エクスポージャー管理が 3 社のサイバーセキュリティプログラムの変革に貢献

エクスポージャー管理の成熟度を取り上げる、エクスポージャー管理アカデミーシリーズのパート 2 では、Drogaria Araujo、Tenable、Verizon のような組織がどのようにエクスポージャー管理を適用し、セキュリティ態勢を強化しているかを探ります。 

このシリーズの最初の記事では、エクスポージャー管理成熟度モデルの 5 つの段階を解説しました。 場当たり的対策、枠組みの確立、スタンダードの確立、高度化、最適化です。 

この記事では、エクスポージャー管理プラットフォームがサイバーセキュリティプログラムの推進にどのように役立つかを理解するために、3 つのケーススタディを解説します。 エクスポージャー管理プラットフォームの導入に支えられたエクスポージャー管理の基本原則によって、これらの企業がどのようにサイバーセキュリティとコンプライアンスの成果を改善できたのかを見ていきます。

Drogaria Araujo はエクスポージャー管理を使用してアタックサーフェスの可視性を改善

ブラジルの大手薬局チェーンである Drogaria Araujo は、エクスポージャー管理を導入することで、アタックサーフェスの可視性を向上させ、CISO が自社の最もリスクの高いエクスポージャーについて報告し、ブラジルの一般データ保護法 (LGPD) に準拠していることを証明するために必要な文脈を獲得しました。 

Drogaria Araujo は、従来の IT システムと急速に拡大するクラウドシステムからなる、地理的に分散したハイブリッドインフラに依存しています。 サイバーエクスポージャー管理ソリューションを取り入れる前、同社は最初のセキュリティ対策を、IT インフラの基本的な脆弱性評価に依存していました。 その結果、検出結果のノイズや多数の修正チケットが嵐のように発生し、クラウド、アイデンティティ、OT システムからの検出結果がこれらの評価に含まれていないにもかかわらず、セキュリティ部門と IT 部門に負担をかけることになりました。

通常、ほとんどの組織は脆弱性評価を、脆弱性管理プログラム、あるいはより強固なリスクベースの脆弱性管理プログラムへと発展させることを検討しています。 しかし、同社のチームは、よりニーズを満たすことができる、総合的なエクスポージャー管理ツールに狙いを定めました。これは、拡大するアタックサーフェスを考慮し、エクスポージャーにつながるすべてのサイバーセキュリティリスクを包含するものでした。 

同社は、オンプレミス、クラウド、アイデンティティ、OT 環境にまたがるアタックサーフェスを一元的に把握できるという理由で、Tenable One サイバーエクスポージャー管理プラットフォームを選択したと述べています。 これにより、セキュリティチームは、従来のソフトウェアの脆弱性に加えて、組み合わさると攻撃者に利用される攻撃経路を形成する、クラウドの設定ミスとアイデンティティ関連の弱点を発見できるようになりました。

Drogaria Araujo の経験は、組織がエクスポージャー管理プラットフォームによって、いかに迅速に、コスト効率よく可視性を拡大できるかを証明しています。

Tenable はエクスポージャー管理を採用してセキュリティデータの統合と一元化を実現

Tenable では、50 を超えるツールのセキュリティデータを統合し、優先順位付けを改善し、レポートを自動化する必要があったことが、エクスポージャー管理ツールを導入するきっかけとなりました。 

Tenable の CSO は、脆弱性管理、クラウドセキュリティ、ウェブアプリケーションセキュリティなど、さまざまなセキュリティ領域にまたがるすべてのセキュリティポリシーを管理できる一元的な担当部門を設立することで、エクスポージャー管理の取り組みを開始しました。 脆弱性管理部門の目的を、中央制御ポイントとしてのエクスポージャー管理にまで拡大することは、理にかなったものでした。 しかし、それだけでは十分ではありませんでした。

Tenable は、異なるツール間の資産とリスクのデータを一元化する必要があると認識しました。そのため Tenable One サイバーエクスポージャー管理プラットフォームを使用して、Tenable 固有のツールのデータを集約し、関係性についての豊富な文脈、優先順位付け、および KPI を提供しました。 Tenable が Vulcan Cyber を買収したことで、セキュリティ部門はサードパーティ製ツールのデータを Tenable One に取り込むことができるようになりました。 

この新しいサードパーティのデータ取り込み機能をオンにしてから 48 時間以内に、Tenable は 15 のサードパーティツールのデータを統合して一元化することができました。 以前はセキュリティ部門が手作業で平均 3 日かけていたレポート作成が、数分でできるようになりました。 さらに、エクスポージャー管理部門は、資産 1 万件未満であった可視化の範囲を、アタックサーフェス全体に相当する 10 万件以上に拡大し、アラートに対するチケットの件数を 1,500 対 1 に減らすことができました。スタッフの人数は以前と同じです。 

エクスポージャー管理対策の成熟度を診断する

エクスポージャー管理対策に必要なものは整っていますか。当社のエクスポージャー管理成熟度評価を実施してご確認ください。 

Verizon はエクスポージャー管理を使用して現実のリスクと悪用される可能性のある脅威の優先順位を決定

通信業界のグローバルリーダーである Verizon は、世界で最も広大かつ複雑なアタックサーフェスの 1 つを管理するという固有の課題に直面していました。 多くの大企業と同様に、Verizon のセキュリティ部門も従来はサイロの中で業務を行っており、そのサイロのそれぞれに、アタックサーフェス管理、脆弱性診断、アイデンティティエクスポージャー、クラウドセキュリティといった領域に関する独自の専用ツールと優先順位が存在していました。 

しかし、このサイロ化された体制では、迅速で効率的な対応が難しく、各チームの担当範囲や専門領域の外にある部分で可視性の欠如が生じるリスクが高まっていました。こうした課題を踏まえ、リスク管理を「起きてから対応する」だけの事後対応的な姿勢では不十分だと判断した Verizon は、サイバーセキュリティの重点を事前対応型のエクスポージャー管理へと移しました。

Verizon は、最近のケーススタディとブログ投稿の中で、事前対策型のセキュリティ対策を、単一のプラットフォームである Tenable One に統合することを選択したと述べています。 この移行により、さまざまなセキュリティ分野からのデータの統合が可能になり、資産と関連するリスクを一元的に可視化できるようになりました。 この統合は技術的な移行だけでなく、組織的な移行でもあったため、チーム間のコラボレーションやデータ共有の方法を変える必要がありました。 Verizon は、透明性の高いコミュニケーションと早期の価値実証を通じて、これまで別々に存在していたアタックサーフェス管理、Active Directory、IoT、OT のセキュリティ部門などのセキュリティ機能を統合することができました。

Verizon の新しいエクスポージャー管理の基本原則は、発見されたすべてのリスクに対処するのではなく、現実のリスクと悪用される可能性のある脅威を優先することです。 同社は、「重要な」資産につながる実際の攻撃経路の一部であるリスクを優先しています。 このアプローチによって、最も重大なエクスポージャーに戦略的に対処できるようになるため、何がリスクにさらされているのか、最も緊急性の高い優先事項が何なのかに関する経営幹部とのコミュニケーションがより明確なものになり、最終的にはコンプライアンス主導のセキュリティ態勢からリスクベースのセキュリティ態勢に移行することができます。

エクスポージャー管理の力を活用する

これらのケーススタディは、非常に現実的なエクスポージャー管理の利点を示しています。 サイロ化したデータを統合したい場合にも、最高レベルの事前対策型セキュリティを実現したい場合にも、エクスポージャー管理はそのフレームワークを提供します。

もっと詳しく

• 自組織がどのような状況にあるのか、また、取り組みをどのように加速させることができるのかを把握したい場合は、 当社のエクスポージャー管理成熟度評価を実施してください。 5 分もかからずに、自組織に合った推奨事項が記載された、パーソナライズされたレポートを入手できます。