サイバーセキュリティ
アメリカ合衆国国土安全保障省(英: DHS、United States Department of Homeland Security)は概ね各国の内務省に相当する行政機関で、公共の安寧の保持を所掌事務とする。その使命は、テロリズムの防止、国境の警備・管理、出入国管理と税関業務、サイバーセキュリティ、防災・災害対策である。
サイバーセキュリティ関連ではNational Cyber Security Division、National Cybersecurity Center、Central Security Serviceをその配下に置く。
脅威インテリジェンス(スレットインテリジェンス、セキュリティインテリジェンスとも)はガートナーの定義によれば、資産に対する既存もしくは今後発生する危険への対応の意思決定を知らせる事に使う事ができる証拠に基づいた知識で、例えば文脈、メカニズム、インディケーター、含意(implication)、および実行可能なアドバイスなどを含む。APT対策には脅威インテリジェンスが重要である。
DLP(Data Loss Prevention)は、機密情報の不正持出しを防ぐための技術である。合意された定義は存在しないため、広義には暗号化やUSBポートのコントロールもDLPに含まれる場合がある。しかし多くの場合DLPは、機密情報に関するポリシーをサーバで管理し、そのポリシーに従って情報の移動、持ち出し、利用等を制限したり遮断したりする技術である。システムにある機密情報を洗い出す特定機能や洗い出した機密情報を監視する機能もついている場合が多い。
DLPは機密情報をそのコンテンツ内容やその情報が利用されるコンテキスト(利用時間や環境等)などから特定する。機密情報を解析する方法は、正規表現により事前に定められたポリシーを利用するもの、構造化データの全体一致を調べるもの、非構造化データの部分一致を調べるもの、ベイズ法などを利用した統計解析を行うもの、インサイダー取引に似た情報など何らかのコンセプトに従って上述した手法を組み合わせるもの、情報に対して「カード情報」などのカテゴリ化を定義して解析するものなどがある。
2018年現在は下記8項目:
本節では、システムのセキュリティ上の問題点を洗い出す検査や診断について述べる。なお、こうした検査や診断は脆弱性検査、脆弱性診断、セキュリティ検査、セキュリティ診断等と呼ばれるが、これらの語の指す範囲は論者やセキュリティ企業により異なる場合があるので注意されたい。
このような用語上の混乱をさけるため、本節ではペネトレーションテスト等も含めた最広義の意味での脆弱性検査(すなわちIPA意味での脆弱性検査)の事を「脆弱性診断関連の検査」と呼ぶことにする。
IPAによると、脆弱性診断関連の検査にはソースコードセキュリティ検査、ファジング、システムセキュリティ検査、ウェブアプリケーションセキュリティ検査、ペネトレーションテストの5つがあり、これらの検査を行うフェーズと主な検査対象は下記のとおりである。なお本節では、これら5つにレッドチームを加えた6つの検査について述べる。
上の表の「主な利用フェーズ」は検査対象となる機器のシステムライフサイクルの中でどのフェーズでこれらの検査が利用されるのかを示している。なお、一般的にシステムの開発フェーズは企画、要件定義、設計、実装、テスト、納入という工程からなるが、これらの工程のうち脆弱性診断関連の検査が行われるのは実装工程とテスト工程である。
脆弱性診断関連の検査はPCI DSSやコモンクライテリアのような基準や規格で定期的に実施する事が要求される場合がある。
企業はサイバーセキュリティ対策のため、SOC、CSIRTなどのセキュリティ対応組織をおく事があり、こうした組織の主な仕事は以下の2点に集約される:
インシデント発生の抑制
インシデント発生時の被害最小化
ここでインシデントとは直訳すれば「事件」であるが、サイバーセキュリティの文脈では、サイバー領域において組織を脅かす不正な行為全般を指す用語である(より厳密な定義はインシデントの項目参照)。
サイバーセキュリティでも情報セキュリティのCIA、すなわち下記の3つは重視される
機密性 (Confidentiality): 情報へのアクセスを認められた者だけが、その情報にアクセスできる状態を確保すること
完全性 (Integrity): 情報が破壊、改ざん又は消去されていない状態を確保すること
可用性 (Availability): 情報へのアクセスを認められた者が、必要時に中断することなく、情報及び関連資産にアクセスできる状態を確保すること
しかし制御システムのセキュリティでは重要度がC、I、Aの順番ではなく、A、I、Cの順番である。また以下のHSEの3つも重視される
健康(Health)
安全(Safe)
環境への影響(Environment)
優先的に対策すべき場所を示したガイドラインとして下記のものがある:
NIST(アメリカ国立標準技術研究所)のサイバーセキュリティフレームワーク(正式名称:重要インフラのサイバーセキュリティを向上させるためのフレームワーク)によれば、重要インフラのサイバーセキュリティ対策は以下の5つのフェーズに分類できる:

上の表でSOC、CSIRTはセキュリティ対応のための組織である。両者の役割分担や関係性、業務内容等は企業毎に異なるが、概ねSOCは「平時」の分析運用を行い、CSIRTは「有事」のインシデント対応を行う。
このフレームワークは、それ以前の類似のフレームワークと比較した場合、攻撃が行われた後の検知、対策、復旧のフェーズの重要性を明確化した事と、各フェーズの習熟度について言及した事に特徴がある。
このフレームワークでは「ガバナンスのサイクル」と「マネジメントのサイクル」を回すことがサイバーセキュリティ対策で重要だと主張している。
またおなじNISTが発行したSP800-61「コンピュータセキュリティ・インシデント対応ガイド」ではインシデント対応プロセスは、準備、検知および分析、封じ込めおよび根絶、インシデント後の活動の4段階に分類されるとしている。
以下、サイバーセキュリティフレームワークの各フェーズを説明するが、一部JPCERT/CCの文献を元に加筆した。
企業などに存在するセキュリティ対応組織には、SOCとCSIRTの2種類が存在し、これら2つの主な仕事は以下の2点に集約される:
インシデント発生の抑制
インシデント発生時の被害最小化
セキュリティ対応組織の実務は、体制の検討、構築、見直しといった導入のフェーズ、概ね平時に行われる運用のフェーズ、インシデントが発生した「有事」においてインシデントに対応するフェーズからなる。全体の運営は、短期に回す運用・対応のサイクルと、この短期サイクルを踏まえて導入の見直しを行う長期サイクルからなっている。
以上の業務をSOC、CSIRTという2種類の組織で行う。これら2つ組織の役割分担や関係性、業務内容等は企業毎に異なるが、それぞれ概ね以下のような仕事を担う:
文献は、CSIRTがインシデントに対して行なう活動全般をインシデントマネジメントと呼び、インシデントマネジメントには、有事の対応に相当するインシデントハンドリング以外に以下の活動が含まれるとしている:
脆弱性対応(パッチの適応等)
事象分析
普及啓発
注意喚起
その他インシデント関連業務(予行演習など)