日本企業がNISTに対応すべき背景や理由をサイバーセキュリティ専門家の西尾氏が解説した前編はこちらへ
ISO27001からNIST SP800-171へ セキュリティ対策がシフト
多摩大学 ルール形成戦略研究所 首席研究員 西尾素己氏（写真右）
本田：かつてセキュリティ対策はISO 27001（ISMS認証）が中心でしたが、近年ではNIST（アメリカ標準技術研究所）文書やCSF（サイバーセキュリティフレームワーク）へとシフトしてきています。しかしNISTは自己宣言で認証はないため、自社のシステム構成に照らし合わせ、取捨選択しなくてはいけません。これはハードワークだと思います。
西尾：そうですね。企業ごとに内容やレベルが異なるでしょう。自己宣言とはいえ、事故が起きてから準拠していないと判明したら厳しく処分されます。
本田：アメリカではどう対処しているのでしょうか。日本では人材面で追いつかないという危機感があります。
西尾：アメリカではセキュリティ人材の頭数を揃えるのは不可能だと判断しています。その代わりにクラウドを活用します。主要クラウドベンダーには数千人ものセキュリティのスペシャリストが運用管理しています。こうしたパブリッククラウドに人材を集中させ、みんなはこれに乗ればいいという考えです。もともとクラウド利用の文化があったのもあり、NIST SP800-171対応クラウドへの移行も進んでいます。
一方、日本ではSIer主導で複雑にカスタマイズしているため内部が把握できず、クラウド移行が難しい状況です。一時はアメリカのFedRAMP（連邦政府によるリスクや認証管理の認定）を参考に日本版FedRAMP、つまり国内ベンダーでFedRAMP同等のセキュリティレベルのサービスを提供できるようにと動いていましたが、価格帯が釣り合わず、ほぼ実現には至っていません。
本田：結局、どうなるのでしょうか。
西尾：日本版FedRAMPについての結論は出ました。2020年2月、日本政府は今後運用開始する政府共通プラットフォームでAWSを採用することを発表したからです。AWSとはいえ、日本のリージョンを使いますし、日本法人が対応するので「それに乗る」と。もう「国の情報だから国産ベンダーでないと」という時代は終わりました。セキュリティ水準を満たせなければ国産でもダメだということです。国内企業もこうした動きに続くでしょう。
本田：自社で実現できなければ適材適所でアウトソースすることは悪くなくて、むしろ賢いアプローチかと思います。
西尾：あるコンサルティングファームの北米におけるサイバーセキュリティ事業では収益の多くをSOC（セキュリティオペレーションセンター）が占めています。24時間365日の監視体制など、NISTの要件を満たしたサービスを提供しています。これを自社独自に運用するのは現実的ではないので、アウトソースが進んでいます。アメリカでは同様の監視系サービスが上場すると買いが殺到する状況です。
これからは説明責任の幅が広くなる どこまでやればいいのか
本田：ここからは日本に視点を移そうと思います。これまでのセキュリティ対策の根底にあるものは何でしょうか。
西尾：これまでの日本のセキュリティ対策はCSFでいうところの「特定」と「防御」までが中心でした。これらは日本における事件の捜査方法やそこで求められる説明責任と関連しています。しかし日本ではサイバー攻撃発生時に攻撃者が悪いのか、対策を怠った人が悪いのか、議論が熟していませんでした。
本田：議論が進まなかったのはなぜでしょう。
西尾：サイバー攻撃というと、とんでもない不思議な力を持つ魔法使いの仕業のようなイメージがあったのかもしれません。しかし原理を把握すればそう難しくありません。技術者でなくても、講習を受ければ攻撃の仕組みを理解することができます。アメリカでは政府と法曹界が協力してSP800文書などで最低限の善管注意義務を定めました。
一方、日本で発生した事件を見ると、CSFでやるべきことがまだなされていません。数年前のログを見て「攻撃されていたようでした」では、検知したことになりません。検知はリアルタイムでないと。日本企業はまだ理解が十分ではないと感じます。
本田：説明責任についてはどうでしょう。
西尾：事後に「私たちはこれだけセキュリティ製品を導入して“防御”していました」では足りません。これに加えて「（リアルタイムで）攻撃を検知し、このように対応したけど、これだけ被害が生じてしまいました」まで説明できないと、善管注意義務にあたらず善管注意義務違反と認定されてしまい、訴訟になれば負けてしまうことになりかねません。今後は今まで以上に説明責任の範囲が広がると考えていいでしょう。
ラピッドセブンの統合型クラウドSIEM「InsightIDR」はCSF要件を満たすか
本田：実際のセキュリティ製品について考えていこうと思います。古くはIDSやIPSにはじまり、機械学習を活用したネットワーク型検知製品、エンドポイント向けのEDR、さらにSIEMもあります。ただし運用担当者の監視が追いつかず、アラートが発生しても多すぎてスルーしてしまう現場もあります。これでは宝の持ち腐れです。
西尾：それでは検知と対応になりませんね。
本田：弊社ではセキュリティのリスク管理や運用の効率化に注力しています。脅威の検知や対応ですと、統合型クラウドSIEMの「InsightIDR」に複数の技術を統合し、端末やユーザーの行動分析を行います。
西尾：どんなところに独自性がありますか？
本田：「端末」や「ユーザー」という視点だけでなく、攻撃者の視点で脅威の分析を行うところです。Metasploitに代表される弊社が運営するコミュニティやセキュリティの研究、グローバルで提供するMDR (マネージド ディテクション & レスポンス) サービスから得られる弊社の知見に加え、セキュリティ業界で浸透しつつあるMITRE ATT&CKフレームワーク（攻撃者の攻撃手法や戦術を分析したナレッジベース）に沿った検出技術を提供しています。
西尾：クラウドを利用している環境についてはどうでしょうか。
本田：現在多くの企業でクラウドへの移行が進んでいますが、その多くはオンプレミスを併用するハイブリッドクラウドです。在宅勤務の増加でリモートワークも増え、リモートからクラウドサービスを使うことも増えています。かつてのように「企業内だけ守っていればいい」わけではありません。
企業ネットワーク、クラウド、リモートワークなど環境が多様化し、それぞれにセキュリティ対策を施しているものの、全体を包括的かつシームレスに監視できていないのが課題だと思います。その点、InsightIDRでは複数の環境に渡り、スムーズに脅威の分析を提供できていると考えています。
西尾：検知はリアルタイムでできていますか？
本田：近年では「Dwell Time」や「MTTD（Mean Time to Detect）」など、侵入を検知するまでの時間が注目されています。InsightIDRではこれまで述べてきた通り、複数の技術を統合しています。検知につながる点と点を線でとらえる仕組みがあり、短時間で効果的に検知できるようになっています。
加えて低コストで提供できるのも強みです。いくら高度な機能を保有していたとしても、大型のアプライアンスを何台も導入するとなると、工数も運用コストもかかってしまいます。InsightIDRはクラウド型なので導入の時間やコストを低く抑えられるのが強みです。
西尾：対応はどうですか？
本田：現実的には、人や組織・プロセスで対処すべきこともありますが、ツールで解決できる部分もあります。CSFの「対応」の中には「分析」カテゴリがありますが、インシデント発生時の調査や封じ込めといった部分は機械の力で自動化できます。
InsightIDRでは封じ込めとして、端末を隔離したり、Active Directoryで特定のユーザーを無効化することができます。インシデント「検知」から初動の「対応」までスムーズに行えて、単一の製品に組み込まれているのが強みです。
西尾：かつて「金で買える責任があるなら、買ってしまえ」という言葉を聞いたことがあり、すごく嫌いでした。任務を外部に委託すれば、自分たちで責任を抱えなくて済むというニュアンスです。この言葉はいまだに嫌いですが、セキュリティに関しては通用すると考えています。SOCのように外部に委託できて、月々のコストが釣り合うなら成り立つと思うのです。
本田：はい、製品に運用の内製化をスムーズに支援する機能が統合されていても、外部に委託したいお客さまが多いのが実情です。
そのため、InsightIDRをベースにしたマネージドサービス「Rapid7 MDR」のようなプロフェッショナルにアウトソース／委託して頂き、一定時間をかけてそのノウハウを吸収しお客さま自身のものにして頂く日が来ること、やがてこのようなサービスがなくてもインシデント対応・セキュリティ運用が内製でできる組織が増えていくことを期待しています。
「うちは日本国内だけで商売するからNISTは関係ない」と考えていいか？
本田：最後にNISTに戻り、いくつか確認しておきたいと思います。アメリカと取引がある企業ではNIST対応が不可欠とのことですが、国内だけでビジネスするような企業なら除外と考えていいでしょうか？
西尾：杓子定規に言えば「対応する義務はありません」。しかし完全に日本国内だけでビジネスする企業だったとしても、日本政府がNISTに限りなく考え方の近い対応へと考え方を変えてきていますので、数年後には取り残されるリスクがあると考えていいでしょう。とはいえ「今すぐ対応せよ」は現実的ではありません。動向について情報収集を怠らないようにしてください。
本田：アメリカに関する情報として該当するのはNISTで定められた「CUI：管理された非格付け情報」ですよね。具体的にはNARA（アメリカ国立公文書記録管理局）のレポジトリを参照すればいいでしょうか。
西尾：基本的にはそれで大丈夫です。CUIは各省庁が定義していて、散在しています。明確な定義はないようなものなので、判例を参考にする必要もあるかもしれませんね。
本田：雲をつかむようで難しいですね。
西尾：今、新型コロナウィルスで多くの方に在宅勤務が強いられています。突然でしたよね。セキュリティインシデントもこんな感じで突然来るのです。ある日「ピン！」とアラートが上がり、対応に追われる日々が続きます。いつそういう日が来てもいいように、準備を怠らないことが大切です。
