脅威ベースのペネトレーションテストTLPTの公表

脅威ベースのペネトレーションテスト（TLPT）とは

サイバーセキュリティ対策は“終わりのない旅”と言われています。
何故ならコンピュータ技術の進展は利用者に便利なだけではなくサイバー攻撃者にも有利になります。
また、インターネットを通じたサイバー空間と現実空間とはますます距離を縮めています。
そして、他人のパソコンに侵入して技術力を誇示していた個人のハッカーの時代から、国家間のサイバー戦争レベルまでサイバー攻撃は拡張しています。

こうした中、特にターゲットとなりやすい金融機関を対象に、2018年10月、先進7カ国（G7）財務大臣・中央銀行総裁会議において、「脅威ベースのペネトレーションテスト（TLPT）に関するG7の基礎的要素 (金融庁公表のPDFにリンクします) 」が公表されました。

TLPTとは、脅威ベースのペネトレーションテスト。
現実世界で起きているサイバー攻撃をテスターが対象企業に行うことで、対象企業の防御、検知、対応をテストします。
もちろん、攻撃型の手法も変化しますので定期的に実施する必要があります。
またサイバー攻撃はすべて外部からとは限りません。
極端な話、基幹システムの特権IDを持つ運用担当者が顧客情報を窃取し、顧客の口座を操作するといった攻撃も現実に起きているインシデントです。

DX（デジタル・トランスフォーメーション）推進 で、最新のテクノロジーがもたらす脅威

世界で戦える最後の産業が自動車産業と言われている日本、2025年の崖から落ちないようにDX(デジタル・トランスフォーメーション)の推進も盛んになってきました。

デジタルの最新のテクノロジー（IoT、AI、量子コンピュータ等）を効果的かつ有効に現実のビジネスに活かす取り組みも進められています。
これに伴い、最新のテクノロジーがもたらす脅威もまた増加することは否めません。
余談ですが、NSA(アメリカ国家安全保障局)は窃取した暗号化ファイルもすべて保存しています。量子コンピュータを使えば復号化が可能になるからです。

もちろん、国家レベルの組織が行うようなサイバー攻撃を民間企業が防ぐのは容易ではありません。

ただ幸いなことに国家レベルの組織が作り上げた防御システムを導入することは民間企業でも可能な対策方法です。

脅威の検知方法、対応方法がAI技術により専門家不在でも利用可能な製品が登場しています。

侵入前提の防御対策、ゼロトラスト型のセキュリティ対策

コロナ禍によるテレワークの普及、ニューノーマルな働き方改革など、社会の流れが生み出したリモートワークがこれまでの境界型防御と呼ばれるセキュリティ対策に一石を投じ、米国で提唱されているゼロトラスト型のセキュリティ対策への移行を図られている企業もあります。

これまで、脅威の侵入をネットワークやデバイス（パソコンやスマホ等）の境界で防御することを前提としていましたが、侵入されることを前提としたセキュリティ対策が製品としても普及してきています。

例えば、SOC※1に必要なツールとしてEDR、SIEM、NDRといったカテゴリの製品があります。EDRはエンドポイントの脅威を検知対応するための製品、SIEMとはファイヤーウオールやIPS/IDS　などから出力されるログやデータを組み合わせて相関分析を行うための製品、NDRはネットワーク上の基幹となるスイッチに接続し、パケットの内容や流れから脅威を検知対応するための製品です。特にNDR製品ではAIを利用し、「自動化」「省力化」が図られた製品も登場しており、誤検知や過検知に振り回されることも少なくなってきています。

※1　SOCとは；Security Operation Centerの略。サイバー攻撃などの検知や分析などを行う専門的な部署、組織のこと。ログ分析や、サイバーセキュリティ対策の立案などの業務を行う

自動化の重要性、「最小権限の原則」と「ポリシーベースのアクセス制御」

ゼロトラストモデルと呼ばれるセキュリティ対策の基本概念は「最小権限の原則」と「ポリシーベースのアクセス制御」です。
情報資産（リソース）へのアクセス権を必要最小限に限定する仕組みがゼロトラストモデルとなります。

ゼロトラストモデルが完璧かというと、前述の通りサイバーセキュリティ対策は“終わりのない旅”です。

ある日特権を持つユーザが組織に対して裏切りに走ることもあります。

正しくシステムにログインし、正しく情報を取得するという行為について、その行為に悪意が有るのか無いのかを判断するのはその行為の頻度により判断する必要があります。

ある日、大量に重要な情報資産をダウンロードし、クラウドストレージにアップロードしている場合、稀な行為として警告を発することが必要です。

それが組織内で上位の職位についている人であっても、です。
脅威を稀な事象として日常のシステム利用から検出し、自動的に通信パスの遮断や管理者への警告を通知すると言った監視と防御のシステムがあれば、SOCを準備し人手で監視作業を行うといったコストを削減できますし、AIによる自動判定であれば即時に対応が可能になります。

サイバー攻撃は発見間もないソフトウェアやハードウェアの脆弱性を突いた新たな手法が次々と生み出されている状況です。

“終わりのない旅”とは言われていますが、これまでのセキュリティ対策では太刀打ちできない状況であることは変わりなく、ますます進むデジタル化に追随するためにもセキュリティ対策は非常に重要な位置を占めています。