サイバーインテリジェンス活用によるセキュリティ課題の解決－企業で必要となるサイバーインテリジェンス活動・体制とは

なぜサイバーインテリジェンスが必要とされているのか?

近年、DXを契機としたビジネス環境の変化に伴い、サイバーリスクへの対処はますます重要となっています。その裏付けとして、PwCが実施した第25回CEO意識調査においては、企業の成長に対する脅威として、サイバーリスクが1位に挙げられています（図表1）。

これまでサイバーリスクへの対応手法として、GAP分析・目指すべきレベルの設定・施策の実行を段階的に実施するベースラインアプローチが採用されてきました。しかし、近年ではサイバー空間における脅威は目まぐるしく変化を続けており、従来型のベースラインアプローチでは最新の脅威への対応が困難となっています。従来型のベースラインアプローチでは、目指すべきレベルを設定する際に特定のガイドラインを拠り所とするケースがほとんどですが、多くのガイドラインでは最新動向が反映されるまでに一定の時間差があり、その間に発生した最新の脅威には対応ができません。サイバー攻撃によるインシデントが発生した場合、即時に事業継続に影響が発生する可能性があるため、企業はサイバーリスクへの対応を最新の脅威を踏まえて継続的に見直していくことが求められています。

このように目まぐるしく変化するサイバー脅威に対応していくには、組織内でサイバーインテリジェンスを活用することが有効です。サイバーインテリジェンスとは、単なるサイバー脅威に関わる情報ではなく、何らかの目的に基づいて分析した意思決定のための結果・示唆・知見のことを指します（図表2）。これは、サイバー脅威に対する予防・検知・対処などの技術的な側面のインテリジェンスに限定されません。経営層がセキュリティ戦略を策定するためのインテリジェンスやセキュリティ業務を改善するためのインテリジェンスもサイバーインテリジェンスと言えます。

サイバーインテリジェンスにおける分析の例として、新たなサイバー攻撃手法が出現した場合、その攻撃手法だけではなく、その攻撃が起きた背景（政治・経済・社会といったマクロ要因）やそれらを悪用するサイバー攻撃者の目的、自組織の特性（業種、サプライチェーン、情報システムなど）をかけ合わせて、自組織に対してどのような影響がどの程度の確度で発生するかを分析します。この分析結果に対して、同業他社のセキュリティ投資額といったベンチマークデータを加えることで、経営層は自組織が次に取るべき戦略の確からしさを確認できます。一方、SOCやCSIRTでは、その攻撃手法の被害にあった事例を分析することで、自組織が同様の被害にあった際に対処可能であるか事前に確認し、セキュリティ業務を見直すことができます。このように複数の情報を読み手の目的に合わせてさまざまな視点から分析することが、サイバーインテリジェンスの活用と言えるでしょう。

情報セキュリティマネジメントシステムの実装に関するベストプラクティスであるISO/IEC 27002では、2022年2月の改訂時にThreat intelligenceについて言及され、Threat intelligenceの収集と分析が新たな管理策として定義されており、今後サイバーインテリジェンスは各企業のセキュリティ戦略において、より重要視されるものになると考えられます。

インテリジェンスの創出、活用に必要となる役割分担

サイバーインテリジェンスは企業が独自に収集・加工・分析することも可能ですが、収集・加工・分析には専用のツールや専門的なスキルを有する人材が必要となります。自組織にサイバーインテリジェンスの一連のサイクルを運用する体制がない場合は、それらの業務を外部の専門機関にアウトソースすることもできます。ただし、アウトソースを行ったとしても「分析」における自社への影響分析は企業のセキュリティ戦略に密接に関連し、自らで最終的な判断を行う必要があるため、全てをアウトソースできるわけではない点にはご留意ください。

次回以降は、各企業におけるセキュリティ課題を例にサイバーインテリジェンスがどのようにそれらの課題を解決するか、事例を交えて解説します。