セキュリティツールの過剰導入による弊害

この記事はもともと Security Boulevard に掲載されたものです。更新の上、こちらに転載しています。

‍

「良いものは多ければ多いほど良い」という考え方は、私たちの集合的心理に深く根付いています。気に入ったものが一つあれば、二つ、三つ、あるいはそれ以上持っていても問題はないはずだ、と。結局のところ、良いものはいくらあっても困らない、そう思いがちです。

しかし残念ながら、この論理が通用するのは一部の物事に限られます。量が増えれば、すぐに限界効用が低下し始めるケースも少なくありません。13個目のチョコレートケーキが、果たしてどれほどの価値や喜びをもたらすでしょうか。さらに、良いものを過剰に詰め込むことが、組織にとって重大なリスク要因となる場合もあります。

サイバーセキュリティツールの過剰導入

「良いもの」がすぐに「悪いもの」へと転じてしまう典型的な例が、近年多くの組織で制御不能なほど増殖しているサイバーセキュリティツールです。Dark Readingの調査によると、多くのCISOは平均して 55から75種類もの セキュリティ製品やアプリケーションに頼ってネットワークを保護しています。それにもかかわらず、攻撃は防ぎきれていません。Verizonの「2023年データ侵害調査報告書」によれば、攻撃の成功率は上昇しており、その中でも最も複雑な攻撃は、検知までに これまで以上の時間 を要するようになっています。

75種類以上のツールという、一見すると突破不可能な防壁を、攻撃者はどのように回避しているのでしょうか。実際には、攻撃者がアラートを鳴らしているケースも多いのですが、防御側の担当者はツールの保守や日々発生する数千件のアラートへの対応に追われ、それに気づく余裕がありません。セキュリティツールが多すぎると、かえって攻撃者に隠れ蓑を与えてしまうのです。

TechRadarの最近のレポートでは、サイバーセキュリティツールを過剰に導入することの 負の側面 が強調されています。調査対象企業の71%が、サイバーセキュリティチームが管理しきれないほどのツールを抱えていると回答しました。実際、ツールを追加するほどセキュリティ体制が悪化しているというのです。ツールが増えればセキュリティが向上するという通説に反し、調査対象者の大多数が、環境内に導入されたツールが多すぎることで、かえって不安を感じていると報告しています。

多くの組織でクラウドへの移行が急速に進んだことで、この状況はさらに悪化しています。ネットワークのあらゆる攻撃経路をカバーするためにセキュリティツールを重ねる手法が普及したのは、オンプレミス資産が中心だった時代には、ある程度有効だったからです。少なくとも、限界効用が低下したり、弊害がすぐに現れたりすることはありませんでした。しかしクラウド環境では、ツールを増やすほど複雑性が増し、脆弱性が生み出されてしまいます。

重複するツールの保守にかかる労力に加え、ツール中心のアプローチが抱えるもう一つの大きな問題は、ツールが増えるほど発生する膨大な誤検知（フォールス・ポジティブ）です。誤検知の調査に追われることで、セキュリティ担当者の貴重な時間が奪われ、組織にとって何の利益も生まれません。その一方で、本物の攻撃は大量の誤報の中に容易に紛れ込んでしまいます。サイバーセキュリティの専門家が真の脅威に気づいたときには、すでに手遅れという事態になりかねません。

より良いアプローチ

環境からすべてのセキュリティツールを排除するのは破滅的な結果を招きます。しかし、ツールを増やしすぎて、本当に役立つ重要なツールに十分な注意を払えなくなるのも避けなければなりません。適切なツールを選定し、時間とリソースを浪費する過剰なツールを排除することが重要です。

ツール統合を成功させる鍵は、人間主導のセキュリティアプローチへの投資を並行して行うことです。これには、これまでこの役割を担ってこなかった資産、つまり攻撃の標的となるアプリやソフトウェアを実際に開発している開発者チームを活用することが含まれます。

開発者は伝統的にセキュリティを専門としてきませんでしたが、状況は変わりつつあります。実際、開発者にセキュリティへの意識を促すことは、誰もがセキュアなアプリケーションのデプロイに責任を持つ「DevSecOps」の重要な側面です。開発者に突然セキュリティの専門家になることや、組織のセキュリティの全責任を負うことを期待する人はいません。しかし、セキュアなコードの書き方を教え、その成果を評価することは、重複するセキュリティツールを排除するための土台作りに大きく貢献します。

最初から安全なコードを書くことができれば、一般的なエクスプロイトや脆弱性をスキャンするための何百ものツールを簡単に削減し始められます。最終的には、開発者がセキュアなコードを作成し、少数の厳選されたツールが補完的なチェックとして機能する環境が整います。これにより、セキュリティチームは「良かれと思って」導入した過剰なツールに疲弊することなく、効率的に監視と保守を行えるようになります。