Tenable Network Security Japanは10月12日、サイバーエクスポージャー管理プラットフォーム「Tenable One」の提供開始を発表した。同製品は、情報資産やIT資産の検出と可視化を一元的に行い、「アタックサーフェス」（攻撃対象領域）全体における危険性などの状態把握と脆弱性を評価する。
カントリーマネージャー 貴島直也氏
同日に開催した記者説明会でカントリーマネージャーの貴島直也氏は、デジタルトランスフォーメーション（DX）時代のアタックサーフェスの防御は困難に直面していると指摘した。その要因として、IT環境の「急速な拡大」「激しい変化」「高まる相互接続性」を挙げ、「時代とともにビジネスにおけるIT依存が高まり、リモートワークなどにより、外部にさらされているリスクの高いデバイスが増えた。今まで個別に管理していたオンプレミスやウェブアプリケーションが相互に連携しなければ動かない時代になってきている」と説明した。
また、従来のセキュリティは受動的で、攻撃を受けてから対処するソリューションを入れることが少なくなかったが、「ゼロトラスト」という考え方が出て、積極的なセキュリティの在り方が広まりつつあると話す。「エクスポージャー管理は積極的なセキュリティ対策。表面化した弱点を把握し、弱点を補うことで攻撃されないようにすることが、これからのセキュリティの在り方だと思っている」（貴島氏）
同氏は続けて、IT環境が大きく変化し、リソースが不足する中で「ソフトウェアの脆弱性を管理するだけの『単なる脆弱性管理』から、ソフトウェアの共通脆弱性識別子（CVE）やクラウドの設定ミス、ウェブアプリケーションの欠陥などから出る脆弱性をカバーするために『サイバーエクスポージャー管理』へセキュリティ対策を進化する必要がある」とコメント。さらに、情報の関連性が総合して見れることや、ビジネスニーズに応じた重要業績評価指標（KPI）管理、包括的なベンチマーキング、それに対処する推奨措置を可視化するプラットフォームが必要だという。
Tenable Oneは、そうした機能を備えたDXのサイバーリスクであるアタックフェースを管理するためのサイバーエクスポージャー管理プラットフォームとして提供される。具体的には、Tenableが得意とする脆弱性管理やウェブアプリケーションセキュリティ、認証セキュリティなどのポイントソリューションから取り込んだデータを分析し、サイバーリスクを可視化した上で抑止する新しい方法、そして経時的な改善が測定できる分析機能を提供する。
Tenable Oneの構成イメージ
同製品にはサイバーエクスポージャー管理対策の基礎となる「Lumin Exposure View」「Asset Inventory」「Attack Path Analysis 」（APA）の3つのアプリケーションを搭載。Lumin Exposure Viewは、組織が抱える資産全体のリスクを評価する。指標を出し、組織が置かれる状況が安全かどうかを客観的な数値を用いて評価できる。リスクスコアを出すことで、他社や部門、国、プラットフォームごとで比較できるという。これにより、より詳細にリスクレベルを分析できる。
Asset Inventoryでは、ITやクラウド、Active Directory、ウェブアプリケーションを含む、全ての資産を一元的に可視化。さまざまなソースや事例から特定のアセットタグを作成する機能も備えている。
シニアセキュリティエンジニア 阿部淳平氏
そしてAPAでは、攻撃の経路を管理・分析する。各ポイントソリューションから収集した情報に基づいて、外部から内部の重要資産に至る狙われやすい攻撃経路を特定し、リスクを緩和するための可視化と対処すべき攻撃経路の優先度を示す。シニアセキュリティエンジニア 阿部淳平氏は、「組織の中で脆弱な領域や攻撃される可能性が高い領域にいかに人的リソースや対策ツールを導入するのかが重要になり、優先順位をつける必要がある」と説明した。
セキュリティ責任者やマネージャー、アナリストなどはTenable Oneを活用することで、従来のサイロ型のツールを使うのではなく、包括的に分析できるようになることが一つの特徴だという。
Tenableによると、グローバル大企業では平均して130個のポイントソリューションをサイバーセキュリティ対策として導入しているという。これらの個別ツールには、それぞれ異なる分析やレポート機能が備わっているため、作業が重複して行われたり、セキュリティ対策に意図しないギャップが生じたりすることがある。このような状態では、リスクを確実に削減する方法が不明瞭になり、企業のセキュリティ体制を簡潔に報告することが難しい。
Tenable Oneを活用することで、KPIやベンチマーキングなどの明確な指標を持って経営層への報告が可能になる。また、最高情報セキュリティ責任者（CISO）やセキュリティ担当役員は、サイバーエクスポージャー管理の活用で、正確なリスク評価によるセキュリティ投資や保険適用性に関するより適切な意思決定、コンプライアンス要件の順守、組織改善の推進につながるとしている。
なお、Tenable Oneで提供するアプリケーションは順次開発し、リリースしていく予定だ。
ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)