SCS評価取得に急ぐ企業が見過ごす「運用の脆弱性」とは──今見極めるべき“有事の自走力”

3ヵ月で「有事に動ける組織」に変わるための3ステップ

　現在、多くの企業でエンドポイント保護としてEDRが導入されているものの、運用実態と設定の不整合、例外運用の積み重ね、アラート判断の属人化、初動手順の未整備といった運用上の弱点は残りうる。こうした課題を把握し、継続的な改善につなげるために、クラウドネイティブ社はMicrosoft Defender for Endpoint P2を対象とする「EDR運用最適化サービス」を提供している。

　同サービスは、経済産業省が策定した「情報セキュリティサービス基準」に基づく審査登録制度において、日本セキュリティ監査協会（JASA）に設置された審査登録委員会の審査を受け、「セキュリティ監視・運用サービス」分野で情報セキュリティサービス台帳に登録されている。一定の技術要件と品質管理要件を満たしたサービスとして認定されているということだ。

　外部のSOC運用支援やMDR（Managed Detection and Response）サービスは、監視対象とするアラートの重要度、調査の深さ、初動対応の範囲、チューニング支援の有無など、サービスごとに提供内容が異なるものも多い。一方、同社のサービスでは重要度「High」のアラートだけでなく、Medium/Low/Infoを含むすべてを解析対象とし、通知だけでなくアラートが発生する背景まで確認する。その上で、必要に応じて誤検知／過検知のチューニング、設定変更の提案、運用改善へつなげる点が特徴だ。

　また同サービスでは、平時の分析／改善と並行して、有事の初動対応にも事前に整える。集中適正化期間に顧客と協議して、重大アラート発生時の初動手順をまとめたプレイブックを作成。実施する処置と顧客承認の要否をプレイブックであらかじめ定めておくことで、安定運用期に重大アラートが発生した場合はプレイブックに基づき、情報採取やネットワーク隔離などの初動対応を迅速に行える。

　中／低重要度のアラートも含めて傾向を把握することで、通常と異なるアカウント操作、不適切なスクリプト実行、例外設定の積み重ねなど、侵害や事故につながりうる兆候を見つけやすくなる。ただし、「アラートだけで結論を出すわけではない」と吉田氏。端末／アカウントの利用状況や業務上の必要性を顧客と確認しながら、対処の優先順位と改善策を検討するという。

　支援は3段階で進める。Phase 1の初期作業は2〜4週間を目安に、テナント設定と端末のオンボーディング状況を確認／調整したうえで、そのうち約2週間は顧客環境で発生するアラート傾向や通常時の挙動を把握する集中適正化期間に充てる。続くPhase 2の集中適正化期間では、最低3ヵ月をかけて発生アラートを調査し、誤検知／過検知が認められた場合はチューニングを進める。同時に、プレイブックの内容を顧客と協議し、有事での運用に向けた対応手順を確定する流れだ。また、この段階から月次レポートを通じてアラート傾向と改善案を継続的に共有する。

　そしてPhase 3の安定運用期間では、集中適正化で提供している月次レポートに加え、プレイブックに基づいた重大アラートへの初動対応が加わる。環境の最適化でアラート総数と解析工数が減少した場合は、運用状況を踏まえて月額単価を調整する仕組みも設けている。

　支援のゴールについて吉田氏は、「外部に任せきりにするのではなく、自社で判断し、自分たちの足で歩める状態をつくることです」と話す。とはいえ、すべてを内製化するのではなく、社内で担う範囲と外部の専門知見を活用する範囲を整理し、アラートを設定や運用の改善へつなげられる状態を整えることが自走への近道となる。

　外部の第三者視点を通じて、社内では当たり前になっていた設定や運用慣行を見直し、不要なアラートを抑えながら、対処すべき兆候を見逃さない状態を目指す。その積み重ねが、顧客自身の判断力と改善力を高めるのだ。