ゼロトラスト導入計画を適切に管理するための指標の定義

ゼロ トラストの考え方では、境界防御が突破されたと想定し、悪意のある行為者の横方向の移動を封じ込めることに優先順位が置かれます。Illumio は、個人がゼロ トラストへの取り組みを計画し、実行するために使用できる3 段階のゼロ トラスト プランを公開しました。

ブログ シリーズ「ゼロ トラストは難しくありません...現実的であれば」では、同僚の Raghu Nandakumara がこれらの概念をさらに 6 つの実用的なステップに分解しています。

メトリックは、組織がゼロトラスト (ZT) を運用して達成する上で重要な役割を果たします。お客様は、指標を使用して、どこから始めるべきかを特定し、主要なマイルストーンを定義し、ゼロトラスト機能を向上させ、成功とはどのようなものかを説明します。ゼロトラストを実装するための3段階の計画のコンテキストで、これらの指標のいくつかをダブルクリックしてみましょう。

ステップ 1: 発見する

この初期段階では、お客様は保護対象、重点を置く ZT の柱を特定し、ZT 実装の範囲と成熟度を拡大するための初期ロードマップを設計することに重点を置きます。一般的なビジネス推進要因としては、PCI DSS ( Payment Card Industry Data Security Standard ) や SWIFT CSF などのコンプライアンス、あるいは NIST CSF やCIS Top 20 Security Controlsを使用したリスク管理などが挙げられます。お客様はこれらのドライバーを使用して、初期の ZT プランの範囲を特定のアプリケーションとビジネス プロセスに絞り込み、プランをより使いやすいものにします。エグゼクティブ スポンサーと経営幹部は、過去 12 か月間に通知を必要とする侵害の数の削減など、戦略的なビジネス上のメリットを測定しようとします。運用チームは、可視性と計画性を高める指標に重点を置きます。

ForresterのZTアーキテクチャは複数の柱またはコンピテンシーで構成されており、すべてを一度に実行しようとすると、とんでもなくコストがかかり、リスクが高くなります。さまざまな主要な利害関係者から賛同を得るのは難しい場合があります。すべての人にZTを支持してもらうための賢明で効果的なアプローチは、内部指標に裏付けられた業界フレームワークを使用して、どのセキュリティコンピテンシーに最初に対処し、どのように進歩させるかを特定することです。

多くの実践者は、これを実行するためにForrester の Zero Trust Maturity eXtended Security Self-Assessment Tool を使用しています (サブスクリプションが必要)。この結果により、ゼロトラストの能力をどこでどのように向上させるかについての社内の話し合いが促進されました。たとえば、顧客の ZT 機能評価の結果では、PCI 接続システム全体にわたってトラフィックのきめ細かいセグメンテーションを実装することが提案される場合があります。組織がプログラムの有効性の指標として追跡する主な指標の例は次のとおりです。

• 正確に範囲内に収まるPCI接続システムの数は?
• 以前の期間(リアルタイムの可視性を有効にする前)と比較して、精度の改善はどのような点でしたか?
• PCI 接続システムのトラフィックの何パーセントがマイクロセグメンテーションによって保護されていますか?

ステップ 2: 定義する

お客様が最初の範囲を絞り込み、ゼロ トラスト コンピテンシーを優先すると、その活動はポリシー、制御へと移行し、その後、ゼロ トラストを継続的に実施してセキュリティ体制を維持するために必要な特定のデータを規定するようになります。多くの場合、このフェーズは、より広範な GRC (ガバナンス、リスク、コンプライアンス) プログラムと密接に連携します。運用および戦術的な指標は、ZT ロードマップの各段階での成功の様子を客観的に説明し、進捗状況を測定し重要なギャップを特定するためにプロキシとして使用する指標を説明するのに役立ちます。これらのメトリックの多くは、コンプライアンス テストや監査レポートの証拠データとしてよく使用されます。顧客がリスク管理および継続的な監視プログラムを実施している場合は、これらのメトリックを使用してセキュリティ ベースラインを特定し、組織が目標のセキュリティ指標に対してどの程度のパフォーマンスを発揮しているかを追跡することもできます。たとえば、 PCI コンプライアンスを検討する場合、このフェーズの ZT メトリックは次のような質問に答えます。

• 重要なアプリケーションとエンタープライズ接続の何パーセントが、セグメンテーション前に過度に広範または古いファイアウォールルールを持っていますか?
• マイクロセグメンテーション後の古くて広すぎるファイアウォールルールの減少率はどのくらいですか?
• リモートワークの運用モデルに移行するにあたり、
• エンドポイントデバイスの何パーセントが決済アプリケーションへの正当な接続を持っていますか?
• 正規のエンドポイント デバイスの何パーセントが管理対象と管理されていない/BYOD ですか?
• エンドポイント デバイスの何パーセントが不審な接続やポリシー違反について監視されていますか?
• 決済アプリケーションへの正当なリモートユーザー接続(企業支給のラップトップまたはBYOD経由)の何パーセントがマイクロセグメント化されていますか?

ステップ 3: 強制

これは、真鍮の鋲に降りかかる段階です。最初の導入と実装が完了すると、ターゲットのゼロトラスト体制を継続的に監視および検証することに焦点が移ります。ゼロトラストは、個々の環境が動的であるため、「一度で完了」するアクティビティではありません。適用フェーズでは、組織は環境の変化に対応できるようにする必要があります。

Illumio は、エンドポイント間のピアツーピア接続、エンタープライズ アプリケーションへのユーザー接続、ワークロード間の接続など、環境全体の接続とフローを継続的に監視できるため、組織はコンテキスト情報を簡単に取得できます。これらの分析情報を活用して、ポリシー、インシデント対応、修復を自動化および調整しており、これはソリューションの主なメリットとしてお客様からよく挙げられています。繰り返しになりますが、運用および戦術的な指標は、組織がゼロ トラスト プログラムが設計どおりに機能しているかどうかを知るための主要な指標を特定するのに役立ちます。質問と関連する指標の例は次のとおりです。

• 決済アプリケーションとPCI接続システムにおけるIP接続の新規および変更を検出するまでの平均時間はどのくらいですか?
• 決済アプリケーションへの IP 接続の変更に応じて、該当するファイアウォールルールを更新する平均時間はどのくらいですか?
• 同社のパッチ期間を超えた決済アプリケーションにおける重大度の高い脆弱性と中程度の脆弱性の数の減少はどの程度でしたか?
• マイクロセグメンテーションを使用しているパッチが適用されていないが、(運用上の制約により)重要なアプリケーションの数はどれくらいでしたか?

ゼロトラストのためのマイクロセグメンテーションの価値の測定

マイクロセグメンテーションは、ゼロトラストの最終ゲームであるラテラルムーブメント攻撃を封じ込めるための重要なコンポーネントです。典型的なイルミオの顧客は、多くの競合するセキュリティの優先事項に直面しているため、利害関係者が「どの程度」知りたいと思う場合があります。マイクロセグメンテーションの有効性を文書化し、定量的に実証する方法論を持つことは、マイクロセグメンテーションの提唱者がそのイニシアチブを社内の利害関係者に売り込むのに役立ちます。

当社は最近、レッドチームの専門家である Bishop Fox と提携し、MITRE ATT&CK ®フレームワークの主要コンポーネントに基づいてマイクロセグメンテーションの有効性を測定するアプローチを開発しました。このコラボレーションの成果は、「 マイクロセグメンテーションの有効性評価レポート」です。このレポートでは、顧客が独自の環境でテストを実施するために使用できる繰り返し可能な方法論について説明します。

チームは、マイクロセグメンテーションポリシーを適切に適用すると、悪意のある攻撃者が横方向に移動することがより困難になり、侵害までの時間が長くなることを発見しました。Bishop Fox チームはまた、マイクロセグメンテーションにより、攻撃者が標的のシステムに到達するための検出可能なイベントの数が増加することも発見しました。

このレポートは、同じポリシー状態を維持しながらマイクロセグメンテーション機能のカバレッジサイズを拡大すると、攻撃者の遅延において測定可能な利益が得られると指摘しています。これにより、攻撃者はネットワークをより効率的に通過するために手法を変更する必要があります。したがって、顧客はマイクロセグメンテーションを使用して、ラテラルムーブメントを封じ込めるだけでなく、顧客の脅威の監視および検出機能を最適化する手段で攻撃者に行動を強制することもできます。この結論は、以下に関する質問に答えるゼロトラスト指標を調査および開発する機会を示しています。

• 検出可能なイベントと侵害の指標の数
• 脅威ハンティング機能の強化による攻撃の検出時間の短縮
• 攻撃 (ランサムウェアなど) を封じ込めるまでの時間の改善

Illumio のゼロ トラストの運用機能の詳細については、 ゼロ トラスト ソリューション ページをご覧ください。

マイクロセグメンテーションの有効性について詳しく知りたい場合は、 オンデマンドウェビナーをご覧ください。