サイバーセキュリティリスク評価のステップ
米国国立標準技術研究所(NIST)は、サイバーセキュリティのベストプラクティスなど、さまざまなリソースを公開しています。その中には、サイバーセキュリティリスク評価を実施するための6つのステップがあります。 NIST プロセスの 6 つのステップは次のとおりです。
#1.ネットワーク資産の脆弱性の特定と文書化
サイバーセキュリティリスク評価プロセスの最初のステップは、組織のIT資産に関連する脆弱性を特定して文書化することです。 これには、これらの資産のインベントリを作成し、それぞれに関連する潜在的なリスクと脆弱性を判断するための評価の実行が含まれます。
#2.サイバー脅威インテリジェンスのソースを特定して使用する
サイバー脅威インテリジェンスは、サイバーセキュリティリスクの特定に役立つ内部または外部の情報です。 CISA、US-CERT、サイバーセキュリティ企業など、多くの組織がサイバー脅威インテリジェンスフィードへのアクセスを提供しています。 また、組織は、組織とその既存のセキュリティアーキテクチャに対する過去のサイバー攻撃に基づいて、内部の脅威インテリジェンスを収集できます。
#3.内部および外部の脅威を特定して文書化
IT資産の全体像を把握し、主要な潜在的な脅威を理解することで、組織は内部と外部の両方の脅威を検索できます。 たとえば、システムの侵害の痕跡 (IoC) のスキャン、ログ ファイルでの異常な動作の検索、安全でない設定や不正な変更の構成ファイルの監査などが含まれます。
#4.ミッションの潜在的な影響を特定する
サイバーセキュリティのリスクが異なれば、組織に及ぼす潜在的な影響も異なります。 たとえば、企業データベースへの ランサムウェア 感染は、1 人のユーザーのワークステーションに対する同様の攻撃よりも大きな影響を与えます。 サイバー脅威が組織に与える影響を特定することは、それがもたらすリスクを定量化するために不可欠です。
#5.脅威、脆弱性、可能性、影響を使用してリスクを判断する
評価のこの時点で、組織は直面しているさまざまな脅威と脆弱性、およびそれぞれの潜在的な影響を明確に理解しています。 また、サイバー脅威インテリジェンスを使用して、各タイプの攻撃の可能性を判断することもできます。 この情報に基づいて、個々の脅威の可能性と影響の組み合わせに基づいてリスクを定量化することができます。
#6.リスク対応の特定と優先順位付け
各脅威と脆弱性のリスクを定量化した後、組織はこれらの問題の優先順位付けされたリストを作成できます。 この情報は、主要なリスクに可能な限り迅速に対処し、修復作業の ROI を最大化するための修復作業を通知するために使用できます。
サイバーセキュリティリスク評価の結果
評価の一環として、テスターは真のサイバー脅威アクターと同じツールと手法を使用して脆弱性を検索します。 評価の最後に、テスト担当者は、テスト対象の環境内で検出した脆弱性の優先順位付けされたリストを生成する必要があります。 これには、特定された脆弱性の修正方法に関する推奨事項も含まれる場合があります。
サイバーセキュリティリスク評価の最終結果は、基本的に、テスト対象の組織が環境内の脆弱性を修正するための行動計画です。 その後、企業のセキュリティチームは、これらの問題を修正するための措置を講じ、実際の攻撃に対する組織の防御を強化できます。
Feedback