ランサムウェア対策も、守るべき資産の把握が重要
IPA 10大脅威 2025において、ランサムウェア攻撃が1位となりました。
これは、攻撃の糸口が本質的に変わってない一方で、あたらしい手口が現れ対策が追いつかないことが要因と考えられますが、その他に、企業の業務遂行における利用環境が拡大しており、守るべき資産を網羅的に管理できていないことも推察されます。
サプライチェーンもさらに密接になり、グループ会社・海外子会社・お取引先ともネットワークがつながってきているため、そこからの攻撃を視野に入れる必要があります。
IPAや金融庁のガイドラインの中でも、網羅的な資産管理を実現することが推奨されており、攻撃対象となるデバイスや、侵入後にラテラルムーブメントのターゲットとならないよう、抜け漏れ無く資産を把握し、最新の状態を維持することの重要性が高まっています。
【参考情報】
■IPA「制御システムにおける資産管理ガイドライン」
https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2020/ngi93u0000002jlf-att/000083594.pdf
資産管理の必要性、管理対象範囲、収集すべき資産情報、脅威との関連付け、収集方法、チェックリスト等を体系的に解説しています。
資産管理を未実施の場合でも段階的に理解・導入できる構成となっております。
■金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」
https://www.fsa.go.jp/news/r6/sonota/20241004/18.pdf
情報資産をライフサイクル（取得・使用・保管・廃棄）に応じて管理する手続きの策定を求めています。
情報資産管理に必要なこと
情報資産管理のポイント
・情報資産をライフサイクル（取得・使用・保管・廃棄）に応じて管理する手続等を策定し、必要に応じて見直すこと
・情報資産を重要度に応じて保護の優先度を分類し、管理すること
情報資産管理対象
情報システムおよび外部システムサービス
・外部委託先やクラウドサービスを含む
・外部門が所管する情報システムを含む
データフロー図・ネットワーク図
・モバイル接続
・外部接続
・ネットワークに接続するサードパーティおよび内部システムを含むネットワーク図
情報（データ）
・顧客情報
・機密情報等
ハードウェア・ソフトウェア
・ネットワーク機器やアプライアンスを含むハードウェア
・仮想マシンを含むソフトウェア
・管理を外部に委託している自組織の資産
※対応が望ましい事項
■複合機・特定機器
■サードパーティの資産
■重要な業務の外部依存度を考慮したリスク管理
■個人所有・未承認クラウド等
■ソフトウェア部品表（自社開発・外部サービス）
網羅的な資産管理実現に向けた課題
リモートワークやクラウドサービスの普及により、管理対象のIT資産が多様化してきていることや、工場のDX化によりOT機器や特定用途機器からIaaS上のサービスまで管理対象が広がっていることで、以下のような課題がでてきていると推察します。
未把握の資産の存在
ネットワーク内に未把握のIT資産（個人所有端末やシャドーIT）が存在することで、完全な可視性を確保するのが困難。
ツールの多様性
異なる資産管理ツールが使用されているため、一元管理が難しく、情報の統合が困難。
情報の粒度のばらつき
収集される情報の詳細度が異なるため、全ての資産を同じレベルで管理することが困難。
リアルタイム性の確保
常に最新の情報を保持するためには、リアルタイムでのデータ更新が必要。
課題解決：ネットワーク上に存在するデバイスの可視化と導入ツールの集約
エージェントレスによる「ネットワーク上のデバイスの検出・特定」と、手作業では困難である「既存ソリューションの情報の自動集約」を実現する仕組みを利用することで、上記課題を解決し、網羅的な資産管理の実現が可能になります。
未把握の資産の存在
NDRのようにネットワークパケットから資産を把握するソリューションを利用することで、資産管理ツールでは把握できていなかった未把握のIT資産（個人所有端末やシャドーIT）を可視化。
ツールの多様性
手作業では困難な情報の統合と重複排除を、自動的に実施。
情報の粒度のばらつき
各資産項目に対し、データソースも合わせて表示することで、精度の高い情報かどうか直感的に判断することが可能。
リアルタイム性の確保
情報の統合と重複排除をほぼリアルタイムで実施することで、例えば標準アプリが導入されていないデバイスや、新しく検知されたデバイスを日々確認することが可能。
図2において、「探索」・「検出」・「解析」・「特定」は、弊社のソリューション「ARMIS」「Panorays」で対応可能です。
※網羅的な資産管理を支援するCAASMソリューション「ARMIS」のコンセプトや機能については、以前に公開しておりますセキュリティレ
ポートでご紹介しておりますので、あわせてご覧ください。
まとめ
IIMが性能管理の領域で掲げている「可視化できないものは制御できない」は、セキュリティー領域においても同様です。
守るべき資産を網羅的に把握し、各領域を管理しているツールの情報を集約して、そこにあるリスクについて継続的に対処することで、特定と検知と対応を通じたレジリエンシーの強化が図れると弊社は考えています。
本件につきましてご関心がございましたら、ぜひお気軽に弊社の担当営業へお声がけください。