企業の情報セキュリティアーキテクチャとは？

セキュリティとリスク管理への支出が 急増 しています。では、次にサイバーセキュリティプログラムを最も強化するために、具体的にどの改善に注目すべきでしょうか？

多くの組織にとって、しっかりした情報セキュリティアーキテクチャを構築することは、リストの最上位にあるべきです。情報セキュリティアーキテクチャとは何か、そしてそれがどのようにして、より少ない作業と不安で重要なIT資産をセキュリティ上の脅威から守るのに役立つのかを学びましょう。

エンタープライズ情報セキュリティ・アーキテクチャとは？

エンタープライズ情報セキュリティ・アーキテクチャ（enterprise information security architecture）を定義するシンプルな方法は、それが企業アーキテクチャ（EA）の一部であり、企業のデータを保護することに焦点を当てている、と言うことです。

より包括的な定義として、EISA は組織のデータを保護するための中核となるセキュリティ原則と手順を説明します。これには、システムやその他のシステムだけでなく、担当の人員チームや、その役割、機能も含まれます。この情報は、組織の要件、優先順位、リスク許容度、関連する要因といった文脈のもとで提示され、EISA が現在のニーズだけでなく将来のビジネスニーズも反映できるようにするためのものです。

主要な要素

以下は、EISA の主要な要素と、それぞれの目的です。

• ビジネスコンテキスト— 企業情報の利用ユースケースと、ビジネス目標達成に向けたそれらの重要性を定義します。
• 概念層— 企業プロファイルやリスク属性など、全体像を提供します。
• 論理層— 情報、サービス、プロセス、アプリケーション間の論理的な経路を定義します
• 実装— EISA をどのように実装すべきかを定義します。
• ソリューション— セキュリティの脆弱性を軽減し、将来に向けてセキュリティを維持するために使用されるソフトウェア、デバイス、プロセス、およびその他のコンポーネントを詳述します。

EISA のメリット

堅実な EISA を持つことは、あらゆるレベルでのセキュリティ計画を導くうえで非常に価値があります。IT 環境全体にわたってどのプロセスやソリューションを導入するべきか、また技術のライフサイクルをどのように管理するかについて、最善の判断を下すために必要な詳細情報が提供されます。

さらに、慎重に文書化され公開された企業の情報セキュリティ アーキテクチャは、多くの現代的な業界標準や法的義務への準拠に不可欠です。

EISA 作成における課題

最適な EISA 戦略の開発は、特に次のような一般的な要因が関係している場合、難しいことがあります。

• リスク管理や IT セキュリティの維持に関して、部門やチーム間でのコミュニケーションや連携が不足している
• EISA の目標を明確に説明できていない
• ユーザーやステークホルダーが、情報セキュリティを優先する必要性について理解していない
• データ保護ソフトウェアツールのコストと ROI を算出するのが難しい
• セキュリティ問題を適切に対処するための資金不足
• 有効で重要な連絡までフラグ付けしてしまうスパムフィルタなど、以前に開発されたセキュリティ対策への不満
• 規制要件やビジネス目標を達成できなかったこれまでの失敗,
• これまでのITセキュリティ投資が効果を上げていないのではないかという懸念

EISA を構築する際の主要タスク

企業の情報セキュリティアーキテクチャを構築するには、以下のタスクが含まれます。

• 現在のセキュリティアーキテクチャにおけるギャップや脆弱性を特定し、対策して軽減します。
• 現在および新たに出現するセキュリティ脅威を分析し、それらをどのように軽減するかを検討します。
• 定期的に security risk assessment を実施します。考慮すべきリスクには、サイバー攻撃、マルウェア、顧客または従業員の個人データの漏えい、そしてハードウェアおよびソフトウェアの障害イベントなどが含まれます。
• EISA で活用できる、セキュリティ専用の技術（たとえば privileged access management）だけでなく、非セキュリティのソリューション（たとえばメールサーバー）が持つセキュリティ機能も特定します。
• EISA がビジネス戦略に整合していることを確認してください。
• EISA が、SOX、PCI DSS、HIPAA/HITECH および GDPR などの適用されるコンプライアンス基準の要件を満たすのに役立つことを確認してください。

EISA を成功させるための 5 つのステップ

次の 5 つのステップで、効果的な EISA を作成することができます：

1. 現在のセキュリティ状況を評価します。

現在組織で運用しているセキュリティのプロセスと標準を特定してください。次に、さまざまなシステムにおいてセキュリティ要件がどこで不足しているのか、またそれをどのように改善できるのかを分析します。

2. セキュリティのインサイトを分析する（戦略面および技術面）。

ステップ1で得たインサイトを自社のビジネス目標と結び付けてください。取り組みの優先順位を付けられるように、技術的な対策だけでなく、戦略面の文脈も必ず含めます。

3. アーキテクチャの論理的なセキュリティ層を構築する。

セキュリティのベストプラクティスに基づいて EISA の論理アーキテクチャを作成するには、確立されたフレームワークを使用し、優先度が高い領域に対してコントロール（統制）を割り当てます。

4. EISA の実装を設計します。

論理レイヤーを、実装可能な設計に落とし込みます。自社の専門性、リソース、市場の状況を踏まえて、どの要素を社内で開発し、どの領域をベンダーに運用・管理させるべきかを判断してください。

5. アーキテクチャを継続的なプロセスとして扱います。

脅威の状況、IT 環境、ソリューション市場、そしてベストプラクティスの推奨事項はすべて常に変化しているため、情報セキュリティのアーキテクチャを定期的に見直し、更新するようにしてください。

最新の EISA フレームワークを選ぶ

EISAを構築する際、最初からゼロで始める必要はありません。代わりに、過去10年の間に開発された複数のフレームワークのうちの1つに依拠して、効果的なEISAを作りましょう。お客様の組織に合わせて必要に応じて調整し、確実に機能するようにしてください。

EISAとして選べる主なフレームワークはこちらです。

The Open Group Architecture Framework（TOGAF）

TOGAF は、エンタープライズのセキュリティ・アーキテクチャを初めてゼロから作成するための一連のツールを提供します。EISAのさまざまな層の間にあるギャップを埋め、明確な目的を定義するのに役立ちます。さらに、このフレームワークは、組織のセキュリティニーズが変化するにつれて、それに合わせて対応できるように設計されています。

Sherwood Applied Business Security Architecture（SABSA）

SABSAは、EA および EISA のための方法論です。COBIT 5 のような他のプロセスと併用されることがよくあります。

COBIT 5

COBIT 5 は ISACA が開発した詳細なフレームワークであり、あらゆる規模の組織が IT インフラストラクチャを管理し、保護するのに役立ちます。ビジネスロジック、リスク、プロセス要件を扱います。

国防アーキテクチャ・フレームワーク（Department of Defense Architecture Framework、DoDAF）

この DoDAF は政府機関だけのものではありません。運用と情報セキュリティを結びつけるため、独立した IT ネットワークを持つ複数企業の組織が相互運用性の課題に対処するのに最適です。企業内のさまざまな関係者に向けたインフラの可視化を中心に据えています。

連邦エンタープライズ・アーキテクチャ・フレームワーク（FEAF）

The FEAF は、米国連邦政府の参照となるエンタープライズ・アーキテクチャです。各機関の固有のニーズ、目標、運用および活動がある中でも、優先領域を認識し共通のビジネス慣行を構築できるよう支援するために開発されました。 EISA だけでなく EA においても、政府機関と民間組織の双方を支援できます。

ザクマン・フレームワーク

The Zachman Framework は、EA（エンタープライズ・アーキテクチャ）の作成によく用いられる高レベルのフレームワークですが、トップダウンの EISA アプローチに置き換えることもできます。6つの基本的な問い（what, how, when, who, where, why）に基づき、次の6つの層で構成されています：Identification、Definition、Representation、Specification、Configuration、Instantiation。

よくある質問

エンタープライズのサイバーセキュリティとは？

エンタープライズのサイバーセキュリティとは、企業の内部およびインターネット上にある企業資産を、企業の内外からのサイバー攻撃から守るために用いるアーキテクチャ、プロトコル、ツールのことです。

エンタープライズのサイバーセキュリティは、一般的なサイバーセキュリティと異なり、現代の企業は複雑なインフラを持つため、セキュリティインシデントを回避するには強力な security policy 、継続的な評価、そして効果的な運用管理が必要です。

情報システムのセキュリティアーキテクチャとは？

情報システムのセキュリティアーキテクチャは、システムが収集・保存・処理するデータを保護するために必要な枠組み、プロトコル、モデル、方法を定義します。

セキュリティアーキテクチャはエンタープライズアーキテクチャの一部ですか？

はい。セキュリティアーキテクチャは、セキュリティとプライバシーを評価し改善するため、エンタープライズアーキテクチャの柱となります。適切なセキュリティ対策がない場合、企業の基盤全体、ひいては事業全体がリスクにさらされます。