脆弱性管理から露出管理への移行

第2章. エクスポージャー・マネジメントの導入

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

脆弱性管理は露出を抑えるための重要な第一歩だったが、それだけでは不十分だった。脆弱性管理が導入された当初から、現代のIT環境は劇的に進化している。組織はもはやオフィスに集中し、コア・テクノロジーは社内のデータ・センターにストアされ、全従業員は構内にいるわけではない。今日、企業はクラウド・テクノロジーとモバイル・ワークフォースを活用し、さまざまなテクノロジーが従来のオフィスのあらゆる面に統合され、モノのインターネット（IoT）デバイスが常に存在し、ビルの出入りからコーヒーメーカーまであらゆるものを制御している。

これにより、従来の脆弱性管理では広範で複雑すぎる攻撃対象領域が作成され、関連するコンテキストを持たないデータが大量に生成されるようになった。その結果、組織はCVSSスコアの高いエクスポージャを追い求めるだけで、実際の組織のリスク態勢は改善されなかった。これらの脆弱性は解決されつつあったが、より低い脆弱性を持つ資産は露出したままになっていた。

企業は、脆弱性管理の基盤の上に、継続的な脅威のアセスメントをビジネスの優先順位やコンテキストとインテグレーションし、より広い視野を提供する新しいソリューションを必要としていた。

露出管理とは何か、なぜ作成されたのか？

暴露管理は、脆弱性管理の自然な進化である。組織の資産やデータをサイバー脅威にさらす可能性のあるリスクを特定、評価、緩和するための、より包括的なアプローチである。

エクスポージャ管理は、ビジネス・コンテキストを利用して、組織がセキュリティに対してよりプロアクティブなアプローチをとることを支援する。既知の脆弱性に反応するのではなく、特定の組織に関する情報を活用して、潜在的なエクスポージャと攻撃ベクトルを攻撃者が悪用する前に予測し、緩和する。

プロアクティブなアプローチに移行することで、企業はリソースを戦略的に活用できるようになる。最も重要なリスクを明確に把握することで、企業は限られたセキュリティリソースをより効率的かつ効果的に活用することができる。

暴露管理では、ソフトウェアの脆弱性や設定ミスの評価に加え、不必要なデータの暴露、安全でないインタフェース、その他の悪用可能なセキュリティリスクなど、より広範な視点で評価する。このようなより全体的なアプローチの一環として、暴露管理では、クラウドプラットフォーム、モバイルデバイス、IoTも評価し、これらを単発の資産としてではなく、プロセスの一部として含める。

このデータにコンテクストを加えるため、エクスポージャー管理は、リスク評価の一部として、事業運営とオブジェクトへの潜在的影響を組み込む。これにより、早急な対応が必要なリスクのより正確な優先順位が作成される。

反応的な戦略は脅威に対応するものであり、リスクの高い脆弱性を排除するための協調的な取り組みを作成するために、チームの日常的な演算子を混乱させる大規模なイベントにつながる。ゼロデイ攻撃のような新しく緊急性の高い脆弱性を解消するには効果的だが、このアプローチはスタッフにストレスを与え、レスポンスが必要な重大インシデントの終わりのないサイクルを作成する。プロアクティブな戦略は、発生する重大なインシデントの数を減らすことで、このストレスを軽減することができる。

プロアクティブアプローチは、すべてのセキュリティインシデントを排除するわけではな ...