リスクを低減することは、あらゆるセキュリティチームの第一目標です。しかし、セキュリティアラートに優先順位を付けて、どのコントロールを誰に適用するかを決定し、その影響を予測することは容易ではありません。多くの組織では、脅威に基づいたアプローチをとり、最も攻撃の対象となっているユーザーにコントロールを適用し、目に見えるリスクを軽減しようとしています。しかし、それでは、十分にリスクをとらえることができていません。
さらに、デジタルトランスフォーメーションとそれに付随したクラウド アプリケーションとプラットフォームの導入により、多くの組織にとって、セキュリティの複雑さがさらに増しています。人々はネットワークを経由せずにクラウドアプリにアクセスするため、従来のネットワークセキュリティのアプローチでは、同じレベルの防護を得ることができません。アプリケーションとトラフィックに対する可視性を得ることが重要ですが、追跡する変動要素が増えるにしたがって、組織に影響を与えるあらゆる種類のリスクを可視化することは難しくなります。
Verizon 社の 2020 Data Breach Investigations Report によると、最も成功率の高い攻撃は、認証情報を盗んで悪用するものでした。攻撃者は、ソーシャル エンジニアリング攻撃を行い、ユーザーを騙してこれらの情報を盗んでいます。プルーフポイントは、こういった攻撃に対抗するため、何年も前に VAP (Very Attacked People) モデルを導入し、セキュリティチームがユーザーのアクションや振舞いに基づいて、リスクを評価できるようサポートしてきました。プルーフポイントの VAP モデルは、脆弱性、攻撃、特権に重点を置いており、People-Centric の視点でリスクを評価し、組織が次を特定できるよう支援します。
- 人がどれほどリスクの高い方法で仕事をしているか (Vulnerability/脆弱性): 攻撃にひっかかりやすいかどうか
- 人がどれほど脅威に攻撃されているか (Attack /攻撃): 攻撃される可能性
- 人が重要データにどのようにアクセスしているか (Privilege/権限): 特定のユーザーが攻撃された場合の組織全体への影響はどのようなものか
攻撃を受ける確率、可能性、影響を総合的に評価することで、組織が人的リスク (People Risk) をより正確に把握できるよう支援します。
Proofpoint Nexus People-Risk Explorer のご紹介
プルーフポイントは最近、 Nexus People-Risk Explorer を導入しました。プルーフポイントのバンドル ソリューションをご利用のすべてのお客様にご利用いただけるダッシュボードで、組織における People Risk を可視化します。Nexus People-Risk Explorer は以下の通り、セキュリティチームが組織の全体の各ユーザーのリスクを可視化し、アクションにつながる情報が得られるよう支援します。
- ユーザーの脆弱性と権限を特定して、リスクプロファイルを作成する
- 作成したリスクプロファイルの類似性に基づいて、セグメント化する
- リスクを低減し、コストを削減し、時間を節約するためのセキュリティコントロールを推奨する
脆弱性と権限に対する知見
Nexus People-Risk Explorer は、ユーザーのロールと関連するアクティビティに基づいて、ユーザーグループの脆弱性と権限を分析し、リスクの全体像を評価します。これにより、不完全または失敗したフィッシング シミュレーション、クリッカーの脆弱性、メールおよび認証情報の漏洩などの項目に基づいて、各ユーザーを 1～10 のスコアで評価します。
統合された製品のデータにより、論理カテゴリーに分類し、リスクに基づいてランク付けすることで、脆弱性を明らかにすることができます。セキュリティチームは、脆弱性のカテゴリーごとに影響を受けているユーザーと、事業部門に基づいて、各個人が持つ権限を簡単に把握できます。
お客様が PROOFPOINT TAP (TARGETED ATTACK PROTECTION) ソリューション をお使いいただいている場合、セキュリティチームは、従業員の脆弱性に関する情報を活用し、以下のような、一般的なコントロールについての推奨情報を得ることができます。
ユーザーのセグメント化
類似のリスクプロファイルに基づいて、ユーザーをランク付けおよびグループ化することで、セキュリティチームは、最もリスクが高いか、影響の大きいユーザーに基づいて、インシデント レスポンスのアクションに優先順位を付けることができます。例えば、攻撃の対象になりやすく、攻撃にひっかかりやすく、機密データへのアクセス権を持つユーザーに焦点を当てることで、リスクを大きく軽減できます。
プルーフポイントの統合プラットフォームと Active Directory との同期により、事業部門、地域、部署に応じて、すべてのユーザーをセグメント化できます。このセグメンテーションは、動的なものです。つまり、セキュリティチームは「更新」ボタンを押すことで、最新のメンバーシップとユーザーリスクプロファイルを把握することができます。
セキュリティコントロールの推奨とリスク低減スコア
セキュリティ実務者は、使用するツールから、プロアクティブなセキュリティコントロールの推奨を定期的にリクエストします。Nexus People-Risk Explorer は、セキュリティチームが既存のツールで適用できるコントロールを推奨し、特定のユーザーセグメントのリスクを低減し、コントロールを適用するユーザーの人数を管理できるようにします。組織に、これらの推奨事項に関連する、統合されたプルーフポイント製品があれば、セキュリティチームは、「人」を防護するための追加のコントロール指示を受け取ることができます。
経時的なトレンドとリスク計算
セキュリティチームは、膨大な数のアラートから最も重要なものを選別し、データ侵害を阻止するのに精一杯です。Nexus People-Risk Explorer は、組織の「人」のリスクを経時的に表す、トレンド情報を提供します。これにより、セキュリティ実務者と、技術に詳しくない従業員の双方がすばやくリスク状況と、ビジネスに与え得る影響を理解することができます。
データは定期的に更新されるので、セキュリティチームは、セキュリティコントロールを追跡し、リスクを効果的に低減できるアクションに基づいて、リアルタイムに変更を加えることができます。プルーフポイントは、膨大なリスクデータを集約して、技術に詳しくない従業員と経営陣が理解できる形にまとめることができる唯一のベンダーです。
まとめ
サイバー攻撃者は常にユーザーを狙っており、悪意ある URL をクリックさせ、認証情報を提供させ、フィッシングに誘導しようと企んでいます。 Nexus People-Risk Explorer は、プルーフポイント製品のデータを集約して、組織のリスクに対する People-Centric の視点を提供します。組織の可視性を高めることで、セキュリティチームが効果的にインシデント レスポンスおよびリスク低減タスクに優先順位を付けられるようにし、組織全体にメリットをもたらします。
脅威動向に基づいて、リソースに優先順位を付け、関連するアダプティブ コントロールの実行に集中することで、 Nexus People-Risk Explorer は、セキュリティチームが時間とコストを節約し、最も重要な「人」と人が生み出し、アクセスする「データ」を保護できるようにします。
詳細については、Proofpoint Nexus People Risk Explorer のデータシートをこちらからダウンロードしてください。