この記事では、サイバーセキュリティ訓練とは何か、どのように行うのか、そしてサイバーセキュリティ演習がもたらすメリットについて解説します。サイバーセキュリティ演習は、標的型攻撃の撃退に本当に役立つのでしょうか。詳しく見ていきましょう。
続きを読む：2021年版サーバーセキュリティツールのベスト製品
サイバーセキュリティ演習に関するよくある5つの質問
サイバーセキュリティ演習にはどのような種類があるのか
サイバーセキュリティ演習とは、サイバー脅威に対抗する人員の対応力を高めるあらゆる活動と定義できます。
現在、サイバーセキュリティ訓練、サイバードリル、サイバーポリゴンという概念に明確な境界はありません。歴史的に見ると、サイバーセキュリティ演習は紙上演習、指揮所演習、幕僚演習でした。異なる部門の代表者を集めるこうしたイベントは、個々のスキルを把握することを目的としていました。しかし現在、サイバードリルは主にチームワークの訓練に活用されています。
サイバーセキュリティ演習は、CTF、つまりキャプチャー・ザ・フラッグ競技として実施されることもあります。ただし、こうした演習は組織へのサイバー攻撃発生時の対応を練習するというより、情報セキュリティ分野の新たな知識やスキルの習得を目的とする場合がほとんどです。
最も高度なサイバーセキュリティ演習では、企業が保有するものに類似したインフラへの実際の攻撃を再現します。このような演習の実施は難しく、多額の資金と技術リソースに加え、専用のソフトウェアやハードウェアプラットフォームが必要です。テスト攻撃を撃退する過程で、組織の従業員は新たなスキルを学び、協力してインシデント対応を行う練習ができます。
演習には、理論演習と機能演習の2種類があります。理論演習は、机上演習とも呼ばれ、組織上の課題について議論し、経営上の意思決定を行う練習を中心に設計されています。
一方、機能演習では、技術担当者がシミュレーション環境を使い、インシデント発生時の対応を練習します。管理職と技術担当者の双方を対象とする、ハイブリッド型のサイバーセキュリティ演習もあります。
サイバーセキュリティ演習は、規模によって分類することもできます。
- 目的別：特定の企業への攻撃を再現し、個々のセキュリティ態勢を改善する
- 業界別：同じ業界に属する複数の企業への攻撃を再現する
- 業界横断型：セクター横断型演習とも呼ばれ、関連する複数の業界や企業への攻撃を再現する
- 地域・国際型：地域限定または国際的な攻撃を再現し、政府関係者が関与することも多く、企業の担当者も参加する
サイバーセキュリティ演習に悪い形式はありません。従業員が情報セキュリティ分野の新たな知識を得たり、スキルを磨いたりする活動であれば、どのようなものでも企業にとって有益です。
レッドチーム演習はサイバーセキュリティ演習なのか
レッドチームとは、現実の攻撃を忠実に再現したシナリオで、組織の人員、プロセス、テクノロジーをテストするために招かれる外部組織です。Synopsysによると、レッドチーム評価では、「攻撃者」がさまざまな手法を使って資産へのアクセスを試みます。具体的には、ソーシャルエンジニアリング、ネットワークサービスの悪用、物理施設への侵入、アプリケーション層の悪用などです。
この意味で、レッドチーム演習はサイバーセキュリティ演習の一種と考えるべきです。これは計画されたイベントであり、他のサイバーセキュリティ演習と同じ特徴を備えています。スキルの学習と実践、結果の評価、さらにチーム間の連携が含まれます。
第三者なしでサイバーセキュリティ訓練を実施できるか
一方で、自社のセキュリティ態勢を自己検証すると、偏った結果になるリスクがあります。すべての管理職が部下の業務レベルを適切に評価できるとは限らないためです。多くの場合、第三者による評価のほうが脆弱性をより正確に示します。
他方で、サイバードリルの一部は自社で実施してみることもできます。規模が大きく成熟した組織では、さまざまな内部監査を定期的に行っています。外部の視点から潜在的な問題を把握するため、サイバーセキュリティ演習をIT部門やセキュリティ部門の標準手順に組み込むことも可能です。
サイバーセキュリティ演習を自社で実施するかどうかを決めるうえで、企業の成熟度と、そのような取り組みへの準備状況は極めて重要です。実施にあたっては、次のような重要な疑問が生じる可能性があります。
- 演習を実施できるインフラのコピーを展開する能力が、会社にあるか
- 稼働中の業務システムで演習を実施する準備ができているか
- 誰が攻撃するのか。攻撃を実行するスキルとツールが人員にあるか
- テスト攻撃中に、チームは現実のハッカーに典型的な「創造性」をどのように再現するのか
- 攻撃をホワイトハッカーに依頼して再現することは可能か。それは安全か
実際のインフラに対して攻撃を行うことには、重大なリスクが伴う点に注意が必要です。特に、起こり得る障害が人命や安全を脅かす可能性がある場合はなおさらです。このため、重要システムの運用に対するこのようなテストが単純に禁止されているケースもあります。
より低コストでサイバーセキュリティ演習を実施するには
大きな予算をかけずに組織がサイバーセキュリティ演習を実施する方法は、必ずしも明確ではありません。小規模な組織では特に困難です。小規模または未成熟な企業は、まず次の問いに答える必要があります。
- なぜサイバーセキュリティ演習が必要なのか
- 演習を通じて組織はどのような目標の達成を目指すのか
- どの業務領域を改善すべきか
その回答によって、テスト攻撃やシナリオの実施方法が大きく決まり、専門の外部企業に依頼する作業内容の作成にも役立ちます。
計画したテストの目的を特定するための専用の方法論があります。組織でサイバードリルを実施する前に、弱点を特定するためのセキュリティ監査を行うと役立つ場合もあります。こうした弱点への対策は、その後の演習や訓練で検討できます。
前述のとおり、多くは企業の規模と成熟度に左右されます。組織に情報セキュリティの専門家がまったくいない場合、サイバーセキュリティ演習を実施してもメリットは得られない可能性が高いでしょう。そのような担当者が1人か2人しかいない場合は、単にペネトレーションテストを依頼するほうがよいでしょう。
予算の少ない企業は、机上演習と、典型的なインフラで基本的な脅威対応スキルを練習する方法を組み合わせることができます。特に重要なのは、既存のインシデント対応計画を定期的にテストすることです。
サイバークエスト形式も、小規模企業に良い結果をもたらす可能性があります。これは、従業員がサイバー攻撃のシナリオを段階的に分析するものです。専任の情報セキュリティチームがない組織でも、担当者にすべてを詳しく説明し、新たな知識やスキルを身につける方法を示せば、結果はすぐに表れるでしょう。
未知の攻撃に備えるには
サイバーポリゴンやサイバーセキュリティ演習用のサービスでは、標準化された、ただしカスタマイズ可能な攻撃シナリオを開発することがほとんどです。こうしたシナリオは通常、学校のテストに似ています。しかし、ハッカーの標準外の行動に組織を備えさせるには、どうすればよいのでしょうか。
まずは「対戦」形式の演習を試す価値があります。これはアルゴリズムではなく実際の人間が標的を攻撃する形式です。この場合、当初の計画に含まれていなかった予期せぬ状況が必ず発生します。
結局のところ、すべての緊急事態を予測することは不可能です。それでも、情報セキュリティにおける「予期される未知の」事象への対応スキルを専門家が身につける手助けはできます。
多くはアプローチ次第です。ほとんどのプラットフォームは技術スキルの訓練を目的としています。組織間の連携や経営層の意思決定を練習することは、あまり重視されていません。
続きを読む：静的アプリケーション・セキュリティ・テスト（SAST）ツールのベスト製品
サイバーセキュリティ演習を実施するための6つの重要なヒント
サイバーセキュリティ演習の実施を検討している企業に向けて、重要なヒントを紹介します。
- サイバーセキュリティ演習を実施する前に、企業はこのような訓練が必要な理由を理解し、どの程度の頻度で実施すべきかを決めるとともに、標準的なインシデント対応プロセスを確立する必要があります。
- 第三者にサイバーセキュリティ演習を依頼する場合、組織はサービス提供者にインフラに関する完全な情報を伝える必要があります。すべての重要なポイント、考えられるセキュリティ脆弱性、想定される攻撃シナリオを把握しておくことが、今後の演習の質を高めます。
- サイバーセキュリティ演習を実施するプラットフォームは、慎重に選ぶことが重要です。信頼できるサービス提供者を選ぶ必要があります。そのパートナーが結果を適切に評価し、的確な推奨事項を策定できることを確認しましょう。
- 時間と費用の面で、自社の実力を冷静に評価し、どのような機会があるかを見極めましょう。まずは小さく始め、改善する領域を絞り、その後、明確で具体的な手順を踏んで進めます。
- 他業界の経験から学ぶことも重要です。ソフトウェア開発やテストなどがその例です。手法の多くは、他社がすでに確立している可能性があります。
- 忘れてはならないのは、サイバーセキュリティスキルを伸ばすのに「悪い」方法はないということです。利用できるあらゆる手法を活用しましょう。