コース: サイバーセキュリティの基礎

サイバーセキュリティの脅威と対策を知る

コース: サイバーセキュリティの基礎

サイバーセキュリティの脅威と対策を知る

“

サイバーセキュリティの リスクマネジメントで 最初にすべきことは、 脅威に関する情報収集です。 その主な情報源を見てみましょう。 NIST SP 800 の 30、 付属資料 E（イー）にある 脅威イベントの一覧は、 脅威となるさまざまな戦術、技法、 手順を 「TTP（ティーティーピー）」と呼んで、 例とともに分類整理しています。 MITRE ATT&CK（マイターアタック）も、 TTP に関する非常に有用な情報源です。 米国のサイバーセキュリティと レジリエンス強化のために 構築された官民共同のナレッジベースで、 サイバー攻撃の流れと手法を体系化した フレームワークを提供しています。 VERIS（ベリス）は、 オープンコミュニティで 脅威に関する情報を共有する データベースで、 リスク分析に活用できます。 ThreatStream（スレットストリーム） というセキュリティソリューションを 開発する Anomali（アノマリ）社も、 最新のサイバー攻撃動向や攻撃主体の情報を ブログで公開しています。 具体的な事案単位で、 攻撃主体、攻撃手法、 標的の脆弱性についての 詳細がわかる情報源も多数あります。 例えばこれは、 BAE Systems Applied Intelligence 社の レポートです。 MacKeeper（マックキーパー）という アプリの脆弱性が macOS（マックオーエス）システムへの 攻撃に悪用される恐れがあることを 警告しています。 リスクが明らかになった場合の対応は、 次の４つのいずれかになります。 リスク受容は、組織として許容できる範囲の リスクに対して取られる対応です。 リスク回避は、そのリスクを伴う ビジネス活動を続けるよりやめる方が 得策である場合に取られる対応です。 リスク移転は、 保険に加入するなどの方法で、 脅威のリスクを第三者に 肩代わりさせる対応です。 リスク低減は、さまざまな対策を 導入することでリスクを 小さくする対応です。 サイバーセキュリティのリスクと 事業成果に及ぼす影響を軽減するために 行うもので、対策には、 サイバーセキュリティポリシー、 業務手順、 技術的ソリューションなどがあります。 リスク低減の対策は、 次の４つのタイプから複数を組み合わせて、 防御を厚くすることが 望ましいとされています。 抑止的対策は、脅威となるものを 減らす取り組みです。 その１例が、サイバー攻撃犯を逮捕して 収監することです。 予防的対策は IT システムの脆弱性を突いて 社内アセットにアクセスしようとする行為を はね返す仕組みのことです。 これには、攻撃ベクトルとして使われる 可能性があるプロトコルを ファイアウォールでブロックすること などが含まれます。 検知的対策は、 攻撃の発生を把握する仕組みです。 不法侵入を検知する防犯アラームが その例です。 補正的対策は、バックアップからデータを 復元するなどの方法です。 インシデントによる影響を 軽減する対策です。 NIST CSF のフレームワークコアでいうと、 「対応」と「復旧」の部分にあたるのが、 この補正的対策です。

目次