継続的なポスチャ管理と時点評価の違い

セキュリティで一歩先を行くには、発想の転換から始めます

セキュリティ業務の多くは、外からの促しから始まります。監査人が依頼事項のリストを送ってくるか、アラートが誰かの受信トレイに届くと、チームは何もかも手を止めて調査と対応に追われます。一歩先を行くには、発想を変える必要があります。良好なポスチャとはどういう状態かを決め、一定のリズムでそれに照らして確認し、誰かに促される前に逸脱を直します。それがプロアクティブなセキュリティであり、防いだインシデントを調査する必要はありません。

促し、調査、対応というサイクル

私が話す多くのチームは、セキュリティで2つのトリガーを持つループとして運用しています。

1つ目は監査です。監査人が来るまで、誰もポスチャをよく見ません。そこでチームは、一年を通して基準を満たしていたことを証明するために、数週間かけてレポートを抽出し、タイムラインを再構築し、スクリーンショットを集めて回ります。それでコンプライアンスの項目はクリアできるかもしれません。しかしセキュリティ実践としては物足りません。証拠は収集した週に真であったことしか示さず、それ以前の数か月についてはほとんど何も示していないからです。

2つ目はアラートです。より成熟したチームは、重視するシナリオを選び、それを中心にアラートを構築し、発火したときに調査します。これは確かな前進です。しかし問題は、多くのアラートがすでに破られたポリシーを示していることです。誰かがDomain Adminsに追加されたことや、機密ファイルのフォルダーがEveryoneに開放されたことを知る頃には、本来防ぐべきだった違反を調査していることになります。どちらの場合も、チームのスケジュールを決めるのは監査人やインシデントです。

フレームワークはすでに継続的な改善を求めています

監査人は、スナップショット型の評価をとっくに超えています。SOC 2 Type Iレポートは、特定の日付で統制が適切に設計されているかを確認します。Type IIレポートは、通常3か月12か月の期間にわたって統制が有効に機能したかをテストします。ISO/IEC 27001:2022は、セキュリティ統制の監視と測定(第9.1項)、およびセキュリティ管理システムの継続的改善(第10.1項)を求めています。NIST CSF 2.0は、継続的モニタリングと改善の両方をカテゴリーとして含んでいます。どのフレームワークも、時間をかけてポスチャに対処していることの証明を求めており、監査直前の慌ただしい対応はそれを証明する最も困難な方法です。

プロアクティブなセキュリティの実践

プロアクティブなセキュリティは、主にポリシーを中心に組み立てたリズムであり、小さく始められます。

• ベンチマークから最初のポリシーを設定する。「良い」の定義を自分で発明する必要はありません。CIS Benchmarks、NIST CSF、監査人がテストするSOC 2の基準など、ビジネスにとって重要なフレームワークやベンチマークから始めましょう。その統制のうち数個をポリシーにします。最初の例としては、最近サインインしていない有効なアカウント、パスワードが不要なアカウント、メンバーの理由を誰も説明できない特権グループ、Everyoneや外部ユーザーと共有されている機密ファイルなどがあります。
• シナリオを把握し、データを入手する。各ポリシーについて、満たされているかを知るために何を見る必要があるかを決めます。その上で、その情報を継続的に監視するツールを導入し、四半期ごとに手作業で作り直すことのないようにします。
• 発見事項を明確で実行可能にする。ベースラインは、チームが一目で読み取り、何を最初に直すべきか分かる場合にのみ役立ちます。結果の解釈に専門家が必要なら、行動にはつながりません。
• プロアクティブなリスクを毎週レビューする。30分を確保し、まだアラートやインシデントになっていない最も重要なリスクを確認します。それぞれについて、妥当かどうかを判断します。妥当でなければ修正します。同じ発見事項を受け入れ続けるのであれば、ポリシーをビジネスの実際の運用に合わせて調整する必要があるかもしれません。
• 傾向を見る。単一のスコアは今日の位置を示します。時間とともにどう動くかは、実践が機能しているかを経営陣や監査人に示します。小さく着実な改善は監査を楽にし、リスクを下げ続け、潜在的な侵害から遠ざかります。

よくある例を挙げます。委託先の担当者がプロジェクトを終えたのに、アカウントが有効のまま残っています。アラート駆動型のモデルでは、そのアカウントが想定外の場所からサインインしたときに初めて知ります。プロアクティブなリズムでは、週次レビューで最近のアクティビティのない有効なアカウントとして表示され、他の誰かが使う前に無効化できます。

ポスチャの取り組みですべての攻撃を防げるわけではなく、不審な振る舞いに対するアラートは引き続き必要です。ただし、攻撃者がつけ込む設定ミスを減らすため、届くアラートが新しい何かを示す可能性が高まります。

多くのチームが受け身のままでいる理由

チームの規模よりも、実践の成熟度の方が重要です。3人のチームでも成熟したプログラムを運用できますし、大企業でも監査から監査へと走り続けていることがあります。最も苦労するのは、改善しようとしているチーム、あるいは新しいコンプライアンス要件、顧客のセキュリティレビュー、サイバー保険の質問状によってそこへ追い込まれたチームです。

彼らを妨げているのは摩擦です。すぐに使える「良い」の定義がありません。数百ある設定のうちどれが最も重要か分からず、フレームワークをゼロから作る時間もありません。大きな組織は、コンサルタントを雇って用意させることがよくあります。それは高価で、多くの場合、特定の日付に凍結された別の評価を生むだけです。中小企業のほとんどは、予算を組むことすらできません。

この摩擦を取り除くことこそ、製品の仕事だと私は考えています。優れたポスチャツールは、組み込みのベースライン、リスクを高めている要因を平易な言葉で示すビュー、何を最初に直すべきかの明確な感触を提供すべきです。チーム自らフレームワークを用意することを前提とするのであれば、ほとんどのチームは最初の一歩を超えられません。

リズムから始めましょう

始めるのに成熟したプログラムは必要ありません。ベンチマークからいくつかのポリシーを選び、ベースラインを得て、週に30分を確保してください。数か月後には、外からの促しがアジェンダを決めることはなくなり、次の監査は午後だけで取り出せるレポートになります。

これこそが、私たちがNetwrix 1Secureで支援しようとしている実践です。チームがポスチャを始める足がかりになる、組み込みのリスク評価を備えています。

今のポスチャの状態を確認しましょう。Netwrix 1Secureの無料トライアルを始めてください。