2024の現地レポートをお届けします。USAは今回初参加となります。世界中のセキュリティー関係者がさまざまなテーマを胸にラスベガスの会場(マンダレイベイコンベンションセンター)に集まったと思いますが、筆者は以下を確認するために現地入りしました。2024もブースの出展数やセッション数が非常に多く、すべてを見るのは物理的に不可能なため、テーマを持って参加した方がよいのは間違いありません。興味はあってもテーマに合わないセッションは多少犠牲にしつつ、スケジュールを組まざるを得ません。このあたりは、RSACでの経験を生かせたと思います。2024の現地レポートをお届けします。外部へ情報発信する機会をいただいた際に都度お伝えしていることですが、セキュリティーは難しくて敬遠したいものではなく、働く皆さま一人一人を守る身近なものと感じていただけたら嬉しく思います。2024の概要を記載します。Nightというイベントで、たくさんの日本人の方々と挨拶することができました。2024ほどありませんでした。2024と比べると、日本人参加者は少ないように感じました。一方で、現地で待ち合わせした東京エレクトロンデバイス様、トレンドマイクロ様、兼松エレクトロニクス様をはじめ、お会いした皆さまとは貴重な意見交換をすることができました。ご対応いただいた皆さまに、この場を借りて感謝申し上げます。Hatに参加するには公式サイトから該当するイベントを探して、Passを購入する必要があります。NOWをクリックして、Passを購入しました。COMPARISONを開くと、Passの比較ができてよいと思います。Pass以外のPassは、購入時期が早ければ早いほど割引されます。これはRSACと同様で、海外のカンファレンスに慣れると、このあたりの仕組みの理解が早くなりますね。NOWのページはクローズされており、割引の詳細が掴めませんが、私のメモによると、2024/5/24までに購入する場合が最安値で、2024/8/8までに現地オンサイトで購入する場合が最高値となっていました。Hatへの参加が決まったら、なるべく早めにPassを購入した方がお得です。Passの組み合わせで購入しました。Passを購入した場合に比べ、1,000ドルほど節約できました。Passに50ドルの割引を適用しました。Passであれば、200ドルの割引が適用できるようです。CISSP※2を取得したことで、ISC2まで目が届くようになりました。Hatに参加予定の皆さまのご参考になれば幸いです。2.AI今回の筆者のテーマであるCTEMとPENテストに触れる前に、素通りできない「AI」について少しだけ語らせてください。Summitに今回参加しました。Elections」というワードです。2024でも同じくらい情熱を感じました。日本より選挙のデジタル化が進んでいることが背景にあるかもしれませんが、AIが生成するディープフェイクの映像などでアメリカ国民を騙し、投票先が変わるなど許されないことなのでしょう。投票先を意図的に変えさせる行為はアメリカの未来を変えてしまうリスクと考えられているのかもしれません。余談ですが、宿泊先のホテルでテレビをつけると、ネバダ州の投票用アプリのCMやライバルの候補者を露骨に批判するCMが普通に流れていて、日本だと考えられないな、と思いました。いえば、RSACに行った際のサンフランシスコの宿泊先でも、同じようなCMを見た記憶があります。1つ取り上げるとしたら、皆さまご存じのOpenAIによるセキュリティー運用におけるプロンプトエンジニアリングになるでしょう。engineer...」とプロンプトを書き出して、ログ解析する様子を伝えていました。GitHubにインシデントレスポンスSlackbotを公開中とのことです。(2)ほかに気になったAI関連のワードここからはAI関連で気になったワードをいくつかご紹介します。Wizは、「AI-SPM」というワードを打ち出していました。AIと言えるでしょう。Management)を手掛けるVaronisは、「MDDR」というワードを話されていました。AIと言えるでしょう。発生したWindows端末障害に対して、ReGenAIがどう回答を重ねていったかを時系列で紹介し、徐々に情報量が増え、回答精度が上がっていく様子が伝えられました。Analyst」も心に残ったワードです。3.CTEMとPENテストいよいよ今回筆者が掲げたテーマである「CTEMはPENテストと本当に競合するのか?」について、書いていきます。先に結論を述べますと...CTEMはPENテストと競合ではなく、共存する今のところはこのように感じています。(1)CTEMとPENテストは起点が異なるCTEMのEはExposureのことで、元々は金融用語から来ているようですが、サイバーセキュリティーにおいては、リスクにさらされているITアセット(IT資産)全般を指しています。今ではオンプレミスからクラウドまで、サーバー、クライアント、ネットワーク、OT、IoTなどの物理デバイスから、ソフトウエア、ID、データなどの情報資産まで、インターネットにつながるあらゆる場所にITアセットは配置され、人の数以上に存在します。なると、管理しきれない未把握のITアセットがあると考えるのはとても自然なことです。仮に、未把握のITアセットがリスクの高いExposureとなっていた場合、それを放置したら、その組織は攻撃者の侵入を許してしまうわけです。CTEMは、未把握のITアセットを発見するプロセス・機能を有しており、PENテストは把握しているITアセットの脆弱性を発見するプロセス・機能を有しています。ITアセットの発見を起点にするCTEMに対し、把握しているITアセットの脆弱性の発見を起点にするPENテストを競合として並べるのは、少し違うかなと感じます。CTEMでExposureや脆弱性を管理できている前提で、その管理に穴が無いかどうかを確認するのがPENテストであると理解するのが正しいと思います。一方で、すべてのITアセットを発見するということは、見つかる脆弱性の数もかなり多くなります。あまりに脆弱性が見つかりすぎると、多くの人は立ち止まってしまいます。「10個くらいならまだしも、1,000個もの脆弱性に対処するのは不可能だし、経営層に報告できない」と考えるユーザーが一定数いらっしゃいます。これでは本末転倒な気もしますが、企業体力によっては仕方のないことかもしれません。これは筆者の推測ですが、おそらくPENテストは、一度でも立ち止まってしまった経験のあるユーザーに支持され始めているのではないでしょうか。考え方によっては、何もできずに立ち止まるくらいなら、未把握のITアセットより、把握しているITアセットを優先して脆弱性に対処する方が、前向きにリスクを減らせていると考えられます。ここまで書くとご理解いただけると思いますが、CTEMとPENテストで近しい思想とは、特にここ最近のトレンドでもある「脆弱性に優先順位をつける考え方」になります。立ち止まってしまいそうなシステム管理者に脆弱性の優先順位を提示し、前向きにリスクを減らす行動を促します。2024に出展していたPENテストメーカーの名前が挙がっていたり、PENテストがCTEMを意識した取り組みをしていることは分かりました。(3)CTEMとPENテストのどちらがよいか結局、CTEMとPENテストはどちらがよいでしょう。良し悪しの話をするより、そのメーカーのルーツを探り、自組織の哲学を信じて、選択すべきではないかと思います。サプライチェーンリスクが高まる中、グループ企業や関連企業を含め未把握なアセットがあることが致命傷になりかねないと考える組織はCTEMを選択し、システム担当者の異動に伴う引継ぎなど、ITアセット管理やパッチ適用が全網羅的に運用できている組織は継続的(Continuous)なPENテストを選択するのがよいのではないでしょうか。CTEMとPENテストは補完関係で、両方採用することに越したことはありません。それでも、あえてどちらかを採用するとしたら、これまでの大企業を含めた国内外で起きたインシデントを思い返してみると、未把握のITアセットを放置するリスクの方が非常に高いと考えられるため、CTEMを優先すべきではないでしょうか。いずれにせよ、Exposureに目を向け、継続的に脆弱性を管理する文化が根付くことが、日本のセキュリティーレベルをもう一段階上げるうえで重要です。4.まとめ今回で3回目の海外出張となりました。毎回同じ思いに駆られますが、海外には新しいテクノロジーに楽しさや喜びを見出し、世界を変えていこうとする気概のようなものを感じます。日本のイベントで、新しいテクノロジーの発表をスタンディングオベーションで迎え入れる光景は、あまり想像できません。最近のAIの発展は、人々の気概やその国の文化が支えているのではないかと思います。一方で、政府主導のさまざまな取り組みも、テクノロジーの発展において見逃せない重要な要素であると思います。ゼロトラストの考えに基づけば、従来通りのシステム運用を疑いもせず信用するのはリスクが高いでしょう。以前より発見される脆弱性の数が増え、オンプレミスからクラウドまでIT環境が広がり、脆弱性管理の対象が爆発的に増えました。未把握のITアセットの数も確実に増えました。数が増えすぎたことへの対応として、脆弱性に優先順位をつける考えが生まれたと推察されます。思わぬところから攻撃されないよう未把握のITアセットを見落とさずに発見し、網羅的に脆弱性管理を行なっていくCTEMで次世代システム運用へと進化しましょう。脆弱性管理をきちんと継続できるか心配な場合は、まず小規模環境でCTEMによる運用フローを確立し、徐々に適用範囲を広げていくのも1つの手です。CTEMの運用にもゼロトラストの考えを持ち込み、盲点がないかをチェックするために、PENテストの採用を検討する順番がよいでしょう。ユニアデックスは今後も国内外の最新トレンドをお届けしますユニアデックスは、できる限り無駄なく隙間なく、ソリューションを取り揃える取り組みを続けており、最新トレンドを掴むための海外出張や海外駐在員との情報交換を適宜行っております。セキュリティーに終わりはなく、継続的に攻撃者と戦うことが求められます。CTEMとマイクロセグメンテーションなど他のソリューションとの相互補完的な組み合わせの最適解・現実解でお悩みのお客さまがいらっしゃれば、マルチベンダーを得意とするユニアデックスへご一報ください。ユニアデックスはインフラだけの会社ではありません。「ユニアデックスに任せれば、セキュリティーも安心だ」と皆さまからご評価いただけるよう、日々取り組んでいます。関連ソリューションゼロトラストクラウドセキュリティーソリューションゼロトラストベースのクラウドセキュリティーサービス「CloudPas®」で包括的な対策をゼロトラストベースのクラウドセキュリティーサービス「CloudPasR」で包括的な対策をAIソリューションAIでCX(顧客体験価値)向上を実現DX(デジタルトランスフォーメーション)の加速とCX(顧客体験価値)向上を支援するAIソリューションを提供します。2024の現地レポートをお届けします。2024のチケットの種類から、次の最重要トレンドなどを弊社社員がわかりやすく解説します。社会や企業はどう理解し、対処していくべきかを考えるときOpenAIがChatGPTを2022年11月30日に発表して以来、多くのIT企業が同様のプラットフォームの利用やそれらを活用したサービスの提供を開始しています。した「生成AI」は利用シーンを広げるとともに、社会やビジネスのあり方に大きな影響を与えようとしています。生成AIもまたITシステムである以上、サイバーセキュリティーの問題と無縁ではいられません。私たちは、生成AIのセキュリティーをどのように理解し、付き合っていけばよいでしょうか。ゼロトラストで「CTEM」が果たす役割~求められる脆弱性管理への意識改革~セキュリティー対策でゼロトラストに注目が集まり、「SASE」や「SSE」といったカテゴリーの製品が多数登場しています。それらのソリューションを導入しても、攻撃者が狙うITシステムのウイークポイントを解消しなければ効果は著しく低下します。Japan社とユニアデックスが語り合いました。最適なソリューションをご提供いたします。お気軽にお問い合わせください。