セキュリティのトレンド
最近のセキュリティの話題を理解するために

攻撃のトレンドと対応の限界 - サイバー攻撃ビジネス
Highest average price
Exploit kits:

Zero-days:
Ransomware:

Loads (compromised device):

Spearphishing services:

Compromised accounts:

Breaching services ona per job basis:
Denial of Service:攻撃のトレンドと対応の限界 - サイバー攻撃ビジネス
Highest average price
Exploit kits:

Zero-days:
Ransomware:

Loads (compromised device):

⼤きなコストをかけて攻撃するのは国家スポンサーのサイバーテロ攻撃のみ

Compromised accounts:

Breaching services ona per job basis:
Denial of Service:

Spearphishing services:対症療法では問題は解決しない

対症療法では問題は解決しない「すばややいばす、
い検知分
⼗不は対応」で境を環のてむ全
含をン
作る
ェーをチ
境
イ
環
ラ
強いサプ
に
故
事
、
把握して

リスクマネジメントフレームワーク：事故の発⽣
事故の発⽣

脅威

ぜい弱性

対策
コスト

リスクマネジメントフレームワーク：事故の影響
事故の影響

受容

機密性
完全性
可⽤性
影響

受容レベル

リスクマネジメントフレームワーク
事故の発⽣

脅威

事故の影響

受容

機密性

ぜい弱性

完全性
対策

可⽤性

コスト

影響
保証

受容レベル

サイバーセキュリティ対策の変化
過去

最近

現在

保護・検知・対応

攻撃⾯の削減サイバーハイジーン

境界型防御

エンドポイント
セキュリティ

動的ポリシー制御

パスワード管理

多要素認証

パスワードレス（認可連携）

ゼロ トラストの⽅針

セキュリティに求められるもの
どのような⽅針を⽴てて計画をしていくか個別のセキュリティ対策ではなく、共通項を探る

ガバナンスとPDCAサイクル
ステークホルダー

経営者
（責任者）

経営判断（A）

⼀貫性の確保部⾨の担当者
各部⾨の担当者
各部⾨の担当者

計画（P）

それぞれの顧客

各現場各部⾨の担当者
各部⾨の担当者

実⾏（D）

連絡・情報収集（C）

マネジメント現場をすべて把握するための仕組みづくり

全てのやりとりを把握するための仕組み
ポリシーを利⽤して、アクセス許可を⾏う

アクセスに関する全ての記録をとる

完全仲介を⾏う場所で取れるデータが変わってくる

ネットワークを集約して、出⼝と⼊り⼝を⼀つにすることで、完全仲介の仕組みを構築する

AND / OR

ID管理サービスで、ユーザやエンティティを管理し、全てのアクセスを仲介する

ファイアウォールの設定

アクセス制御ポリシー

ネットワーク属性とイベントユーザとエンティティの属性とイベント

インシデントをすべて把握するためにはインシデントはイベントログの中の怪しい情報をまとめあげることで、検出される

Windows 10でのイベントログ取得とシグナル活⽤ポリシーによるアクセス制御

リスクベースでのポリシー変更

外部サービスや組織からのシグナル提供
セキュアカーネルが完全仲介

脅威インテリジェンス

によってイベントログを取得

SIEMなどで分析

EDR機能でシグナルを抽出

アラートの抽出エンドポイントセキュリティとゼロトラスト
ネットワークセキュリティからエンドポイントセキュリティへの変⾰

APT攻撃による境界型防御の限界
サイバーキルチェーン

SASE

脱ネットワーク

ゼロトラストセキュリティ

2008年ごろ

2010年ごろゼロ トラスト ネットワークとは何か

ゼロ トラスト ネットワーク
ファイアウォールで守られたローカルネットワーク
信頼できなくなりました・・・
理由その1：ファイアウォールはIPアドレスとポート番号でフィルタリングしている
理由その2：攻撃はウェブやメール経由で⾏われている
理由その3：VPN経由で内部に侵⼊することが難しくなくなってきた

信頼できないのはネットワークだけではない

ゼロ トラスト ネットワーク
匿名でのインターネット利⽤は信⽤できない
理由その1： 攻撃のほとんどがなりすまし（アカウント、メール、ファイル、アプリのなりすましなど）
理由その2： 脅威の変化により、セキュイリティのベストプラクティスが役に⽴たないエンティティの動的な検証と、リスクに応じた動的ポリシーの実践

NIST SP800-207におけるゼロ トラストの基本原則

ゼロトラストの実践のために① トランザクションのトラストトランザクションやアクセスの正しさを毎回検証するような仕組みとして、完全仲介システム（リファレンスモニター）が必要になる④ ポリシーのトラスト
ポリシー

オブジェクトサブジェクト② サブジェクトのトラストアカウントがなりすまし されてないこと、デバイスがルールに準拠していることなどを毎回検証することで、サブジェクトが適切な状態にあるかどうかを判断する

常に適切なポリシー（判断基準）を提供するために、リスクに応じてポリシーを動的に構成し、サブジェクトの属性によって、それを提供する

リファレンスモニター

ログ③ オブジェクトのトラストオブジェクトが適切な状態になっていることを構成管理システムで判断する。もしもオブジェクトが適切でない場合にはすぐに元に戻せるようにしておくピュア ゼロ トラスト - マイクロセグメンテーションの先にあるもの

ピュア ゼロ トラストの実現
ネットワーク上のセキュリティサービスは全て端末に持ってくることができるようになった

脅威インテリジェンスによるリアルタイム保護

ビルトインセキュリティ機能• ファイアウォール• URLフィルター• CASB など
セキュアOSによる完全仲介• UEBA - ふるまい分析• 動的ポリシー制御• サンドボックス など

IDaaSによるクラウドとオンプレミスの統合管理

なりすましチェック
認可
トークン

デバイス準拠チェック

環境に応じたアクセスポリシーを認可トークンとして提供

Azure AD App Proxy

セキュアネットワーク プロバイダ

VPNを使わないLAN環境の利⽤

その他の属性チェック

クラウドセキュリティにおけるガバナンス
クラウドプラットフォーム

クラウドサービスの検出と管理
16,000以上のアプリ

攻撃対応の⾃動化

リアルタイムな情報の保護管理を⼀元化することで、運⽤コストを80パーセント削減

データガバナンス
適切なデータ管理とそれを実践するための⼿順

トラストの意識合わせから・・・ 暗号化Zipの限界

共有パスワードを使った暗号化にトラストはない× ファイルは総当たり攻撃でいつか開かれてしまう
× 仲介者による開封、改ざんに気がつくことができない
× パスワードが漏れてしまったときにパスワードの変更ができない

× Zipファイルを展開すると平⽂に戻ってしまう× ファイルと鍵を他社に転送されてしまう

情報流出？それとも不正アクセス？

情報の安全な状態とは・・・？

データ管理のライフサイクルとデータガバナンス
データオーナーはライフサイクルにわたって、データを適切に管理するデータを常にモニタリングし、適宜修正する

データマネジメント

データガバナンス① 作成と⼊⼿② 保存と管理③ 利⽤と共有④ 廃棄

所有しているデータの把握

データの状態の管理
バックアップ

アクセス権の設定
共有設定の確認

適切な廃棄残留データの確認

データ管理の要件
データオーナーはライフサイクルにわたって、データを適切に管理するデータを常にモニタリングし、適宜修正する

データマネジメント

データガバナンス

データ管理の理想的な形

データ管理の理想的な形

データ以外の処理も個別に権限付与が必要

⽶政府におけるデータガバナンス – NIST SP800-171
Unclassified information (CUI) in nonfederal information systems
政府の機密情報
政府機密分類ではないが、関連する情報

連邦政府の情報システム外に存在する

管理の連鎖 - Chain of Custodyデータガバナンスのこれからの⽅向性

データのアクセス権を維持できることが最優先データのアクセス権を維持できることが最優先
移動

ファイルが移動したことを記録

場所を更新、権限は変わらず

データのアクセス権を維持できることが最優先
コピー

ファイルをコピーしたことを記録

コピーのエントリーを追加、権限を継承

データのアクセス権を維持できることが最優先
X 禁⽌

禁⽌したことを記録

変更はなし

ハコのセキュリティからモノやデータのセキュリティへ
利⽤者向けのセキュリティガイドービス
クラウドサの選び⽅

プロバイダ向けのセキュリティガイド

⽅の仕すい運⽤
やれば選ハコのセキュリティからモノやデータのセキュリティへ
利⽤者向けのセキュリティガイド“The Internet is OK”
Government Digital Service
Technology and Digital Leaders Network

れば
ま決が準基
でのる
す
⽅
応びスの選
ダがク対イ
バ
ウドサービ
ラロ
プ
全てのないは異差にそこ
プロバイダ向けのセキュリティガイド

⽅の仕すい運⽤
やれば
選

政府機関の多くのシステムをパブリッククラウドサービスに移⾏するにつれて、PSN(注:政府機関向けの閉域網)を介しネットワーク通信することは、関係者に混乱や複雑さもたらすこと、や、標準的なアプローチでのセキュリティ対策を施しつつ、インターネット接続でのサービス利⽤に移⾏していくことについて確認。
Data Classification
1. OFFICIAL（クラウドOK）: 政府機関の⽇常業務で利⽤するデータ、公共安全や犯罪・法務、個⼈情報(例として医療データ)等。
2. SECRET: 国⺠の⾃由や⽣命に関わる類の情報、軍事タスクに影響を及ぼす類の情報、等。
3. TOP SECRET: 国益や国体に深刻な影響を及ぼす情報。

クラウドセキュリティの動向「どのプロバイダが良いのか」ではなく、どの機能が必要かを考えるクラウドサービスにおけるShared Responsibility
責任

CSCの責任を全うするために必要な情報や業務をCSPが提供もしくは⽀援する
つまり、CSCが次組織もしくはエンドユーザに対して追う責任が明確にならない限り、CSPへの要求事項も決まらない「データの暗号化」の場合

状態

プロバイダ

ユーザ

エビデンス

保存

暗号機能の提供

暗号機能を利⽤した暗号化もし
くは⾃動暗号化の設定を実施

データを暗号化している状態を⽰す構成管
理データ（ユーザが設定）

転送中

暗号機能の提供（経路、データ本体）

暗号機能を利⽤した暗号化もし
くは⾃動暗号化の設定を実施

データを暗号化している状態を⽰す構成管
理データ（ユーザが設定）

処理中

適正なデータ処理ー

適正な処理をしていることを⽰す監査結果（プロバイダが提供）

Mis-Configurationは単なる設定ミスではない•••

場所、管理状態
OS、アプリのバージョン
設定 など・・・

⾃組織のセキュリティの状態を知り、⽬標を達成する

Azure Security Scoreによる構成管理
最低限のセキュリティ対策の実施

セキュリティコンプライアンス

働き⽅改⾰

共通ソースの利⽤による⼀貫した経営戦略と運⽤・フィードバック

デジタルトランスフォーメーションによるガバナンスとポートフォリオ
全ての範囲の情報をリアルタイムに集約し、分析

ユーザ

エンティティ
ID管理と構成管理によるトラストの確保

サービス

サプライチェーン
ID連携による共同作業