自社環境内に弱点が存在するかどうか定常的にチェックする「アタックサーフェスマネジメント」「サイバーハイジーン」

近年、サイバーセキュリティの文脈において「アタックサーフェスマネジメント」という用語を頻繁に耳にするようになりました。ここで言う「アタックサーフェス（Attack Surface）」とは、外部からサイバー攻撃を受ける可能性のあるIT資産や領域を指します。これらをマネジメントする、つまり外部から攻撃されかねない脆弱性やセキュリティ上の問題が存在しないかどうかをしっかり把握して管理する取り組みのことをアタックサーフェスマネジメントと呼びます。

こうした考え方自体は以前から存在しましたが、調査会社の米ガートナー社が提唱したことで一気に広く知られるようになりました。また2023年5月には経済産業省がアタックサーフェスマネジメントの導入ガイドを公開するなど、国もその取り組みの重要性を積極的に打ち出しています。

これと似たコンセプトの1つに、「サイバーハイジーン」というものがあります。「ハイジーン（Hygiene）」とは日本語で「衛生」を意味する言葉で、サイバーハイジーンとはさしずめ「サイバーセキュリティの衛生管理」とでもいったところでしょうか。病気に罹ることを防ぐために日頃から手洗い・うがいをしたり予防接種を行うのと同様に、サイバーセキュリティにおいても日ごろから自社環境を健全な状態に維持することが、サイバー攻撃を防ぐ上で極めて重要だという考え方です。

このアタックサーフェスマネジメントとサイバーハイジーン、どちらの取り組みも自社内に攻撃者に悪用される可能性のある弱点が存在するかどうかを常にチェックすることが重要だとしています。そしてそのためには、まず自社でどのようなIT製品がどんな状態で利用されているかをしっかり把握することが重要です。いわゆる「IT資産管理」の取り組みをしっかり行い、その上で自社のIT資産に脆弱性やセキュリティ上の問題が存在するのか、もし存在していたらその対処がきちんと行われているかどうかを確認する必要があります。

テクニカル面からセキュリティの健全性を評価する「CPA」

とはいえ、こうしたチェックプロセスを自社内だけで定常的に回すには、かなりの手間や人手が掛かるのも事実です。そこで外部ベンダーのアセスメントサービスを用いて、自社環境のセキュリティ状態を定期的にチェックしてもらうのも1つの手です。

弊社ではそうしたニーズにお応えするために、「CPA（Cyber Posture Assessment：セキュリティ・ヘルスチェック・サービス）」というサービスを提供しています。これは弊社のEDR製品「Cybereason EDR」を一時的に利用して、エンドポイントにおけるセキュリティの健全性を評価するというものです。

具体的には、Cybereason EDRのクライアントソフトウェアをお客様環境のエンドポイントにインストールしていただき、一定期間ログを収集します。その後弊社のアナリストがログの内容を分析・評価し、「重要なセキュリティパッチが未適用の端末はないか」「サポート期間が終了したOSは存在していないか」「グローバルIPが割り振られた端末は存在していないか」などセキュリティ上重要な16の項目それぞれで、お客様のセキュリティ対策の実施状況を評価します。

これらの詳細な評価結果は、今後必要とされる施策やその優先順位とともに報告書の形にまとめられ、お客様に提出されます。

体制・プロセス面も含めた取り組み全般を評価する「CSPA」

一方、自社内に潜むセキュリティの弱点をきちんと洗い出して管理するには、CPAのような技術面からのアプローチだけでなく、体制やプロセス面からのアプローチも重要です。どれだけ高価なセキュリティ製品を導入しても、あるいは一時的にすべての脆弱性や技術的なセキュリティの問題に対処できたとしても、日ごろの運用を怠っていてはすぐに新たな問題点を攻撃者に狙われてしまいます。そのため平時からのセキュリティ対策の運用や、いざインシデントが発生した際の対応をしっかり行うための体制やプロセス作りも重要です。

弊社では、こうした体制やプロセス面も含めた取り組み全般を評価するためのサービス「CSPA（Cyber Security Program Assessment：サイバーセキュリティプログラム評価）」を提供しています。これはNIST（National Institute of Standards and Technology：米国国立標準技術研究所）が定めるサイバーセキュリティフレームワークに則って、お客様のセキュリティ対策状況を評価するというものです。

具体的には、約80の評価項目に照らしてお客様の現在の取り組み内容をヒアリングさせていただくとともに、各種文書をご提供いただき、それらの内容を弊社のアナリストが机上で評価します。その上で、NISTのサイバーセキュリティフレームワークの各項目に応じてお客様の現在の取り組み内容をスコアリングし、強みと弱点を明らかにした上で、さらに今後対策を強化していくために優先的に取り組むべき内容などを報告書にまとめて提出します。

さらにCSPAには先ほどのCPAの実機評価も含まれるため、実機と机上、テクニカル面と体制・プロセス面の両面からお客様の取り組み状況を可視化することが可能です。アタックサーフェスマネジメントやサイバーハイジーンの取り組みの第一歩として最適なサービスですので、興味のある方はぜひ利用を検討してみてはいかがでしょうか。

エンドポイントセキュリティ選定ガイド

次世代型のエンドポイントセキュリティの役割と必要性を明らかにし、EPP、EDR、MDRを導入する際の押さえておくべき選定ポイントをまとめた上で、国内シェアNo.1を誇るサイバーリーズンの製品・サービスの特長をご紹介しています。

複雑化するサイバー攻撃への対策として、これから次世代型のエンドポイントセキュリティ強化に取り組む方も、すでに取り組んでいる方も、本資料を参考に、さらなるセキュリティ強化に取り組むことをお勧めいたします。
https://www.cybereason.co.jp/product-documents/brochure/6189/