SCS評価取得に急ぐ企業が見過ごす「運用の脆弱性」とは──今見極めるべき“有事の自走力”

エンドポイントの視点から考える「SCS評価制度」のねらい

　経済産業省を中心に整備が進められている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」。サプライチェーンを構成する企業が講じるべきセキュリティ対策を示し、その実施状況を共通の枠組みで可視化する仕組みだ。企業に求める対策水準は段階別に示され、各水準で定められた要求事項／評価基準への適合に応じて「★」の段階が示される。一般的なサイバー脅威への対処を想定する★3は、専門家の確認をともなう自己評価による登録だ。より高い水準を対象とする★4は、第三者評価を経て登録される。経済産業省は、★3／★4について、2026年度末頃の申請受付開始を目指している。

　もっとも、同制度は特定の製品やソリューションの導入を一律に求めるものではない。端末対策、ID／アクセス管理、脆弱性対応、インシデント対応などを、自社の規模や事業上の重要性に応じて整え、適切に運用できているかが重要となる。こうした中、端末上の不審な挙動を検知し、調査や初動対応につなげるEDRは、同制度で明示的に求められていないものの、エンドポイント対策における有力な選択肢の1つであることはいうまでもない。

　一方で、制度の受け止め方を誤れば、評価取得そのものが目的化しかねない。経済産業省からは、SCS評価制度は任意の仕組みであり、未取得企業を一律に取引から排除するものではないと注意喚起がなされている。発注側が取引先に対策を求める場合も、企業規模、扱う情報、業務上の重要性、必要なコストや体制を踏まえ、求める水準と負担のあり方を協議する必要がある。

　クラウドネイティブ社で情報セキュリティ部門を中心にセキュリティの課題解決を支援する吉田浩和氏は、「サプライヤーに対して、ビジネス上のリスクを顧みずに一律の対策を強要することは、セキュリティ原理主義につながります。必要なのはビジネス上の必要性に応じた相互の対話と、適切な報酬の合意です」と話す。

　評価の取得や製品の導入が目的化されてしまうと、セキュリティツールの運用は形骸化しやすい。設定の見直しやアラート分析が十分に行われず、担当者の異動／退職後に運用の意図が引き継がれない例も見られる。また運用を外部ベンダーに委ねた結果、自社の業務やリスクに合わない設定が残る場合も少なくない。

　「EDRは導入しただけでは防御力になりません。アラートを分析し、設定を調整し、侵害の兆候を検知した際に誰が何を判断／実行するかを定めて初めて、端末防御の基盤として機能します」（吉田氏）

Falconか、Microsoft Defenderか──見極めるべきは「運用」に

　EDRを選ぶ際には、検知機能の多さや市場での評価だけでなく、自社の人員や体制で継続的に運用できるかを見極めたい。製品比較／選定の段階で見積もるべきなのは、導入費用だけではないと吉田氏は指摘する。端末への展開、OSや業務アプリケーションの更新時に必要な検証、ポリシーの見直し、アラートの分析、誤検知／過検知の調整、インシデント時の初動対応まで含めた運用負荷についても検討することが重要だ。

　国内の大手企業で候補に挙がりやすいEDR製品として「CrowdStrike Falcon」と「Microsoft Defender for Endpoint」があるが、「単純に優劣を決められるものではない」と同氏は語る。CrowdStrike Falconは多種かつ高度な機能を活用できる反面、使いこなすにあたっての習熟が欠かせない。一方、Microsoft 365やIntuneなどを既に利用する企業では、ID、端末、メール、クラウドサービスを含むMicrosoft製品群の運用と連携させやすい点が特徴となる。既存ライセンスに含まれる場合には、追加投資を抑えられる可能性もある。ただし、いずれも環境に応じた導入検証と継続的なチューニングが必要だ。

　「CrowdStrike FalconとMicrosoft Defender for Endpoint、どちらが良い悪いではなく、自社のOS構成、既存の管理基盤、担当者のスキル、求める監視／対応水準を踏まえて選ぶべきです」（吉田氏）

　加えて、製品選定と同時に見直したいのが「運用の脆弱性」だ。ここでいう運用の脆弱性とは、ソフトウェアに存在する脆弱性そのものではなく、「導入後に設定を見直していない」「アラートの判断基準やエスカレーション先が共有されていない」「例外設定が積み重なっている／放置されている」「検知後の隔離／連絡／復旧の手順が定まっていない」といった運用プロセス上の弱点を指す。

　このような運用上の弱点は、脆弱性スキャンや設定監査だけでは把握しにくい。規程と実務の乖離、アラート対応の停滞、利用部門の業務に起因する例外運用などは、アラート傾向と個々の検知内容を自社の業務／設定に照らしてチェックをかけ、低／中重要度を含むアラートを分析し、検知ルールや設定の調整、運用改善を繰り返すなかで見えてくるからだ。

3ヵ月で「有事に動ける組織」に変わるための3ステップ

　現在、多くの企業でエンドポイント保護としてEDRが導入されているものの、運用実態と設定の不整合、例外運用の積み重ね、アラート判断の属人化、初動手順の未整備といった運用上の弱点は残りうる。こうした課題を把握し、継続的な改善につなげるために、クラウドネイティブ社はMicrosoft Defender for Endpoint P2を対象とする「EDR運用最適化サービス」を提供している。

　同サービスは、経済産業省が策定した「情報セキュリティサービス基準」に基づく審査登録制度において、日本セキュリティ監査協会（JASA）に設置された審査登録委員会の審査を受け、「セキュリティ監視・運用サービス」分野で情報セキュリティサービス台帳に登録されている。一定の技術要件と品質管理要件を満たしたサービスとして認定されているということだ。

　外部のSOC運用支援やMDR（Managed Detection and Response）サービスは、監視対象とするアラートの重要度、調査の深さ、初動対応の範囲、チューニング支援の有無など、サービスごとに提供内容が異なるものも多い。一方、同社のサービスでは重要度「High」のアラートだけでなく、Medium/Low/Infoを含むすべてを解析対象とし、通知だけでなくアラートが発生する背景まで確認する。その上で、必要に応じて誤検知／過検知のチューニング、設定変更の提案、運用改善へつなげる点が特徴だ。

　また同サービスでは、平時の分析／改善と並行して、有事の初動対応にも事前に整える。集中適正化期間に顧客と協議して、重大アラート発生時の初動手順をまとめたプレイブックを作成。実施する処置と顧客承認の要否をプレイブックであらかじめ定めておくことで、安定運用期に重大アラートが発生した場合はプレイブックに基づき、情報採取やネットワーク隔離などの初動対応を迅速に行える。

　中／低重要度のアラートも含めて傾向を把握することで、通常と異なるアカウント操作、不適切なスクリプト実行、例外設定の積み重ねなど、侵害や事故につながりうる兆候を見つけやすくなる。ただし、「アラートだけで結論を出すわけではない」と吉田氏。端末／アカウントの利用状況や業務上の必要性を顧客と確認しながら、対処の優先順位と改善策を検討するという。

　支援は3段階で進める。Phase 1の初期作業は2〜4週間を目安に、テナント設定と端末のオンボーディング状況を確認／調整したうえで、そのうち約2週間は顧客環境で発生するアラート傾向や通常時の挙動を把握する集中適正化期間に充てる。続くPhase 2の集中適正化期間では、最低3ヵ月をかけて発生アラートを調査し、誤検知／過検知が認められた場合はチューニングを進める。同時に、プレイブックの内容を顧客と協議し、有事での運用に向けた対応手順を確定する流れだ。また、この段階から月次レポートを通じてアラート傾向と改善案を継続的に共有する。

　そしてPhase 3の安定運用期間では、集中適正化で提供している月次レポートに加え、プレイブックに基づいた重大アラートへの初動対応が加わる。環境の最適化でアラート総数と解析工数が減少した場合は、運用状況を踏まえて月額単価を調整する仕組みも設けている。

　支援のゴールについて吉田氏は、「外部に任せきりにするのではなく、自社で判断し、自分たちの足で歩める状態をつくることです」と話す。とはいえ、すべてを内製化するのではなく、社内で担う範囲と外部の専門知見を活用する範囲を整理し、アラートを設定や運用の改善へつなげられる状態を整えることが自走への近道となる。

　外部の第三者視点を通じて、社内では当たり前になっていた設定や運用慣行を見直し、不要なアラートを抑えながら、対処すべき兆候を見逃さない状態を目指す。その積み重ねが、顧客自身の判断力と改善力を高めるのだ。

ツールを増やす前にすべき「既存資産と運用の棚卸し」のポイント

　セキュリティ対策を検討する際に明確にすべきなのが、「どの事業リスクを下げ、どの業務や情報資産を守るのか」ということ。課題ごとに新たな製品を追加していくと、管理画面、ログ、ライセンス、運用手順が次々と増え、情シス部門の運用負荷とコストは膨らみつづける。追加投資に踏みきる前に、既存の製品やライセンスをどこまで活用できており、どこに設定や運用上の不足があるのか棚卸しすることが重要といえる。

　吉田氏は、課題ごとにツールを追加することの問題について、「1つの課題に1つの対策を打っていたら、課題が10個あれば10個のツールが必要になり、コストも運用も青天井になってしまいます。1つの対策で複数の課題を同時に解決し、最終的には『新たな対策を追加せずに済む仕組み』を作ることが理想です」と指摘する。ここでいう「新たな対策を追加せずに済む仕組み」とは、課題の原因を見直し、個別ツールの追加や例外対応を繰り返さずに済む運用へ変えることを指す。

　たとえば、Microsoft 365 E5のライセンスを既に保有している企業の場合、含まれる機能を適切に活用できれば、ライセンス費用や複数のツールを管理する運用コストを抑えつつ検知／対応の実効性を高められるだろう。他方、サプライチェーンを構成する取引先に対して対策を求める立場にあるならば、まず自社が対策水準と運用実態を客観的に説明できる状態を整えておく必要がある。その上で、取引先の規模、扱う情報の重要度、業務上の優先順位を踏まえ、対話を通して必要な対策と支援、費用負担のあり方を定めていく。その出発点となるのが、既存製品、ライセンス、運用ルール、社内外の役割分担の棚卸しと、業務に対するカバー範囲の整理である。

「誰が幸せになるのか」を考えて対策せよ

　ここまで論じてきたように、EDRの実効性は製品の導入やSCS評価制度にともなう★の取得だけでは担保できない。自社の端末にどの設定が適用されているのか。発生したアラートを誰が、どの基準で判断するのか。侵害の兆候を検知したとき、隔離や調査、関係部門への連絡をどの手順で進めるのか──こうした運用における判断ポイントを明確にし、必要に応じて外部の専門知見も活用しながら改善を続けることが、EDRを実効的な防御へ変える第一歩となる。

　吉田氏は、EDRにかかわらず新たなセキュリティ対策を考えるときのポイントとして、その対策によって誰の、どの業務を守るのか、またそれをやることで業務がやりやすくなったり、手間や負担が減ったりするのかを改めて問いなおしてみることを提言する。

　同氏が実際に関わった事例として、メールの添付ファイルにパスワードを付与することで生じる運用負担と運用ルールを続けるかという議論を挙げた。この運用単体を見て「手間がかかるからやめよう」と決断することはなかなか難しい。しかし、メールシステム全体のセキュリティ設計を見たときに、添付ファイルへのパスワード付与の有無ではセキュリティレベルが変わらないことがわかり、その運用をやめる決断に至ったのだという。

　「このように、追加することだけがセキュリティではないということを多くの人に知ってほしいです。取引先をはじめとする周囲に変化を求めるには時間もコストもかかります。まずは自分たちの運用を見直し、自分たちで回せるところから改善を始めることが重要です」（吉田氏）

Microsoft Defender for Endpoint Plan 2の運用を見直したい方へ

クラウドネイティブ社の「EDR運用最適化サービス」は、Microsoft Defender for Endpoint P2に特化し、全アラート解析・誤検知チューニング・組織へのフィードバックを通じて、EDRの「本来の防御力」を発揮させます。一般的なSOCの「通知」ではなく、原因の「解決」と「是正」を行うサービスです。
▶ 詳細はこちら