セキュリティ・アーキテクチャとは

セキュリティ・アーキテクチャとは、ITやビジネス資産をサイバー脅威から守るためのシステム、ポリシー、テクノロジーを戦略的に設計することです。よく設計されたセキュリティ・アーキテクチャは、サイバーセキュリティを組織固有のビジネス目標やリスク管理プロファイルに適合させます。

セキュリティチームとハッカーは、互いを出し抜こうと競い合う軍拡競争に陥りがちです。しかし、組織が優位に立つためには、リスク管理のアプローチをリアクティブなものからプロアクティブなものへと転換する必要があります。つまり、セキュリティ違反が起きてから修正するのではなく、最初からセキュリティを組み込むということです。

堅牢なセキュリティ・アーキテクチャは、組織が攻撃を適切に防止、検出、対応するためのITインフラストラクチャを確保します。また、いつ、どの技術を実装すべきかの判断にも役立ち、セキュリティの意思決定者は、脅威の状況の変化に応じて新しい機能を追加することができます。

セキュリティ・アーキテクチャの主な目的

サイバーセキュリティ・アーキテクチャの主な目的は、セキュリティ侵害のリスクを低減し、脅威アクターから組織を保護することです。セキュリティを業務に組み込むことは、その目標の中核をなす要素です。

今日のCISOとそのチームは、マルチクラウド、ハイブリッドワーク、デジタル革新、 モノのインターネット（IoT ）などの重要なビジネストレンドにより、分散したボーダレスなセキュリティ環境に取り組んでいます。当然ながら、こうした大きな変化に伴ってアタックサーフェスは飛躍的に拡大しており、敵は弱点を突く新たな方法を見出しています：

• 組織は、サービス拒否、データ盗難、ランサムウェア、恐喝など、常に攻撃の脅威にさらされています。
• 攻撃者は、自動化、 機械学習 、人工知能（AI）の利用により、より巧妙になっています。
• 攻撃者は、時には政府のスポンサーや組織犯罪を通じて、より大きな資金源にアクセスすることができます。
  • また、 サービスとしてのランサムウェア（RaaS）などのツールも利用できます。
• 従業員が分散していると、悪意のあるインサイダーや従業員の過失や不注意による内部侵害のリスクが高まります。

セキュリティ・アーキテクトは、既存のプロセス、テクノロジー、モデルを精査し、どこにギャップがあるかを理解します。そして、サイバー脅威がもたらす潜在的なダメージを軽減するためのフレームワークを構築します。

今日の脅威の状況が複雑化するにつれて、あらゆる組織にとって、十分に設計されたセキュリティ・アーキテクチャを持つことは至上命題となっています。サイバー攻撃から身を守るだけでなく、デジタル革新、イノベーション、顧客の信頼、ビジネスの成長を実現する重要な要素です。

セキュリティアーキテクチャの利点

1.セキュリティ侵害の削減

堅牢なサイバーセキュリティ・アーキテクチャを持つ組織は、侵害が発生したときに単に対応するだけではなく、完全に防止しないまでも、脅威の量と重大度を大幅に削減します。

同時に、組織のDNAに組み込まれたセキュリティ（ ゼロ・トラストなど）は、セキュリティがすべての開発サイクルの重要な部分であることを保証します。これにより、ギャップがなくなり、DevOpsが構築と革新を行うためのリスクのない環境が実現します。

2.応答時間の短縮

熟練したハッカーはインフラの断絶を簡単に特定し、悪用することができます。そのため、今日の情報漏えいの多くは、セキュリティ・プロセスの綻びが原因となっています。

強固なセキュリティ・アーキテクチャは、これらのギャップを埋め、侵害時のプロトコルを提供します。セキュリティチームは、脅威が大きな問題に発展する前に、即座に対応し、脅威を排除する能力を備えています。

3.業務効率の向上

企業は平均 31.5個のサイバーセキュリティ・ツールを 採用し、必要に応じてさらに製品を追加しています。しかし、ITインフラが複雑化するにつれ、アーキテクチャを管理するための時間、費用、人材がかかるだけでなく、リスク態勢にギャップが生じることも少なくありません。

サイバーセキュリティの統合によって 構築されたような効率的なセキュリティ・アーキテクチャは、少ない製品やベンダーで設計されています。ツールは統合されており、重要なアップデート、脅威への対応、ユーザー体験のすべてが密接に管理されています。これにより、運用効率を最大化する拡張性の高いサイバーインフラが構築されます。

4.業界規制の遵守

世界中のあらゆる組織が、それぞれの地域や業界で定められた規制に準拠しています。例えば、米国の医療機関はHIPAA規制を遵守しなければなりませんが、EUの企業はGDPR要件を満たさなければなりません。

強固なセキュリティ・アーキテクチャを構築し、組織のあらゆる部分にセキュリティを組み込むことは、サイバー攻撃を防ぐだけでなく、関連当局や規制へのコンプライアンスを確保することにもつながります。

サイバーセキュリティ・アーキテクチャのフレームワークと標準

セキュリティ・アーキテクトは通常、標準的なフレームワークを使ってインフラを構築します。セキュリティアーキテクチャフレームワークは、企業のセキュリティアーキテクチャのさまざまなレベルを実装するための一貫したガイドラインと原則の集合です。組織は多くの場合、これらの標準的なフレームワークの各要素を組み合わせて、サイバーセキュリティ・アーキテクチャの設計を構築します。

多くのセキュリティ・アーキテクトが使用する3つの標準的なフレームワーク：

1.トーガフ

Open Group アーキテクチャ・フレームワークは 、企業のセキュリティ・インフラストラクチャで解決すべき問題を特定するのに役立ちます。主な焦点は、組織の目標と範囲、およびセキュリティアーキテクチャの準備段階です。TOGAFは、セキュリティ問題に対処する方法について具体的な指針を示していません。

2.SABSA

シャーウッド応用ビジネスセキュリティアーキテクチャは 、ポリシー駆動型のフレームワークです。セキュリティ・アーキテクチャが答えることのできる重要な質問、すなわち「何を、なぜ、いつ、誰が」を定義するのに役立ちます。

SABSAの目標は、セキュリティサービスを設計した後、企業のIT管理の不可欠な一部として提供し、サポートすることです。しかし、SABSAは「セキュリティ・アーキテクチャ手法」として説明されることが多いものの、技術的な実装の具体的な内容には踏み込んでいません。

3.オーエスエー

オープン・セキュリティ・アーキテクチャー（OSA ）は、技術的および機能的なセキュリティ管理に関するフレームワークです。OSAは、効果的なセキュリティアーキテクチャの設計に関わるアーキテクチャ上の意思決定の基礎となる、重要なセキュリティコンポーネント、原則、問題、概念について包括的な概要を提供します。

通常、OSAはセキュリティ・アーキテクチャがすでに設計されている場合にのみ使用されます。

米国国立標準技術研究所（NIST）もガイダンスを提供しています。 NIST Framework for Improving Cybersecurity Infrastructureは 、組織に共通のフレームワークを提供します：

• 現在のインフラについて
• サイバーセキュリティの目標状態の説明
• 継続的かつ反復可能なプロセスの中で、改善の機会を特定し、優先順位を付けます。
• 目標状態への進捗状況の評価
• サイバーセキュリティリスクに関する社内外のステークホルダー間のコミュニケーション

NIST は、重要インフラ部門に共通する一連のサイバーセキュリティ活動、望ましい成果、適用可能な参考文献を記述したフレームワークの中核を提供しています。中心的な活動は特定、保護、検出、対応、復旧。

効果的なセキュリティ・アーキテクチャを構築するには？

組織の全体的なビジネス戦略において、セキュリティアーキテクチャが果たす役割を理解することが重要です。堅牢なセキュリティ・アーキテクチャは、サイバー・リスクを軽減すると同時に、ビジネスを実現する機能としても機能します。

NISTフレームワークは、手始めに役立つツールです。最初の3ステップが重要です：現在の状態をマップし、目標とする状態を説明し（組織のリスクプロファイルと整合させ）、改善の機会の優先順位をつけます。

前述のとおり、サイバーセキュリティ・アーキテクチャは、システム、ポリシー、テクノロジーの戦略的設計を伴います。設計モデルは、サイバーエコシステム全体でオーケストレーション、可視化、サイバーセキュリティ統合、ポリシー実施、自動化、コンプライアンス管理を可能にする必要があります。

ゼロ・トラストも また、ハイブリッドワークとデジタル革新の世界における「必須アイテム」です。また、以下のようなサイバーセキュリティ・アーキテクチャの主要コンポーネントすべてにわたって管理とオーケストレーションを統合する統合コンソールも必要です：

• ネットワーク セキュリティ
• クラウドセキュリティ（オンプレミス、エッジロケーション、複数のパブリッククラウド）。
• エンドポイントセキュリティ（IoTを含む）
• アイデンティティとアクセス管理（IAM）
• データ保護
• セキュリティ監視とインシデントレスポンス
• セキュリティガバナンス、コンプライアンス、リスク管理

セキュリティアーキテクチャのベストプラクティス

1.戦略の策定

現在の環境をマッピングし、目標を設定し、アプローチを決定し、フレームワークを開発します。経営陣、事業部門、DevOps、IT部門など、主要なステークホルダーから意見を求めます。CISOとサイバーチームが先頭に立って取り組みます。

2.主要目標とマイルストーンの設定

主要目標を達成するための計画を評価します。これには、サイバーセキュリティの統合、自動化、AI、機械学習の利用拡大、ゼロ・トラスト、コンプライアンス、エンドポイント防御、既知および未知のゼロデイ脅威のリアルタイム防御などが含まれます。

3.組織の育成

組織全体で計画を共有し、教育・訓練プログラムを確立し、企業内にサイバーセキュリティ文化を構築するためのツールとしてアーキテクチャを使用します。継続的な協力と情報共有。

4.テストと監査の実行

定期的なセキュリティ評価と監査を実施し、定期的なインシデント対応計画とテストを組み合わせます、

5.最新の脅威に対応

進化するサイバー脅威とテクノロジーに常に対応し、脅威インテリジェンスプラットフォームが検知した新しいタイプの脅威には特にリアルタイムで対応します。

サイバーセキュリティ・アーキテクチャFAQ