「第33回 Japan IT Week 春」（第21回情報セキュリティEXPO）にトレンドマイクロは参加します
トレンドマイクロは、4/24～4/26に東京ビッグサイトで開催される「第33回 Japan IT Week 春」にて、講演・展示を行います。本記事ではそれらの予定内容を簡単に紹介いたします。
本URLからご登録いただけますと無料でご参加いただけます。
「Japan IT Week」は国内最大規模のITイベントで、DX、AI、セキュリティなどIT全般のテーマを網羅した展示会です。
出展企業は約900社に上り、昨年の来場者数も4万5千人を超える実績を持つ大規模イベントとなります。
トレンドマイクロは、先日1月に開催された「Japan IT Week 関西」でも登壇しました。
そして今回は
・講演（2024年04月25日（木）10:30 ～11:15）
・展示（東展示棟 東４ホール 東23-50 ※東4ホールの24番入口よりご入場いただくと突き当りにございます）
・プレゼンテーション（弊社展示ブースにて常時開催中）
の3つの形式にて出展を行います。
展示会場はこちらです。
取締役副社長である「大三川 彰彦」を含めた様々な立場の専門家によるディスカッションや、最先端のセキュリティプラットフォーム「Trend Vision One」をご体験いただけるブース展示などご参加者様にとって有意義なコンテンツを当日はお届けいたします。
ぜひ積極的にご参加ください。
講演内容のご紹介「3者の視点から組織が実践すべきセキュリティ戦略を考える」
近年、社会のDX化の潮流を受けて、多くのデジタル資産がサイバー空間上に存在しています。一方でサイバー攻撃者の駆使する手法はますます巧妙化・組織化し、RaaSなどに見られるような分業体制が確立されるなど、その脅威は増すばかりです。
ランサムウェアに感染した組織において事業が停止することで株価に影響が出る、情報漏洩によって多額の賠償金を支払うなど、今日のセキュリティのリスクはすでにビジネスリスクに直結しています。
実際にトレンドマイクロが集計しているサイバー被害の公表事例数からもそうした傾向が確認されています。例えば、下図の通り「事業停止」や「システム停止」に繋がる被害を受けた事例は年々増加傾向にあります。
セキュリティリスクがビジネスリスクに直結するということは、セキュリティ戦略を立てる際には、ビジネス戦略に基づいて設計する必要があるということです。
これは経済産業省が発行している「サイバーセキュリティ経営ガイドライン3.0」の中でも「サイバーセキュリティリスクを組織の経営リスクの一環として織り込み、その観点からサイバーセキュリティリスクを（中略）自社が許容可能とする水準まで低減することは、企業として果たすべき社会的責任」という形で言及されています。
しかし一方で、こうしたセキュリティ戦略をビジネス戦略に沿った形で展開するという方針は「言うは易く行うは難し」の側面があります。
それはビジネス戦略、セキュリティ戦略それぞれに関わる人の立場が違うからです。
例えば、「重要なデジタル資産群Aをより優先的に保護する」という方針が組織で定まっていたとしても、セキュリティ担当にとっては予算が十分でないと感じていたり、経営層と現場で優先度の認識が異なっていたり、SOCチームは目の前のリスクへの対処が最優先になっていたりなどと、それぞれの立場が異なることでビジネスとセキュリティの戦略がかみ合わないケースがあります。
そうした中で、最も推進力を持つ経営層がセキュリティへの関わりを強めることや、経営層/セキュリティ責任者/担当者の異なる立場の間で議論を行うことは、より重要度を増していると言えます。
実際に昨年6月にCIO Lounge監修のもとトレンドマイクロが実施した調査では、経営層の関わりが強い組織ほど、セキュリティの成熟度が高いといった傾向も確認されています。
図：経営層の関わりの大きさ別の組織のセキュリティ成熟度平均
（n=305,経営層の関わりはリーダーシップ、報告、経営会議での取扱い、予算指示などの観点で計測,
セキュリティ成熟度は25の段階設問を用意し測定,詳細はこちら）
トレンドマイクロではこうした背景から、複数の立場でセキュリティ戦略を論じ、互いの立場の違いからくる優先順位のすり合わせや共通ゴールの設定が重要だと考えます。
そこで、今回の講演では下記3つの立場から、それぞれの専門家が登壇し議論を行います。同じ企業でもお立場の異なる方と合わせてご参加されるとより有意義なセッションですので、ぜひお誘い合わせの上、ご参加ください。
登壇者：
経営層：大三川 彰彦
経営の専門家としてトレンドマイクロ取締役副社長の大三川が登壇します。経営層としてどういったことを気にしているか、有事に備えておくべきこととして何を重視しているか、などについてお話します。
セキュリティ担当者：岡本 勝之
セキュリティ担当の専門家として弊社セキュリティエバンジェリスト岡本が登壇します。リサーチャーと連携し、世界中の脅威動向の知見を持つ立場を活かして、平時・有事の組織が準備しておく事項や組織内部での連携の必要性についてお話します。
インシデントレスポンス担当者：田中 啓介
インシデントレスポンス担当の専門家として、SANSでも登壇実績を持つ、弊社インシデント対応支援サービスの統括の田中が登壇します。過去300件以上の組織のインシデントレスポンス対応を支援してきたチームでの経験を踏まえて、インシデント現場の実態や課題についてお話します。
本講演に興味があり、より深く内容を理解されたい方は、下記の資料を事前にご参考下さい。
・セキュリティ成熟度と被害の実態 2023 詳細版
・インシデント対応から学ぶランサムウェア対策
・セキュリティインシデント事例集
| タイトル |
|---|
| 経営層へのセキュリティ対策レポートのツボは”リスク評価” 「アタックサーフェス“リスク”マネジメント」 |
| 「ゼロトラストって結局何をすればいいんだ…」 いま改めてNISTガイドラインを基に考える |
| セキュリティ人材不足を補うXDRの真価は“ 対処”ではなく”復旧”にある |
| 情シス部門・SOC最大の課題！？ 「セキュリティ人材不足」に対応するために |
| 2024年サイバー脅威動向 最新の攻撃手口から見る効果的な対処方法とは |
1つ目のプレゼンテーションのタイトルにもなっていますが、近年の情報セキュリティ対策には、平時と有事それぞれに備えた戦略が不可欠となっています。なぜ平時と有事それぞれの両立が必要なのか、本稿にて説明させていただきます。
上述の通り、守るべき資産の増加とサイバー攻撃者の巧妙化に伴い、セキュリティリスクは年々肥大化しています。その為、組織はリスク対応と営利活動の両立を求められており、リスク対応にも効率性が求められます。
サイバー攻撃によるリスクの大きさは、たびたびその被害額で表されますが、より効率的/効果的にリスクに対応していく為には、その内訳にも目を向ける必要があります。
例えば、下記に示すようにサイバー事故による被害額の「平均値」は「中央値」の約160倍というデータがあります。
参考記事：『時間』と『可視化』で考える、経営層に必要なセキュリティKPI
これは、サイバー事故によるリスクが均一に分布していないことを明示的に示しています。具体的には、「平均値」は大規模な被害にあった事例の金額に引っ張られて大きな金額になっている一方で、「中央値」は小さな被害の事例の件数に引っ張られて比較的少ない金額に落ち着いています。日本でも過去に仮想通貨取引所を運営している組織に対するサイバー攻撃によって100億円以上の被害が発生したことがありますが、そうした”件数は少ないものの極端に被害の大きい”事例が、上記の統計上の差分を生み出していると言えます。
こうした内訳に目を向けると、サイバーリスクの中身を2つに分けて認識することができます。
図に示した通り、サイバーリスクには二種類、「多発するが比較的軽微なリスク」と「万が一の壊滅的リスク」が存在するという形で解釈することができます。性質の異なるリスクに対して、一辺倒にセキュリティ対策を行っても、望んだ費用対効果を得られない可能性があります。
そこで、上図に示した2つのリスクそれぞれに対してそのセキュリティ戦略を分けて対応を行うことが重要と言えます。
なお、本図は決して「万が一の壊滅的リスク」に対して、平時の準備が必要ないということを主張しているわけではありません。むしろ平時のセキュリティ対策をすり抜けた脅威こそが、「万が一の壊滅的リスク」に繋がるものである為、平時のセキュリティ対策は「万が一の壊滅的リスク」の発生率に直接影響します。
セキュリティ対策を行う防御側は、どの脅威が壊滅的リスクに該当するかの判断はできないことから、基本的に全ての脅威に対し、被害が起こらないよう準備を行う「平時」の対策と、どうしてもすり抜けて来た（組織内に侵入されてしまった）脅威の存在を検知し、被害の影響を可能な限り最小限に抑える「有事」の対策が同時に必要になることを示しています。
では、被害の「発生を未然に防ぐ」ための平時の戦略とはどういったものでしょうか。
被害の「発生」を防ぐためには自社の情報資産がどこにあって、どのような利用状況にあるかを常に把握・管理する必要があります。しかし、冒頭でも記載した通り、現在組織の中には把握しきれないほどの膨大なIT資産が存在しており、人力でそれらの所在やステータスを管理することには限界があります。
そこで、自社内の資産のリスクを管理する為に、「ASRM(Attack Surface Risk Management)」の技術が有効です。ASRMにおいてはASM（Attack Surface Management）で提供される自社IT資産情報の可視化や脆弱性のある部分の可視化に加えて、攻撃が行われる「可能性」と攻撃が行われた際の「影響」からリスクスコアを定量的に算出します。
つまり、膨大なIT資産の所在・弱点・リスク状況を可視化し、「異常」な挙動や「危険」な運用状況が一目でわかるようになります。
例えば誤って公開設定になっているクラウドサービスや不審な時間にログインしている乗っ取られたアカウントなどを被害発生前に特定することが可能になります。
しかし未然に防ぐ、という観点ではリスクが高いことがわかるだけでは、防ぐことはできません。組織内の資産は、ゼロトラストの考え方に基づきリスクコントロールを行う必要があります。ゼロトラストの考え方については「NIST SP800-207」にてガイドラインが提供されていますが、基本的な7つの考え方として、組織全体にまたがる網羅性や資産の状態に合わせた動的ポリシーの設定など実効性を持つためのリアルタイム性が強調されています。
こちらについても組織全体のデジタル資産の量やそれらを利用する従業員の数を考えた場合、人力で行うには限界があり、リスクコントロールの自動化が求められます。つまり事前戦略として被害の発生を抑えることを目指す組織は、包括的なリスク管理とゼロトラストの考え方をリアルタイムで自動実行できるセキュリティソリューションの導入が求められることとなります。
トレンドマイクロの展示ブースでは、セキュリティプラットフォーム「Trend Vision One」で提供するAttack Surface Risk Management (ASRM)やZero Trust Secure Access(ZTSA)といった組織の事前対策の役立つソリューションを紹介しています。
次に、「被害の影響を最小限に抑える」ための有事の戦略はどういったものでしょうか。
APTに代表される現代の巧妙なサイバー攻撃は、セキュリティレベルの低い他社を踏み台にした侵入や、正規ツールを利用した秘密裏の侵害活動など、標的企業向けにカスタマイズした複雑な戦略/戦術を駆使します。
その上では、自社が侵害されていることに素早く気づくこと（MTTD）、または侵害されたのちに素早く復旧できること（MTTR）が被害の影響を抑える為に重要なKPIとなります。
図：過去3年間でサイバー攻撃被害を受けた組織における
サイバー攻撃の検知までにかかった時間と業務が停止した時間の関係性
（N=230,「セキュリティ成熟度と被害の実態調査 2023」より）
上図の通り、サイバー攻撃を検知するまでの時間（＝MTTD）が復旧までにかかった時間（＝MTTR）に有意に影響していることが調査からわかっています。
組織は、自社内のサイバー空間での動きを隅々まで網羅する形でログを取得し、攻撃の兆候を見つけ出す必要があります。こちらも人の手で実現することが難しいタスクであり、より効率化するためにセキュリティソリューションの導入が効果的です。
XDRの技術は、エンドポイントに加え、メール、サーバ、クラウドワークロード、ネットワーク等の複数のセキュリティレイヤに配置したセンサーからテレメトリ(ファイルやプロセスに対するアクティビティデータ)を収集し、サイバー攻撃の有無や対処すべき事項を見出し、セキュリティ実務者をサポートします。これにより、組織は膨大な数のログや巧みな攻撃に対する可視性がもたらされ、被害を抑える取り組みにリソースを投入できます。
また、同時に復旧に向けてもXDRの技術は有効です。インシデント発生後、多くの組織が「まだ組織内に脅威が潜んでいるのではないか」という疑念に向き合う必要があります。そうした際、XDRによって組織全体のテレメトリを一定期間監視することにより、脅威の存在がないこと（＝再発の危険性がないこと）を確認でき、復旧の根拠を取得することができます。つまりXDRの技術はMTTRの短縮にもその効果を発揮します。
しかし一方で、技術があっても使える人がいない、という現実もあります。
図：セキュリティ対策の阻害要因(n=305,「セキュリティ成熟度と被害の実態調査 2023」より)
上図の通り、セキュリティ対策が実行できない原因は、「スキルある人材の不足」が最多であり、XDRのような技術があっても運用できる人材がいないことが課題となる可能性があります。
そうした場合には、XDRの運用を信頼できるベンダーに外注することも選択肢の一つとなるでしょう。
トレンドマイクロの展示ブースでは、セキュリティプラットフォーム「Trend Vision One」で提供するXDRの機能や弊社が提供する「Managed XDR」や「インシデントレスポンス」のサービスについて紹介します。
またブースでは、各ソリューションをご体験いただくことに加え、プレゼンテーションによる各ソリューションやサービスの内容説明の時間を設けております。ご興味のある方はぜひお越しいただき、最新のセキュリティプラットフォームの効果をご体感いただければと思います。
スタッフ一同皆様のご参加をお待ち申し上げております。
---
次回イベント告知：「Interop Tokyo 2024」に出展します。幕張メッセにて6/12（水）～14（金）開催されるイベントとなります。
今回のJapan IT Weekと同様、弊社のセキュリティプラットフォームをご体感いただけるブース展示などを予定しております。
今後のイベントにもご期待ください。
---
Security GO新着記事
Webスキミングとはどのような攻撃なのか？～決済情報の非保持化でも被害に遭う脅威～
（2024年11月8日）
ソブリンクラウドとは？プライベートクラウドやガバメントクラウドとの違いを解説
（2024年11月5日）
