セキュリティ運用：自動化と人間の専門知識のバランス

インシデント対応はますます自動化されていくでしょう。機械学習とAIにはプロセス全体をより効率的にする大きな可能性があるからです。しかし、自動化は慎重に、一定の点までに留め、人間の要素を放棄せず、CISOがすべてのサイバーセキュリティイベントをコントロールし続けられるようにすべきです。彼らが持つ代替不可能な知識と専門性、そしてまだ解決されていないこれら技術の明確な欠点があるからです。

近年、機械学習とAIの進歩がサイバーセキュリティ業界でますます顕著になっています。インシデント対応の努力を合理化し、より効果的にするための様々なソリューションが、現在これらの技術を採用しています。

インシデント対応プロセス内の特定タスク、特に定型的で機械的な作業を自動化することが、組織のサイバー攻撃に対するレジリエンスを高めることに疑いの余地はありません。しかし、一部のサイバーセキュリティ専門家は、プロセスの一部を自動化することを、プロセス全体を自動化することと同一視しがちです。これらは実際には全く異なる概念です。

サイバーインシデント対応において、自動化と「自動」は同義語と見なすべきではないことを指摘しておくことが重要です。

>関連記事: セキュリティ自動化：IT生産性とネットワークレジリエンスの向上

本質的に、オーケストレーションソリューションと組み合わせた自動化は、セキュリティ専門家がサイバーセキュリティイベントに費やす時間の大部分を消費する最も反復的で定型的なタスクを置き換えることで反応時間を短縮し、プロセス全体のコントロールを維持し、意思決定段階で人間の判断を活用できるようにします。

一方、「自動」とは基本的に、インシデントの完全なコントロールを機械に委ねることを意味し、場合によっては誤った結果を生み、組織に深刻な損害を与える可能性があります。

CISOが「新しい自動化 vs 自動の世界」をどう航海しているか

自動応答の考え方がますます支持を集めるこの新しい環境において、サイバーセキュリティ専門家コミュニティで生じる主要な疑問の一つは、CISOがこれをどう航海しているか、完全自動化を熱望しているのか、それとも潜在的リスクを認識し、オーケストレートされたアプローチを堅持する決意があるかです。

多くのCISOが自動インシデント対応を受け入れたがっていると言えますが、それを実行する前に知っておくべきことは、そのような動きには多数の課題とハードルが伴うということです。

例えば、このタイプのシナリオから特定のコンプライアンスリスクが生じる可能性があります。データ侵害通知法へのコンプライアンスはインシデント対応の領域では極めて重要です。組織は侵害について顧客に通知し、適切な当局に報告書を所定の期間内に提出することが求められます。

>関連記事: モビリティの要求：セキュリティと自動化が手を携える必要性

それを達成するには、組織は自動インシデント対応システムに頼れません。侵害の範囲、深刻度、影響を評価するプロセスには人的入力が必要であり、それが完了するまで、特定の侵害が通知法の対象かどうか判断できないからです。

2018年5月施行の一般データ保護規則（GDPR）は、特定の組織がデータ侵害を認知してから72時間以内に当局に報告し、悪影響があると判断された場合は影響を受けた個人にも通知することを要求する厳格な規制の一例です。

これらの事実を判断し、侵害を報告すべきか決めるには、こうした規制の存在を知り、詳細を理解し、それに従って行動できるサイバーセキュリティ専門家が必要です。自動インシデント対応システムにはできないことです。これらの規制違反への制裁は深刻で、組織のボトムラインを深刻に傷つける高額な罰金が含まれます。

サイバーセキュリティは将来も人間の要素を保持するか？

サイバーセキュリティコミュニティで提起されるもう一つの大きな疑問は、インシデント対応に人間の要素が依然として必要かどうかです。機械学習と人工知能の急速な進歩がこの問題を浮上させ、自動化推進派はこれがサイバーセキュリティの論理的で不可避な次のステップだと主張しています。

自動インシデント対応のアイデアは魅力的に聞こえるかもしれませんが、より合理的で根拠のある意見は、人間の要素がいくつかの重要な理由でサイバーセキュリティにおいて重要な役割を果たし続けるというものです。第一に、上述の通り、インシデント対応の多くの重要な側面——規制コンプライアンスの確保など——で人間の判断が依然として必要だからです。

>関連記事: 自動化：ネットワークの必然

次に、経験豊富で高度なスキルを持つサイバーセキュリティ専門家は、インシデント対応オーケストレーションプロセスにおいて不可欠な要素であり、今後もそうであり続けるべきです。オーケストレーションは、セキュリティチームがインシデント対応プロセス全体を効果的かつ効率的に実施し、復旧・根絶、準備・事後分析など、人的入力を必要とする本質的側面のコントロールを失わないために必要です。

さらに、CISOはインシデント対応に関連するより広範な活動——組織内の全従業員へのサイバーセキュリティ意識向上、将来のサイバー攻撃に対する組織のレジリエンス強化——の一部であり続けることが間違いなく期待されます。

簡潔に言えば、インシデント対応は機械学習とAIがプロセス全体をより効率的にする大きな可能性を持つため、ますます自動化されていくでしょう。しかし、自動化は慎重に、一定の点までに留め、人間の要素を放棄せず、CISOがすべてのサイバーセキュリティイベントをコントロールし続けられるようにすべきです。彼らが持つ代替不可能な知識と専門性、そしてまだ解決されていないこれら技術の明確な欠点があるからです。

 

提供：ダリオ・フォルテ、創業者兼CEO、DFLabs

 

英国最大のテックリーダーシップ会議、Tech Leaders Summitが9月14日に開催。40名以上のトップエグゼクティブが登壇し、企業が直面する最も破壊的なイノベーションの課題と機会を議論します。ここで登録して名誉あるサミットの席を確保してください