）を任命する
• 具体的なKPIを指標として用い、タイムラインと測定可能な目標を設定する
• 進捗（しんちょく）状況を経営層やステークホルダーに報告する
• 監査を単発のイベントではなく、日常的なセキュリティ運用の一部として扱う

　ITインフラセキュリティ監査の真の価値は、その後の行動にある。検出された内容をアクションに移すことで、企業のセキュリティを強化できる。リスクの優先順位を決め、不備を解消し、ITインフラ全体の継続的な可視化を構築する。結果で迅速かつ計画的に対処することが、リスクへの露出を減らし、事業継続性を守ることにつながる。