WEB問題集
Woodgrove Bank は、鉱山、小売、医療、公的部門向けの 4 事業を傘下に持ちます。セキュリティ予算は据え置きで、全事業へ均等に配分するのではなく、事業ごとに最も損害の大きいリスクへ優先して配分する方針が決まりました。侵害のビジネス リスクを特定する段階にあり、事業の性質に応じてリスク分析を分ける必要があります。
各事業部門に対して、リスク分析で最優先に置く事象を対応付けてください。
- 鉱山事業部門
- 公的部門向け事業
- 小売事業部門
- 医療事業部門
解説
【正解マッチング】
| 事業部門 | リスク分析で最優先に置く事象 |
|---|---|
| 鉱山事業部門 | ID 盗難による操業への干渉 |
| 小売事業部門 | 複数ドメインの ID 管理の複雑さ |
| 医療事業部門 | 機密医療記録の不正開示 |
| 公的部門向け事業 | 国家安全保障と評判の損害 |
【ポイント】
ビジネス要件は業種ごとのリスク分析に依存するため、資産と脅威の優先順位も事業単位で変わります。鉱山業界は運用テクノロジのシステムで手動プロセスを減らし、処理プラントのジョブをヒューマン マシン インターフェイスで扱います。これらはアプリケーションとして設計されるため、脅威はデータの損失や資産の盗難から、ID 盗難で重要システムに入り込み運用プロセスに干渉する外部アクターへ移っています。小売業界では、同じテナント内に複数ブランドの複数ドメインが存在するとオンプレミスまたはクラウドの ID 管理が複雑になり、そこから脆弱性が生まれます。医療セクターの主なリスクはデータ損失で、機密医療記録の不正開示は患者のために予約されているデータおよび情報プライバシー法への直接的な脅威となり、現地の規制に基づく大幅なペナルティを招きます。政府機関は情報セキュリティに対して最も高いリスクを負い、評判の損害、国家安全保障、データ損失が懸念されるため、より厳しい基準を採用する必要があります。予算が据え置きの状況で一律に配分すると、この差が投資に反映されません。
【参考】
Fabrikam は、ビジネス回復性の目標を支えるセキュリティ戦略を設計しています。取締役会からは、投資額の根拠と、どこまでの侵害を受け入れるのかを明文化するよう求められました。現在の取り組みとギャップは次のとおりです。
| 対象 | 現在の取り組み | ギャップ |
|---|---|---|
| 投資判断 | 対策ごとに費用を積み上げている | 侵害時の損害を金額で示せない |
| 受容水準 | 重大な侵害はすべて対応する前提 | 準備と修復の範囲が決まらない |
| 攻撃者の意図 | すべての侵害を同列に扱う | 金銭目的の攻撃への備えが薄い |
次の各設計課題に対して、リスク評価で用いる観点を選択してください。
それぞれに最も適したものを選択してください。
| ステートメント | 選択 |
|---|---|
|
侵害が起きた場合の損害を見積もり、セキュリティ投資の根拠として取締役会に示す。
|
|
|
どの侵害シナリオまでを受け入れ、どこから対応するのかを文書化して戦略の基礎とする。
|
|
|
経済的に主導された侵害と日和見的な侵害とを区別し、備えの厚みを変える。
|
解説
【正解マッチング】
| 設計課題 | リスク評価で用いる観点 |
|---|---|
| 損害を金額で見積もり投資の根拠にする | リスクの定量化 |
| 受け入れる侵害シナリオを文書化する | リスク アペタイト |
| 侵害の動機によって備えを変える | 侵害の意図の認識 |
【ポイント】
侵害を防ぎ、侵害による損害を減らす戦略を採用するときは、リスクのメトリックを考慮して定量化することが重要です。リスクを定量化する演習では、リスクに対する食欲、つまりどこまでを受け入れるのかのメトリックを設定できます。そのためには、ビジネスに影響を与える可能性のあるビジネスクリティカルな侵害の分析とともにベースライン リスク評価を実施し、文書化したリスク アペタイトと、対応する意思のあるシナリオの組み合わせを、侵害準備および修復戦略の基礎とします。さらに、侵害の意図を認識することも侵害の準備の一部です。すべての侵害には悪意や犯罪目的の要素が伴いますが、経済的に主導された侵害は、日和見的な侵害に比べてはるかに大きな損害を与える可能性があります。侵害を絶対に防ぐことは事実上不可能であるため、攻撃への摩擦を段階的に増やし、防御できる攻撃を意図的に阻止する投資判断が現実的です。
【参考】
Northwind Traders は流通業で、受注と物流を支える基幹システムは業務時間中に停止できません。セキュリティ予算は据え置きで、外部監査は 6 か月後に行われます。ビジネス回復性の目標を支えるセキュリティ戦略はまだ文書化されていません。
セキュリティ アーキテクトとして最初に着手する設計として適切なものを 2 つ選択してください。
解説
【正解: A・C】の理由
ビジネス回復性の目標を支えるセキュリティ戦略は、守るべき対象の特定から始めます。フェーズ 1 のガイダンスは、最も機密性の高い資産を特定してより高い保証レベルで保護するプロセスは長く困難であるとしたうえで、ビジネス、IT、セキュリティの利害関係者を集め、侵害された場合に最も損害を被るビジネス資産は何か、それらのビジネス資産はファイル、アプリケーション、データベース、サーバー、制御システムなどの IT 資産にどう変換されるかを問うところから始めるよう勧めています。あわせて、ベースライン リスク評価と、文書化したリスク アペタイトおよび対応する意思のあるシナリオの組み合わせが、侵害準備および修復戦略の基礎を形成します。予算が据え置きで基幹システムを止められない制約下では、この 2 つが投資の配分順序を決めます。
【他選択肢が違う理由】
- B: 一律の保護は、限られた予算を最も損害の大きい資産へ集中できず、優先順位付けの目的に反します。
- D: 規制文書の整備だけでは、守る対象が定まらないため回復性の目標に結び付きません。
- E: 侵害を絶対に防ぐことは事実上不可能で、侵害を前提とした復旧の設計は先送りできません。
【参考】
Contoso は製造業で、ランサムウェア対策に充てられる人員と予算が限られています。上の図は、Microsoft のランサムウェア防止ガイダンスが示す 3 つのステップです。
現状は次のとおりです。基幹システムのバックアップは毎日取得していますが、運用担当者の資格情報で削除も上書きもでき、保管先はオンラインだけです。特権ロールの棚卸しと、フィッシング耐性のある認証方法への移行は、いずれも未着手です。
セキュリティ アーキテクトとして、最初に着手する設計はどれですか。
解説
【正解: A】の理由
ランサムウェア防止ガイダンスの 3 つのステップは、技術的な依存関係の順序ではなく、リスクをできるだけ速く下げるための優先順位です。ステップ 1 の復旧計画の準備は、攻撃者からの金銭的インセンティブを最小限に抑えることを狙いとしています。支払いを余儀なくされる状況を防ぐために実行できる最も直接的かつ効果的な行動は、サイバー犯罪者はもちろん自分自身でさえ変更できない不変ストレージから企業全体を復元できるようにすることです。バックアップの保護では、変更前に多要素認証か PIN を求めることが強い保護、不変ストレージまたは完全なオフラインへの格納が最も強い保護と示されています。
【他選択肢が違う理由】
- B: 特権アクセスの絞り込みはステップ 2 です。損害の範囲を限定するうえで重要ですが、復旧手段を確保したうえで取り組みます。
- C: 侵入を困難にする施策はステップ 3 で時間がかかります。ステップ 3 の作業がステップ 1 と 2 の進行を遅らせないことが重要です。
- D: 態勢スコアの改善は継続的な取り組みで最優先ではありません。なお Azure Security Center は改称前の名称で、現行は Microsoft Defender for Cloud です。
【参考】
ランサムウェア攻撃から組織をすばやく保護する
ランサムウェア攻撃からの復旧計画
Microsoft Defender for Cloud とは
Adventure Works は、ランサムウェアに備えた復旧計画の整備を終えています。企業全体のバックアップは不変ストレージに保管され、復元演習で目標復旧時間を満たすことも確認済みです。一方で管理者権限は常時割り当てられたままで、管理作業は日常業務と同じ端末から行われています。追加予算はなく、次の四半期に着手できる設計は 1 つだけです。
セキュリティ アーキテクトとして、次に着手する設計はどれですか。
解説
【正解: B】の理由
ランサムウェア防止の 3 つの手順は、リスクを可能な限り速く減らすように設計された優先順位です。手順 1 の復旧計画は不変ストレージと復元演習で満たされているため、次に効くのは手順 2 の損害範囲の限定、すなわち特権ロールの保護です。攻撃者が特権アクセスの役割を使って複数のビジネス クリティカルなシステムに到達する作業を非常に困難にすると、攻撃から利益を得ることがはるかに難しくなり、諦めて立ち去る可能性が高まります。特権アクセスは ID システム、クラウド制御プレーン、重要なビジネス リソースを直接制御できるため、組織で最も影響の大きいリスクの 1 つです。専用の管理者アカウント、強化された特権アクセス ワークステーション、承認付きのジャストインタイム昇格は、この経路をまとめて狭めます。
【他選択肢が違う理由】
- A: 攻撃面の縮小規則は手順 3 に当たり、まず監査モードで影響を評価してから展開します。
- C: 復元演習はすでに目標を満たしており、追加投資による限界的な改善にとどまります。
- D: レガシ プロトコルの廃止は手順 3 で時間がかかり、手順 2 の進行を遅らせます。