MITRE Threat-Informed Defenseの成熟度調査から見る日本企業への推奨事項

Threat-Informed Defenseの理解

Threat-Informed Defenseとは

Threat-Informed DefenseはMITREが定めたフレームワーク「Measuring, Maximizing, and Maturing Threat-Informed Defense 1.0.0」（以下、M3TID）において「敵の手法や技術に対する深い理解を体系的に応用して防御力を向上させる防御方法」と定義されています。具体的には、Cyber Threat Intelligence （攻撃を理解する）、Testing & Evaluation（脅威情報や攻撃への新しいアプローチで継続的にテストする）、Defensive Measures（自発的防御）という3つの側面（ディメンション）で構成されます。M3TIDは、3つのディメンションで合計15のキーコンポーネント別に成熟度を定義し、評価する仕組みです。

各ディメンションの関係性

Threat-Informed Defenseは3つのディメンションが循環するプロセスとして表現されていますが、M3TIDで定義されている各ディメンションのキーコンポーネントごとに関係性を整理すると、Cyber Threat Intelligence （以下、CTI）で生成される脅威インテリジェンスはDefensive Measures（以下、DM）とTesting & Evaluation（以下、T&E）の両方に活用されるものだと分かります。従って、CTIがThreat-Informed Defenseの基盤となっていると言えます。

CTIの中でも「Depth of Threat Data」「Breadth of Threat Information」「Relevance of Threat Data」は、取得している脅威情報の深さと広さ、組織との関連性を示すものであり、Threat-Informed Defense活動の起点になるものです。これらの情報を組織内で活用できるように分析し、脅威インテリジェンスを生成して適切に伝達することが、効果的なDM・T&E活動へつながります。

DMでは、脅威インテリジェンスに基づいてサイバー攻撃の防御・検知・対応を実装することはもちろんのこと、デセプション（ネットワーク内に配置した偽の情報などの罠を用いて攻撃者を欺き、攻撃を遅延・阻止する手法）による新たな脅威情報の取得にも言及されており、それがCTIへのインプットにつながると考えられます。

T&Eでは、脅威インテリジェンスに基づいてセキュリティ対策のテストおよび評価を計画、履行し、その結果に基づいた改善点をDMにフィードバックします。

このように、Threat-Informed Defenseの各ディメンションにおける活動が連携することで、セキュリティ対策を常に最新かつ組織に最適化した状態に維持することにつながることが分かります。各ディメンションが高い成熟度で連携すると、組織は戦略的な意思決定と的確な投資を行い、絶えず進化する脅威に対して防御を強化することができます。

現状の課題（仮説）

前述のとおり、サイバー攻撃の高度化に対処するためには、Threat-Informed Defenseサイクルを運用し、セキュリティ対策をアップデートしていくことが重要です。しかしながら、PwCのコラム「ジオテクノロジー（技術の地政学）とサイバーセキュリティ」において、日本はサイバーインテリジェンスに課題があると示したとおり、Threat-Informed Defenseの基盤であるCTIの成熟度が低いことが考えられます。その結果、DMとT&Eを高度化する要素が不足し、効果的な防御策を実装することができていないのではないかと私たちは考えています。