セキュリティ

この棚にあるもの

システムとアカウントが乗っ取られるのを防ぐための製品です。IDとアクセス、エンドポイント保護、脆弱性管理、シークレット、不審な活動の監視、そして何かが起きたときの対応を扱います。

製品は、単一の統制から、環境全体をカバーするプラットフォームまで幅があります。重要なのは、攻撃者が実際に使う経路をカバーしているかで、それは宣伝が示すよりもずっと狭いものです。

チーム向けの認証情報の保管はパスワード管理に入ります。監査の証跡とフレームワークはコンプライアンスとGRCにあります。

実際のリスクの順に買う

中小企業のインシデントの大半は、3つのうちのどれかから始まります。盗まれたパスワード、インターネットに公開された未パッチのシステム、メールで誰かが何かをするよう説得されること。

その順序が、何を先に買うべきかを教えてくれます。すべてに対する多要素認証、特にメールと管理者アカウント。システムにパッチを当て続ける、管理された仕組み。各ノートパソコンに誰も見ないまま置かれたライセンスではなく、一元的に状況を見られるエンドポイント保護。

高度なプラットフォームは、あとで持つ価値があります。最初に買うと、誰も読む時間のないアラートを生み出し、保護なしで費用だけが生じます。

IDが、今や境界線

アクセス制御は、主な防御になりました。仕事がブラウザーとスマートフォンに移ったとき、ネットワークの境界は意味を失ったからです。

• シングルサインオン。アカウントの作成と削除を、1か所で行えます。
• プロビジョニング。アクセスを、記憶ではなく雇用に結びつけます。
• 強力な第2要素。管理者には、フィッシングに強い方式を用意します。
• 最小権限。常時の権限ではなく、短時間だけの昇格を含みます。
• セッション管理。盗まれたトークンの寿命を限定します。

シングルサインオンの対象外になるアカウントを、製品がどう扱うかを尋ねてください。どの組織にも多少はあり、誰かが辞めたときに忘れられるのは、それらのアカウントです。

エンドポイント、脆弱性、地味な保守

エンドポイント保護は、既知の脅威を防ぐことから、挙動を記録して後から調査できるようにすることへ移りました。有益な問いは、アナリストが実際に何をできるかです。端末を隔離する、ファイルを取り出す、プロセスの履歴を見る、何かを巻き戻す。

脆弱性管理は地味ですが、より多くの穴をふさぎます。重要なのはレポートの長さではなく、悪用のしやすさと到達可能性で優先順位がつけられているか、そして修正が、延々と並べられるのではなく、完了まで追跡できるかです。

パッチ適用の頻度は、このカテゴリのほぼすべての統制に勝ります。何が足りないかを教えるだけで、適用を助けてくれないツールは、作業を減らさず移しているだけです。

監視と、その担い手

ログの収集とアラートは、誰かが対応して初めて役に立ちます。

プラットフォームを買う前に、午前2時にアラートを読む人は誰で、その人にどんな権限があるかを決めてください。正直な答えが「誰もいない」なら、マネージドサービスのほうが良い買い物です。ツールを、対応に変えてくれるからです。

そのうえで、ノイズへの期待値を決めます。取り込み量は費用を押し上げ、誤検知は疲労を生むため、チューニングは設定作業ではなく継続的な作業です。製品でチューニングがどのようなものか、アラートの質がどう測られるかを尋ねてください。

人と、最も安価な統制

トレーニングと模擬フィッシングは、嘲笑されがちですが、効果があります。対象とする攻撃が、最も一般的なものだからです。

短く、頻繁に、そして従業員が実際に出会う状況に即したものにしてください。数秒で済む報告経路を組み合わせ、不審なメールの報告は、中断ではなく成功として扱います。

このカテゴリの料金は、エンドポイントごと、ユーザーごと、取り込み量ごと、またはスキャンごとで、マネージドサービスは人の注意に対して別に課金します。ライセンスだけでなく、その注意も含めた合計で試算し、料金ページが隠していることに書かれた傾向も併せて考えてください。

3つの規模で見る、良い状態

20人未満の会社なら、良い状態とは、すべてのアカウントが第2要素で保護され、ノートパソコンが暗号化されてパッチが当たり、認証情報が金庫に入り、このテーマの担当者が1人いることです。セキュリティチームがなくても達成できます。

100人規模になると、そこにID管理、入社と退社の自動化、エンドポイントの検知、そして誰かが実際にリハーサルした文書化済みの対応計画が加わります。

それを超えると、問いは技術的なものから組織的なものになります。誰がアラートを見るのか、侵害されたアカウントをどれだけ速く封じ込められるのか、そしてその答えが、祝日の午前2時にも通用するのか。

気づく価値のあるパターンは、支出が失敗するのは、ツールが安すぎたからではないということです。誰もその成果物に責任を持たなかったから失敗するのであり、これは購買ではなく人員配置の判断です。