絶えず変化する環境におけるリスクを管理するためには、セキュリティチームは、自社の環境が実際にどのように動作しているかについて、明確な答えを得る必要があります。
ほとんどのセキュリティチームは、すでに十分なデータを持っています。自チームのリスクを把握するために必要な情報は、おそらくその中にすべて含まれているはずです。
ネットワークツール、IDプロバイダー、クラウドプラットフォーム、ファイアウォール、SaaSアプリケーションは、現実的に人間が読み切れる量をはるかに超えるデータを生成しています。データを入手すること自体は簡単ですが、私たちは『マトリックス』の世界にいるわけではなく、無限に流れていく行をただ眺めているわけでもありません……
では、そのデータを、人がすぐに理解できる知見へとどう変換すればよいのでしょうか？ また、その知見をどのように意思決定に結びつけるのでしょうか？ そして何よりも重要なのは、そうした意思決定が、組織のセキュリティ態勢に、どのようにして測定可能な改善をもたらすのかということです。
すべての検出がアラートになるべきではない
セキュリティ業界では、データを活用可能な形にするため、おなじみの方法として「アラート」を作成することが行われています。
これは、その事象が重要で、異例であり、かつそれに対して行動を起こせる人物が関与している場合には有効です。しかし、何千もの観察結果が、より広範な姿勢の問題を示唆している場合には、その有効性は低くなります。
ネットワークのセグメンテーションについて考えてみましょう。あるホストが保護された境界を週に1回越えるのであれば、チケットを作成するのも有効かもしれません。しかし、それが1日に1万回も発生する場合、1万件のチケットを作成したからといって、組織のセキュリティが1万倍向上するわけではありません。それは単にノイズを生み出すだけなのです。
チームは、境界の設定に広範囲にわたる誤りがあるのか、それともごく一部のシステムだけが予期せぬ動作をしているのかを確認する必要があります。
アラートは、何かが発生したことを知らせてくれます。ダッシュボードは、問題の性質や規模を把握するのに役立ちます。
人間は数百万行ものデータを読み解くことにはあまり長けていませんが、パターンを見つけることには非常に長けています。私の同僚であるエリック・エヴァンジェリスタが、その背後にある科学について 『現代の攻撃を可視化する科学』で、その背後にある科学について掘り下げています。
有用なダッシュボードを使えば、広範囲にわたる制御の不備、優先度の高い例外がいくつか、そして正常に機能しているように見える制御措置を、すべて1ページ上で、わずか10秒のうちに把握することができます。これこそが、個々の事象を単に観察することと、セキュリティ態勢を把握することとの違いなのです。
クエリではなく、質問から始めましょう
オブザーバビリティ・ダッシュボードの価値は、単にデータを表示するもう一つの手段にあるわけではありません。それは、自社の環境にとって重要な問いを中心にデータを整理する能力にあるのです：
- どのような認可済みおよび非認可のAIサービスが利用されているのでしょうか？
- 現在、どのAIエージェントが活動しており、それらと通信しているのは誰、あるいは何でしょうか？
- 実際のコミュニケーションは、当社のセグメンテーション方針に沿っているでしょうか？
- ポスト量子時代への備えにおいて、どのシステムに注力すべきでしょうか？
- 重要システムをめぐる活動に変化はありましたか？
従来、新しい質問に答えるには、データを収集し、SIEMに送信し、解析を行い、パイプラインを維持管理し、クエリを作成する必要がありました。
素晴らしいことに、Vectra AIはすでにこれを実現しています。
Vectra AI Platformは、ネットワーク、クラウド、ID、脅威に関するデータを統合し、セキュリティのコンテキスト情報を付加します。厳選されたダッシュボードにより、チームはAIの利用状況やガバナンス、シャドウAI、AIエージェント、ポスト量子暗号、ネットワークのセグメンテーション、およびネットワークアクティビティを把握することができます。
その組織に特有の質問の場合、チームはVectra AIエージェントを使用して、空白のクエリではなく質問から始めて、カスタムダッシュボードを作成することができます。
より広範なエクスポージャー管理ワークフローにおいては：
- 「露出結果」では、注意が必要な箇所が表示されます。
- 「資産一覧」には、その資産がどこにあるかが表示されます。
- オブザーバビリティ・ダッシュボードは、環境がどのように動作しているか、またリスクに変化があるかどうかを示します。
ダッシュボードは万事解決の鍵となるのでしょうか？
「私は今、ダッシュボードに全力を注いでいるんだ」と、皆さんは思っているかもしれません。セキュリティデータをすべて数枚のグラフにまとめ、セキュリティ態勢が改善されるのを待つだけだ、と。とんでもない！
おそらく、地球儀が描かれた大きなSOC画面を目にしたことがあるでしょう。国と国を結びつける線が飛び交い、まるでセキュリティ対策が確実に実施されているかのような動きが見て取れます。
でも、誰も上を見上げて「おっと、誰がチリに話しかけてるんだ？」なんて言うことはないだろう。
ダッシュボードには「それでどうする？」という視点が必要です。それを見た人は、何を調査し、何を変更し、何を測定するのでしょうか？
また、正確性を維持することも必要です。ネットワークは変化し、データソースからの報告が途絶え、仮定も時代遅れになります。現実を反映しなくなってからずっと後になっても、古くなったダッシュボードは依然として信頼性があるように見えてしまうことがあります。
そして、それには所有者が必要です。「Copy of Critical Insights — Final」という名前のバリエーションが200個もあれば、誰の役にも立ちません。
有用なダッシュボードには、明確な問い、対象者、担当者、そしてアクションが定められています。ダッシュボードは適切に維持管理され、その役割を終えた際には廃止されるべきです。私の同僚であるエイダ・ティレッリが、関連記事でこれらの実践についてさらに詳しく解説しています。
可観測性をリスク低減につなげる
ダッシュボードは、単に存在しているだけではリスクを低減させることはできません。
そこから有意義な情報が明らかになった場合、チームはその背景にある活動を調査したり、ポリシーを修正したり、アーキテクチャ上の制御を変更したり、より高精度な検知機能を作成したり、是正措置が有効だったかどうかを評価したりすることができます。
これにより、継続的なフィードバックループが形成されます。つまり、何が起きているかを観察し、その意味を理解し、重要なことに対して行動を起こし、リスクが低減したことを確認するという流れです。
目的は、また別のダッシュボードを作ることではありません。最近、チャートなんて本当に多すぎますから。
その目標は、現実的に誰も解釈できない生データと、現実的に誰も処理しきれないアラートの量との間にある、実用的な妥協点を見出すことである。
優れたダッシュボードは、ユーザーがパターンを把握し、問題の規模を理解し、最も大きな効果が得られる分野にアクションを集中させるのに役立ちます。