企業のセキュリティ対策が複雑化し、高度な運用が求められていることなどを背景に、セキュリティ運用を請け負うマネージドセキュリティサービス（MSS）が注目を集めています。本コラムでは、MSSの対応範囲やサービス導入のメリット、導入時の注意点などを解説します。
マネージドセキュリティサービス（MSS）とは？
マネージドセキュリティサービス（MSS）とは、セキュリティ運用を外部に委託するためのサービスを指します。
ゼロトラスト・セキュリティの考え方が登場するなど、セキュリティ対策のあり方が大きく変化し、複数の対策を組み合わせてセキュリティを担保することが求められるようになりました。テレワーク中のセキュリティから、IaaS/SaaSを含めたクラウド、エンドポイントまで統合的に管理しなければなりません。
以前は、エンドポイントで検知されたマルウェアに対処するなど、ある程度やるべきことが確立されていました。しかし近年では、複数のセキュリティ製品を横断して不審な挙動のログなどを分析する、侵入された脅威を追跡して影響範囲を特定するなど、より高度な対処が必須になっています。「最新のセキュリティ製品を導入しても社内で運用しきれない」と悩む企業も多く、こういった企業を支援するために、セキュリティの運用を請け負うMSSを提供する企業が増えています。
マネージドセキュリティサービス（MSS）の重要性
サイバー攻撃の高度化・複雑化に対応すべく、セキュリティ対策も日々進化を続けており、常に最新のセキュリティ知識をベースに対策する必要があります。機械学習などを活用して、より細かなレベルで不審な挙動や異常を検知できるようになりましたが、膨大なアラートから対処の要否を判断するだけでもハードルが高くなっています。さらに、AWSなどのIaaSでは、用意されたセキュリティサービスの適切な活用や、リソースの公開設定などクラウドならではの対策もあり、より広範囲の知識が求められます。
これらに対処するために、自社でセキュリティ人材を揃えチームで対応するにはかなりのコストがかかります。すべて自社で対応するには限界があり、専門知識を持つ外部組織に運用を委託するMSSが有効な選択肢として注目されているのです。
マネージドセキュリティサービス（MSS）のメリット
マネージドセキュリティサービス（MSS）メリットは、社内セキュリティの運用負荷軽減と、対策強化を同時に実現できる点にあります。
特にセキュリティ強化においては、攻撃を受ける可能性がある領域を可視化し、リスクを洗い出した上で監視・対策をおこなうASM（Attack Surface Management）という考え方が注目されています。しかし、社員が利用するPCやスマートフォン、テレワーク環境、利用しているSaaSやSNSなど管理すべき対象は多岐にわたり、さらにIaaSを利用する場合はリソースの追加変更など自由度が高い分、環境が流動的で、「今、管理すべき領域」の把握が難しくなります。
これらをすべて可視化した上で、“継続的に”管理・運用をおこなうことがASMのポイントであり、MSSはこの継続的な運用を含めてサービスとして提供する点が、大きなメリットです。
マネージドセキュリティサービス（MSS）導入にあたっての課題・注意点
対応範囲はサービスによって異なる。事前に確認を
MSSは様々な事業者が提供していますが、サービスによって提供範囲が大きく異なるのが現状です。特定のセキュリティ製品についての運用のみ対応する、検知と一次対処に絞って対応するなど、範囲が限定的なサービスもあります。
もちろん、社内にセキュリティ運用の体制があり、カバーしきれない領域のみ外部委託するなど要望にあわせてうまく使い分けることで、効率的な対策を実現できます。しかし、サービスの対応範囲を見誤ると、対応してほしい領域が範囲外で、運用負荷が軽減されないことにもなりかねません。まずは、運用を任せたい領域を明確にするとともに、サービスの対応範囲を確認することが重要です。
セキュリティ製品ごとに、異なるMSSを利用するケースもありますが、最近のサイバー攻撃では、製品単体のログでは検知できず、複数製品のログを横断的に確認してはじめて検知可能になるインシデントも見られます。このようなケースにどう対応するのかも事前に考慮すべきと言えるでしょう。
利用する企業側でおこなう必要がある作業も
MSSは、セキュリティに関する運用を外部に委託できるサービスではありますが、「すべて任せきりでOK」というわけではありません。攻撃を検知した際の対処方法などは、利用する企業側で判断する必要があります。検知されたリスクすべてに対して厳格に対処すると業務が非効率になってしまうケースもあるため、どこまでリスクを許容するかなどを踏まえて検討しましょう。
また、業務アプリケーションへのパッチ適用など、MSSの対象範囲外のため利用する企業側で責任を持っておこなう作業も発生します。
従業員のセキュリティリテラシー向上の取り組みも不可欠
最後に忘れてはいけないのが、従業員への教育です。セキュリティに関する運用を外部に委託したからといって、どのアプリケーション・ツールもリスクのある使い方が許容されるわけではありません。セキュリティリスクを抑えるには、従業員のセキュリティに対する意識が重要です。まずは企業としてセキュリティポリシーやガイドラインを策定するとともに、社員への展開・共有を徹底しましょう。
AWS環境の“フルマネージド”セキュリティサービス「FujiFastener」
MSSは、セキュリティ運用における心強い味方であり、サービスごとの特性を見極めながら、自社のニーズにあわせて活用することで、大きな効果を期待できます。
例えば、富士ソフトが提供する「FujiFastener」は、AWS環境に特化し、包括的にセキュリティを管理・運用する“フルマネージド”セキュリティサービスです。一般的なマネージドサービスではサポート対象外になりがちな、セキュリティ設計からサポートすることが特長です。AWS環境で稼働する業務アプリケーションを理解し、どう守るべきか、といったコンサルティングや、AWSの各種セキュリティサービスをどう設定するのかなどの設計から支援します。脅威を検知した際の対処、復旧に至るまでセキュリティ運用の全プロセスをカバーするほか、各種ログを横断的に分析するSIEMもあわせて構築し、統合的な監視でセキュリティリスクを最小限に抑えます。
NIST サイバーセキュリティフレームワーク 5つの機能
FujiFastenerについて、詳しくはこちら
FujiFastener
