「希望は戦略ではない」: サイバーリーダーが語る、多層防御戦略を実行するための真の鍵

Jesse Fasolo 氏、セント ジョセフス ヘルス、テクノロジー インフラストラクチャおよびサイバー セキュリティ担当ディレクター

サイバーセキュリティ、ひいては患者の安全に関しては、「希望は戦略ではありません」とプルーフポイントの産業ソリューション担当副社長、ライアン・ウィット氏は述べています。 特に環境はますます複雑になっています。

「最近、悪役のシステムは実際にかなり進化し、洗練されています」と彼は講演中に述べた。 最近の議論。 “それは怖い。” 認証情報を取得する手段はこれまで以上に増えており、同氏はそれをサイバー犯罪者にとって「涅槃状態」と呼んだ。

「彼らはネットワークにアクセスした瞬間に、ネットワークをナビゲートし、低く寝て、正しい攻撃方法を決定する能力を持っています」とウィット氏は付け加えた。 「あなたが耳にする侵害の多くは、認証情報から始まります。」

その結果、サイバーセキュリティのリーダーは、こうした悪夢のようなシナリオを回避するために適切な手段を確保するというプレッシャーが増大しています。 ウェビナーでは、ウィット氏と共同パネリストのジェシー・ファソロ氏（セント・ジョセフス・ヘルス社、情報セキュリティ責任者、テクノロジー・インフラストラクチャおよびサイバー・セキュリティ担当ディレクター）とマイク・シュレイダー氏（ウェルスパン・ヘルス社、情報セキュリティ/CISO担当ディレクター）がセキュリティ保護における最大の課題を説明しました。システムを紹介し、それらにどのようにアプローチしているかを説明しました。

ファソロ氏は、「トロイの木馬」状況から身を守るための重要な要素の 1 つは、敵とその能力を理解することであると述べました。 「組織は、パスワードの取得を複数回試みたり、特定のマルウェアを導入したりするなど、総当たり攻撃を受けることがあります。」 あるいは、攻撃はソーシャル エンジニアリングを利用する可能性があります。 「それは、電話、メール、または誰かがあなたに近づいてきてパスワードを尋ねたり、何らかの方法であなたを操作しようとしたりする可能性があります。」

残念ながら、悪意のある者が侵入する方法は無数にあります。 そして、ほとんどの攻撃はランダムではないことがますます明らかになっているとウィット氏は述べています。 「彼らは適正評価を行ってきました。 彼らは、組織のどの部分が投資に対して最大の利益を生み出すことができるかを理解しています。」 したがって、「攻撃者の考え方に身を置き、攻撃者にとって組織の何が最も魅力的であるかを理解することが重要です。これは、全体的なセキュリティ体制をどのように構築するかを考える上で非常に重要な変数です。」

検出して隔離する

Shrader 氏によると、あらゆるセキュリティ体制の重要な側面は、脅威を検出して隔離する能力です。 「結局のところ、それは常に人、プロセス、テクノロジーにかかっています」と彼は言いました。 テクノロジーの面では、マルウェアや認証情報フィッシングなどの電子メールの脅威と戦うための多層的なアプローチを提供する Proofpoint のようなベンダーと提携することを推奨しました。

Mike Shrader 氏、WellSpan Health、情報セキュリティ担当ディレクター

AI技術を活用した電子メールフィルターと警告タグを通じて、プルーフポイントは動作の異常を自動的に検出し、「危険信号」を発することができるとウィット氏は述べた。 たとえば、「突然、特権のない人々が、これまでアクセスする資格がなかった、または対話する理由のないシステムにアクセスしようとしているのを目にし始めた場合、それを検出するテクノロジーがあればいいのですが。」

次のステップは分離ですが、ファソロ氏はこれが「プロセス内で最も重要なコンポーネントの 1 つ」であると考えています。 そのため、リーダーは、特に特権ユーザーの場合、侵害の可能性に関する報告を直ちに検証し、できるだけ早くプロセスを開始する必要があります。 その場合、「あらゆる活動を停止することが最も重要だ」と彼は付け加えた。

継続的な監視

そこからの次の行動は、ユーザーがどのシステムにアクセスし、どのようなアクションが実行されたかを調査し、「これ以上の侵害がないことを確認するための監視ツールとアラート」を導入することだとシュレーダー氏は述べた。

ファソロ氏もこれに同意し、悪意のある者が機密情報へのアクセスを試み続けないようにするためには封じ込めが重要であると指摘した。 「パスワードをリセットしたり、無効にしてから再度有効にしたからといって、それらの資格情報を侵害した悪意のある攻撃者がまだその資格情報を使用しようとしていないことを意味するわけではありません。」 セキュリティ チームは、継続的な監視とフォローアップを通じて、侵害が意図的ではなかったのか、それとも調査が必要なより深い動機があったのかを確認できます。 「疑わしい場合は、それを徹底的に調査し、より積極的な調査とブロックを行う必要がある」と同氏は述べ、特にそれが危険なドメインまたはIPアドレスであることが判明した場合はそうだと述べた。

これらの手順を実行することで、リーダーは組織に的が置かれた理由を「全体像を描き」始め、標的となったユーザーやシステムに焦点を当てることができます。 ウィット氏によると、プルーフポイントは、どの個人が最も攻撃されているかを明らかにする標的型攻撃防御機能によってこのプロセスを支援し、セキュリティ チームがリスク軽減制御を実装できるようにします。 また、顧客はレポートにアクセスして、サイバー インシデントに関して自分の組織が他の組織とどのように比較されているかを知ることもできます。

賭けをする

ただし、利用可能なサイバーセキュリティ ソリューションが非常に多くあることは確かに良いことですが、ほとんどの CISO はリソースを獲得するために戦わなければならない、つまり取捨選択する必要があると感じています。 「トレードオフと妥協があることを認識する必要があります」とウィット氏は言う。 「したがって、防衛費に対して最大の利益が得られる可能性がより高いセキュリティ制御に賭けて層を厚くする必要があります。」

そのための 1 つの方法は、脅威アクターが最も活発に活動している場所を知ることだとファソロ氏は指摘します。 「私の考える最良の戦略は、重大度と潜在的なリスクに基づいて脆弱性やシステムを評価することです。」 言い換えれば、「特権ユーザーがいる場合は、そのユーザーに対してさらにセキュリティを強化するつもりです。 あるいは、レガシー システムがある場合は、それらを複数のレイヤーの背後に配置して、その環境における攻撃の連鎖を断ち切ります。」

これはすべて、効果的な多層防御戦略の一部であり、侵害が発生した場合に単にアクセスを遮断するだけではありません。

Ryan Witt 氏、業界ソリューション、ヘルスケア、Proofpoint 担当副社長

「医療業界では、誰かのアカウントを閉鎖すると、その人のワークフローに影響を与えます。 あなたは患者に影響を与えています」と彼は指摘した。 したがって、迅速かつ効率的に作業することが重要です。 「アカウントを無効にして調査し、パスワードをリセットして、できるだけ早く機能させるようにしてください」とファソロ氏はアドバイスしました。 「結局のところ、彼らは患者の世話をしようとしているのですから。」 オンラインに戻ると、リーダーはパスワードがどのように侵害されたか、アクセスされた場所、およびパスワードの発信元の IP アドレスについてフォレンジック調査を開始できます。

教育作品

もちろん、今日の環境では、患者ケアとサイバーセキュリティは密接に結びついており、そのためユーザー中心の教育を優先することが非常に重要であるとファソロ氏は述べています。 同氏は「これが最も重要だ」と述べ、組織に対し定期的にフィッシング演習を実施し、人事部と協力してフィッシング演習をクリックしたユーザーに指導を提供するよう奨励した。

Shrader 氏によると、頻繁な教育のもう 1 つの利点は、ユーザーが潜在的なフィッシング詐欺を特定する方法を学ぶのに役立ち、それによって組織がより積極的になれることです。 さらに、彼のチームはエンゲージメントを促進するために、ギフトカードの抽選などのインセンティブを追加しました。

「私たちは人々を守る必要があります。 彼らは私たちの成功の鍵です」と彼は言いました。

このウェビナーのアーカイブを表示するには — 多層防御の実現: 資格情報侵害の防止と対処のためのベスト プラクティス (Proofpoint 主催) — をご覧ください。 ここをクリック。