Japan攻撃者は日々その能力を高め、絶えず戦術を進化させています。年の件数を上回っています。このような状況では、事が起きてから対応するのではなく、事前の備えが重要です。ゲートウェイなど従来の保護機能の多くは、何かインシデントが発生した場合に防御するというものです。インシデントを想定した対応計画やポリシーが必要とされていますが、企業のサイバーセキュリティ対策ではその点が見落とされがちです。インシデントへの対応方針をポリシーとして定義し、インシデントへの対処手順を計画として策定しておけば、インシデントに見舞われても最小限のコストとダウンタイムで解決できるようになります。これは企業としての対応力が問われる事態に陥ったときに特に重要になります。その例としては猛威を振るっているランサムウェアへの感染、サプライチェーンの侵害、重大なデータ漏洩などがあります。重大なインシデントが発生したときに対処手順や責任者が明確になっていないとどうなるかは簡単に想像がつきます。そこで策定しておきたいのがインシデント対応計画(IRP)です。企業のインシデント対応の枠組みとなるドキュメントであり、秩序だったやり方でインシデントに対応する方法を定めています。通常業務に復帰することを最終目標として、同じ方法で実行できる一連のアクションを策定することで運用コストとミスを最小限に抑えます。企業が行うインシデント対応(IR)のあらゆる領域をカバーする必要があり、策定の際は以下の項目を検討しなければなりません。インシデントの重大度や分類など、インシデントの定義を行う。することで、発生した事案を素早く正確に分類できるようになります。インシデントの定義は枠組みの中核となる部分であり、これに基づいてインシデント対応プロセスのその他のさまざまな要素が決定されます。実施方法を概要レベルと詳細レベルで示す。インシデント対応チームのメンバーの役割と責任を定める。これらのメンバーがプロセス全体を最初から最後まで支援します。エスカレーションパスと報告経路を決定する。企業が準拠している規制や枠組みによって決まるものもあります。規制されたデータを取り扱っている企業はこれが特に重要になります。影響を受けたシステムから収集する必要がある情報の一覧を作成する(ネットワークログ、ホストベースのアーティファクト、ファイルサンプルなど)。インシデント発生時に支援を求めたり緊急対応を依頼したりすることができる適切な連絡先一覧とスタッフの割り当てを作成する。おいて一定の役割を担ってもらう。ついてあらゆることが分かるドキュメントを作成できます。ありませんが、問題が発生したときに役立つ中心的なドキュメントになります。プレイブックなどの追加のドキュメントを使用して特定の処理手順に関する詳細を示すことができます。本当に必要なのかまだ疑っている方も多いかもしれません。あらゆる側面を実施することができます。策定することなく、セキュリティチームが独自の裁量でインシデントを調査し、感染したホストを封じ込め、修復を行ってはならないというわけではありません。これはインシデント対応のアドホックアプローチと呼ばれており、小規模な企業では有効な場合があります。最大のリスクは正式なプロセスがない点にあります。この方法は完全に個人に依存しています。正式なプロセスがないということは、その状況で最善だと思ったアクションを誰でも自由に行えるということです。妥当性が認められるアクションが実施されるとは限りません。このようなアプローチでは往々にして文書化が行われず、コミュニケーションも不足して、同じアクションが繰り返されることになります。人のインシデント対応担当者がたまたま同じインシデントに取り組み、同じアーティファクトを調査し、同じアクションを実施して封じ込め、貴重な時間を無駄遣いするといったことが起きかねません。インシデントは昼夜を問わずいつ発生するか分からないことを考えると、これはさらに重要になってきます。時に駆けつけた担当者もずいぶん助かることでしょう。おける各部署の役割インシデントは多方面に影響をもたらすので、さまざまなチームがプロセスに従って復旧と封じ込めにあたる必要があります。チームは通常、システムを復元し、バックアップからの復旧をモニタリングします。法務部は想定される侵害に応じた法規制の影響を評価します。各部署の一般的な役割は次のように分類できます。プロセスで実施できるようになることです。参照することでインシデント発生時にすべきことを把握できます。チームの新しいメンバーもすぐに業務に馴染むことができます。手順を参照しながら対応することでミスが発生しにくくなります。トレーニング演習も、策定した計画に基づいて実施します。具体的には、机上演習、パープルチーム演習、レッドチーム演習、ペネトレーションテストなどです。規定された実施すべき事柄を比較することでフィードバックを提供できます。ライブテストを実施しないと気付かないような問題点がプロセスに潜んでいることもあります。コミュニケーションプロセスに欠陥があることが演習を通じて明らかになることがあります。演習を行うとプロセスの習熟が進みます。この体験はドキュメントを読んだだけでは得られません。した演習は実際のインシデントに近い状況を再現することを目的としています。計画に潜む欠陥や改善点を発見できます。反映させる必要があります。機能が最新の状態に保たれます。そのための支援を行っています。事業活動が停止するようなインシデントに備えて事業継続に重点を置いた対応計画を作成することができます。プラクティスを導入してまだ日が浅いというケースでは、まずは定型的な計画を策定し、チームの成長に合わせて内容を充実させていくこともできます。これにはさまざまな要因が関係しており、実施計画を策定する前に次のような手順を行う必要があります。保護する必要があるデータとシステムを特定する。ビジネスのあらゆる要素を同時に復旧するのは無理なので、優先順位を付ける必要があります。これは資産、プロセス、資産に保存されているデータの重要度に基づいて行います。環境内に存在するデータの種類を特定する。規制されたデータに重点を置きます。PHI(個人健康情報)には厳格な報告要件と保護要件があり、違反すると厳罰が科されます。緊急時の対応を支援してもらう外部ベンダーが決まっている場合は、そのベンダーの対応プロセスと連絡方法を把握する。電話番号や電子メールなどの連絡先情報を対応計画に含めます。した外部ベンダーに要請を行う権限がある責任者も決定します。従業員と面談し、緊急対応時に期待される役割と責任を理解していることを確認する。インシデントは定休日も営業時間も関係なく発生します。スタッフのローテーションや指揮系統などのプロセスは、継続的な運用に対応できるようにしておかなければなりません。従業員は休憩や睡眠を取る必要があるため、復旧に対応するスタッフを把握しておくことが重要です。バックアップを使用して重要なシステムを稼働できるようにしておく。することで、システムがダウンした場合は迅速な復元手順で再稼働できるようになります。一環としてもテストを行います。計画には運用の復旧に関係する適切なリファレンスとプロセスを含めます。発動されたときに慌てることなく対応できるようにする。フォレンジックの証拠を収集する作業プロセスを定める。ベンダーでは調査のためにその証拠が必要になります。レビューおよび更新サービスをご検討ください。プロセスをレビューして更新することは非常に重要です。生きたドキュメントであり、企業とともに成長し、絶え間なく変化する脅威の状況に対応していく必要があるからです。価値を維持し続ける必要があります。正式に導入するプロセスを開始したいと希望されている新しい企業もありました。重要な考慮事項を盛り込んだ計画をそのお客様と協力して作り上げました。計画には、柔軟に変更できる余地を残し、社内のプロセスとテクノロジーを反映させました。規制されたデータを扱う業界のサービスプロバイダーのお客様からご相談を受けたこともあります。あるものの情報不足で詳細なガイダンスが欠けていると感じておいででした。基盤にしてより包括的な計画を作り上げました。まとめサイバーセキュリティ部門は、インシデントの検出、対応、復旧を行って企業が損害を被らないようにしています。セキュリティ担当者の優れた対応によって早い段階で攻撃を阻止または検出し、機密性の高いシステムを守ることができれば理想的なのですが、いつもそのように上手くいくとは限りません。サイバーセキュリティ部門にはあらゆる攻撃を阻止することが期待されていますが、攻撃が一度でも成功すればインシデントは発生してしまいます。したがって、すべての攻撃を阻止できない可能性があることを前提として受け入れる必要があります。効果的な防御システムを作り上げることはできません。攻撃者が弱点を見つけて防御を回避するかもしれませんし、悪意のある内部関係者が正当なアクセス権を使用してシステムを攻撃するかもしれません。完璧なセキュリティ防御は存在しないことを謙虚に認める必要があります。インシデントに備えて計画を立てておくことは、サイバーセキュリティ対策の重要な部分となっています。インシデント計画は実行性があり、即座に実施できるものであればよく、複雑なものを目指す必要はありません。インシデント対応チームは、インシデントへの対応、侵害からの復旧、インシデント対応計画の策定において豊富な経験を持っています。リアルなシナリオに基づく机上演習も提供しています。演習サービスをご利用いただくことで、インシデントが実際に発生する前に計画をテストして弱点を特定することができます。インシデント対応チームのアナリストは緊急時だけでなく、インシデントに備えて対応を強化したい場合にもご相談に応じます。「備えあれば憂いなし」という人生訓は企業のサイバーセキュリティ対策にも当てはまります。