MITRE Threat-Informed Defenseの成熟度調査から見る日本企業への推奨事項（その2：データ分析編）

  • 2024-11-06

はじめに

『MITRE Threat-Informed Defenseを活用した新フレームワークM3TID』（以下、初回インサイト）では、米国の非営利組織The MITRE Corporation傘下のMITRE Engenuity（以下、MITRE）が発表した「Threat-Informed Defense」の概念や重要性について解説しました。続いて、『MITRE Threat-Informed Defenseの成熟度調査から見る日本企業への推奨事項』（以下、前回インサイト）では、日本企業の取り組み状況をアンケート調査した結果と推奨事項を紹介しました。今回は、前回インサイトのアンケート調査に対してデータ分析手法を用いることで、異なる角度から日本企業の取り組み状況について考察し、推奨事項を提案します。

成熟度が平均以下のグループの課題と推奨事項

成熟度が低い組織は、攻撃者とビジネスの観点で見ると、サプライチェーンの中でサイバー防衛体制が弱い組織として狙われやすく、被害に遭いやすいと考えられます。実際にサイバー攻撃を受けた場合、自社が被害を受けるだけでなく、取引先にもインパクトを及ぼす恐れがあります。こうした状況を受け、近年取引先のセキュリティ管理体制の評価、改善を求める動きもあり、対応できない場合はビジネス機会を逸失することも想定されます。

具体的に注目するべきキーコンポーネントと評価項目は、「D.1 - Foundational Security（予防的セキュリティ対策への脅威情報の活用）」のLevel 2（アドホックなパッチ適用、限定的な資産目録、基本的なセキュリティ対策を実施する程度）、「T.1 - Type of Testing（サイバーセキュリティテストの種類）」のLevel 2（セキュリティ管理／リスク評価＜受け身、コンプライアンス重視＞）があり、これらの関連業界のガイドラインや取引先との契約に必要な情報セキュリティ対策要件に関連する評価項目を満たしていない場合は、ビジネス上の機会損失を招くことが懸念されます。しかしながら、現実的には予算・人材の不足といった直ちに解消することが難しい制約に直面していると推測できます。当面の目標として、関連業界の平均水準レベルまで成熟度を向上させることを目指し、3つのディメンションのバランスを見つつ、特に成熟度が低いものを優先し、CTIとCTI以外のいずれも低い場合CTIから取り組むことを推奨します。

「I.1 - Depth of Threat Data」の成熟度の低さの原因と推奨事項

前述のとおり、一部のグループにおいて、他のキーコンポーネントと比べて明らかに「I.1 - Depth of Threat Data」のスコアが低い傾向が見られました。また、「I-1 - Depth of Threat Data」の評価項目のうち、Level 1（取得していない）の回答者が全体の24.5%でした。その原因として、セキュリティ製品の導入に留まっている、脅威インテリジェンスに関する施策・体制が未整備、あるいは脅威インテリジェンスに関する施策・体制は存在するものの脅威動向調査といった初期段階に留まっており実際のセキュリティ運用の一部として組み込まれてない、といった事情が考えられます。

図表4：「I.1 - Depth of Threat Data」の評価項目

成熟度レベル

評価内容

Level 1

None（取得していない）

Level 2

Ephemeral IOCs: hashes, IPs, domains: data sources an adversary can change easily（一時的なIOC＜Indicator of Compromise：侵害の痕跡＞：ハッシュ値、IPアドレス、ドメイン名など、攻撃者が簡単に変更できるデータソース）

Level 3

Tools / Software used by adversaries: tools or software which can be swapped or modified by an adversary to evade detection（攻撃者が使用するツール／ソフトウェア：攻撃者が検出を回避するために交換したり変更したりできるツールやソフトウェア）

Level 4

Techniques and Tactics used by adversaries: the techniques and behaviors that are harder to change for an adversary（攻撃者が使用するテクニックと戦術：攻撃者が変更しにくいテクニックと行動）

Level 5

Low-variance adversary behaviors and associated observables: specific actions most implementations of a technique must use so it is very difficult for an adversary to change or avoid（ばらつきの少ない攻撃者の行動と関連する挙動：攻撃者が変更または回避するのが非常に困難な特定の行動）

前回インサイトで述べたとおり、「I.1 - Depth of Threat Data（脅威情報の深さ）」は、「I.2 - Breadth of Threat Information（脅威情報の幅）」および「I.3 - Relevance of Threat Data（脅威情報の関連性）」と並んでThreat-Informed Defense活動の起点になるコンポーネントの1つであるため、この成熟度を向上させることが重要です。自組織を標的としたサイバー攻撃に対して効果的な対策を講じるにはLevel 2からLevel 4相当の脅威データを取得している体制が望ましいと考えらえます。特によりLevelの高い情報を活用することで、サイバー攻撃に用いられる戦術、技術、手法の変化の影響を受けにくい普遍的な対策を検討することができます。これらの脅威データがThreat-Informed Defense活動を支える基盤となり、DMおよびT&Eの改善、ひいては全体的な成熟度を向上させる起点となります。

まとめ

前回インサイトで紹介したThreat-Informed Defenseの成熟度を測るアンケート調査のデータに対してクラスター分析を行うことで、類似した傾向を持つグループに分類でき、各グループの特徴が明らかになりました。また、低スコア群、「I.1 - Depth of Threat Data」の成熟度が低いグループの背景を分析し、どういう行動をとるべきかを考察しました。

Threat-Informed Defenseは、攻撃者側が優位の状況下において、組織が悪意のある攻撃を予測し、リスクを軽減するための積極的な措置を講じることができる戦略的なアプローチです。最初のステップとして、M3TIDを活用して自組織の現状の成熟度を認識し、本来あるべき姿に対してどのような取り組みが求められるのかを検討し、着実に実行することが重要だと考えます。

執筆者

村上 純一

パートナー, PwCコンサルティング合同会社

Email

浦野 晃

シニアアソシエイト, PwCコンサルティング合同会社

Email

{{filterContent.facetedTitle}}

{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{contentList.viewAllLabel}}

{{filterContent.facetedTitle}}

{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{contentList.viewAllLabel}}

本ページに関するお問い合わせ

フォーム

関連サービス