セキュリティ製品やサービスの市場は、華やかなライティングや刺激的な色彩、それに刺激的な宣伝文句に満ちあふれています。これは今に始まったことではありませんが、市場の拡大に伴って、民間企業におけるセキュリティの状態は良くなっているのでしょうか？ 日本でも、ベンダーだけでなく政財界も言う通り、まだまだ企業はセキュリティへの投資予算を増やすべきなのでしょうか？ ビジネスへの投資とセキュリティへの投資は、どういうバランスが良いのでしょうか？ そもそも、セキュリティ投資に無駄はないのでしょうか？
ファッション消費に例えてみると、ウインドーショッピングをしているうちに目が肥えてきて、流行に乗り遅れてはいけないとばかりについ目新しいデザインや色使いのファッションを衝動的に買い込んでしまうということは、確かにあります。控えめにいっても冷静とは言えず、少し熱に浮かされているような体験も正直あります。そういう時に限って、帰宅するとまるで同じような洋服がワードローブに、というどこかで見た光景が……
セキュリティ製品の導入の前には、POC（プルーフオブコンセプト）という実証実験があるのが通常なので、洋服の場合のようなことは起こらない理屈になっています。それでも機能が重複してしまうことも、実務においてはないわけではありません。いくら大義のセキュリティのためとはいえ、冗費となってはスマートとは言えません。どうしたらエレガントにセキュリティをデザインでき、社内でも「なるほど」と言ってもらえるのでしょうか？
新しい技術を採り入れる必要性は年々大きくなり、またサイクルも速くなっているようにも感じています。犯罪組織が潤沢な予算と組織力をもって全力で挑んでくるからです。どんどん強くなるし、極めて巧妙にもなる。また時間も人もグローバル規模で潤沢。そこでこちらも新製品を買わざるを得ないという気持ちになるのは致し方ないことです。でも、ちょっと待ってください。いくらムービングターゲットへの対応と言ったところで、ワードローブの中がぐちゃぐちゃというのではいただけません。新旧の防御システムが似ているならまだしも、相互干渉して無用なセキュリティアラートを山のように飛ばしてきたらたまったものではないでしょう。
こういうときに、アーキテクチャという考え方が生きてくるわけです。アーキテクチャはもともと建設業界で使われていたれっきとした実務上で効果を発揮する常とう手段です。セキュリティでアーキテクチャと言えば、どういうことなのか、どういうメリットがあるのか、今年の3月にISFから出されたSecurity Architectureというレポートから整理法について学んでみたいと思います。まずは、Steve Durbinさんにご説明お願いします。
大変動にも揺るがない、ビジネスのためのセキュリティアーキテクチャ
筋交いとしてのゼロトラスト、サイバーセキュリティメッシュ、マイクロセグメンテーション
Steve Durbin, Chief Executive of the ISF
CORPORATE COMPLIANCE INSIGHTS
June 17, 2021
世界的なパンデミックからどうにか立ち直ろうとする企業にとっては、1円たりとも無駄にはできません。とはいえ、サイバー攻撃の脅威を無視することもできません。統合セキュリティアーキテクチャを導入することで、情報セキュリティチームは諸機能を強化しつつ上手に予算を使うことができます。
セキュリティアーキテクチャは黒魔術のように思われがちです。十分には理解されていませんし、セキュリティ担当者でさえも理解できていないことも多いでしょう。しかし適切に用いれば、一貫性、標準化、そして少ない投資で大きな見返りを得ることもできるのです。
大規模なサプライチェーン攻撃事件など転機となる経験をした今、包括的なセキュリティアーキテクチャあるいは「サイバーセキュリティメッシュ」が必要であるという実感は、業界を超えて広まっていくでしょう。企業はいずれも、法令順守を着実にしつつ、分散拠点で働く従業員までをも対象とする強固なセキュリティを維持することに苦心していると思います。こうした状況に加えて、デジタルトランスフォーメーションへの意欲が再燃し、将来の成功をもたらす新技術やイノベーションへの渇望も高まっています。
セキュリティアーキテクチャは、正しく計画・導入されれば、ビジネスに多くのメリットをもたらします。法規制への対応を確実にするとともに、潜在的な被攻撃領域を減らして防御態勢を強化することで、セキュリティ戦略を固めるのに役立つのです。複雑に絡み合った情報やシステムを構造化することは大きな挑戦ですが、潜在的な利益を考えれば、やる価値は十分にあります。
セキュリティアーキテクチャで手入れする
セキュリティアーキテクチャと言ってもおぼろげなものにも思えますが、常に実用的で効果的なセキュリティをもたらすものです。その中核となるコンポーネントによって、企業内のどのようなシステムにも一貫して適用可能な一連の基礎的要素が定義されます。定義要素は共有され、共通セキュリティサービスとして利用されるのです。例えば、ユーザーのアクセスや暗号化キーを管理するアイデンティティ管理機能、ネットワーク分割のような標準コントロール、および標準的な初期画面設置キットのような再利用可能なテンプレートなど。このようなアーキテクチャを着実に適用することで、一貫したレベルのセキュリティを確保できます。
モノのインターネット化の進展で産業のデジタル化が定着するにつれて、ゼロトラスト、サイバーセキュリティメッシュ、マイクロセグメンテーションなどの概念がセキュリティアーキテクチャの概念と競合し、優位性を競うことになるでしょう（ゼロトラストは、バイデン政権の最新のサイバーセキュリティ大統領令で承認を受けたばかり）。とはいえ、適切なレベルのセキュリティ確保という最終的な目標では一致しており、試行錯誤を通じてできたセキュリティアーキテクチャのコンポーネントも、自然な進化の中で新しい概念を取り込んでいくのです。
サイバーセキュリティメッシュ（網）を打つ
セキュリティアーキテクチャには、非常に多くの変動要素が働き、ハードウエア資産にしてもソフトウエア資産にしても従来のセキュリティ境界の外にあるなか、最新の分散型アーキテクチャアプローチないしサイバーセキュリティメッシュは、エレガントな戦略を提供してくれます。必要性のあるところにセキュリティを配備するという考え方です。リモートワークの従業員、新しいクラウドサービス、あるいは社外の第三者など、人や資産に焦点を当てて保護対象を広げていきます。
モジュール式のシステムによって、セキュリティポリシーを曲げることも防御性能を損なうこともなく、迅速かつ大規模で臨機応変に対応できるという考え方です。まずは、企業全体で実現したいセキュリティアプローチを定義してモデル化し、かつ必要に応じてすぐに展開できるように矛盾のないようにしておきます。そうして、中核的なセキュリティ原則はセキュリティサービスおよびコントロールのライブラリに書き込み、これを使ってデザインやコンフィグレーションを再適用してから、承認リストにあるハードウエアやソフトウエアを利用できるようになります。
コンプライアンスを実証する
一貫性のあるセキュリティアーキテクチャであれば、法令順守や当局が課すさまざまな義務の履行にも役立つ上、局所的ソリューションを最小限の数に抑え、費用や諸経費を削減することも可能にします。
課される義務の内容は、PCI DSSのようにセキュリティコントロールに限定したものもありますが、その他多くのものは、意図的に概念的で原則に基づいたものになっています（GDPRなど）。そのため、原則を規定するアーキテクチャとの親和性は高いといえます。
価値を実証する
セキュリティ製品の市場は細分化されており、一芸に秀でていてもセキュリティの防御壁の穴の数々はあいたままというような局所的ソリューションが大々的に売られています。そこで、セキュリティアーキテクチャのどこに適合する製品なのかを問うことで、より包括的なソリューションがもたらされて、無駄な出費をせずに済みます。
また、セキュリティ対策製品のポートフォリオにアーキテクチャの視点を取り入れることで、製品群の中で機能の同じものや似たものを特定し、よりシンプルでコスト効率の高い代替品を展開することが可能になるでしょう。
まずは始める
セキュリティアーキテクチャは、時間の経過とともに進化していくのはある意味必然ですが、例えばTOGAF、SABSA、Zachman などの商用フレームワークを使えば解決への近道になり、セキュリティアーキテクチャをより広範な企業システムと整合させるという扱いにくい課題にも役立ちます。
いずれにせよ、小さな一歩を踏み出すだけでもセキュリティアーキテクチャにはメリットがあり、確固たるセキュリティ原則を適用していくための基盤となります。計画的に、あるいは初期設定からセキュリティに組み込むように努めましょう。検討を加えるのは、アクセスや利用権限の制限や、多層防御、システム障害に備えたデータ保護の方法などとなります。
複雑さを回避する
企業というものは、動きを止めることない複雑なものであり、合併や買収さらに方向転換も繰り返します。法規制要件も強化や緩和を繰り返し、時として矛盾も生じます。悪意のある攻撃を受けることも日常茶飯事です。
セキュリティアーキテクチャが優れていれば、不確実性の要因を理解して、複雑さをかき分けていくのに役立ちます。回避することがうまくいけば戦略は自律的に回りますが、うまくいかなければ使われず、棚ざらしになってしまうでしょう。
努力をすり合わせていく
ビジネスを伸ばしていくためにコスト削減の方法を見つけることは非常に重要なことなので、セキュリティアーキテクチャは、優先順位の高いビジネスの動きと密接に連動していなければなりません。アーキテクチャの全ての要素には、明確に定義されたビジネス上の目標が伴っていなければなりません。また、オープンで透明性の高い議論を行い、関係するチームやプロジェクト間での協調関係を深めていくことは、セキュリティアーキテクチャ全体を強靭（きょうじん）にしていく上でも非常に重要であり、有益でもあります。
セキュリティアーキテクチャは、企業によって大きく異なる場合がありますが、中央集権化と効果的なすり合わせが成功の鍵となります。これは、現有のリソースを最大限に活用し、今後もビジネスをセキュリティ面からサポートするためのエレガントな方法といえます。
さて、エレガントな装い方はこれで分かったことにして、実際にどのように設計実務を進めるのか、ご一緒に考えてみたいと思います。
文中にあるようなフレームワークの数々も深い経験知が染み込んでいることは重々承知しています。ただ、私自身の場合は何とかその内容は理解できたのですが、読むのと話すのは大違い。習いたての他人の言葉では、社内のIT部署の方々にでさえ共感を得るのは難しかった経験があります。ましてや管理部門の方々には、横を向かれてしまいました。
新しくはやっている「ゼロトラスト」もそんな匂いがします。たしかに、セキュリティの関係者であればこの数年、セキュリティ製品市やセミナーなどで何度も刷り込まれている言葉だと思います。NIST（米国国立標準技術研究所）も昨年特別文書を出しています（邦訳はPwC版にあり）。ネットワーク境界で守るセキュリティから脱却して、アクセスごとにダイナミックなセキュリティを確立しようという意図はよく分かりますが、これは何か新しい概念なのか、セキュリティアーキテクチャの言い換えなのか。なんだか哲学的でソワソワと落ち着かない気分になりました。
実は、このISFレポートは5年前にも同じタイトルで、違うメンバーが執筆していました。当時、それを参照して自分自身もアーキテクトを気取ってみたものです。それから、クラウド利用のスケールやバリエーションも、法令も、攻撃側の技術や凶暴さも大きく変わりました。ただ、今回の版を見てみたところ、基本は意外に変わらないんだな、と思いました。新しい経験知や、新しい環境への適応法などは、帰納法的に学び直していく必要はありますが、構造的なものは一緒ですので、スッと入って来ます。
ビジネス要件から入って、セキュリティの実装までの間に、セキュリティのさまざまな要素を3つの視点で整理します。まずは、概念的にビジネスや組織の特性を押さえ、次に、論理的なセキュリティ視点からいわゆる人・プロセス・テクノロジーを見直し、そしてITを物理的に記述していく流れです。詳しい内容に興味のある方は、ISFレポートのエクゼクティブサマリーをダウンロードしてご参照ください。
細かい相違点はさておき、自分なりの整理術を手に覚えさせておけば、セキュリティのワードローブはいつもスッキリしていて、漏れなくダブりなく、そして必要な限りにおいてそろっている状態になります。緊急時の出費を別にすれば、普段のセキュリティインシデント対応程度であれば、質素な予算で済むことでしょう。簡にして要を得るエレガンスを目指したいものです。
