コンプライアンスはセキュリティではないが、対応表は両方に役立つ

それはこの分野で最も古い指摘の一つである。コンプライアンスはセキュリティではない。侵害報告書には、正しい認証を保有し監査にも合格していた組織が繰り返し登場する。この指摘は正しいが、コンプライアンスは演出にすぎないという通常の結論は誤りだ。コンプライアンスとセキュリティは大きく重なっている。問題は、その境界で何が起きるか、そしてコンプライアンスがどれほどの時間を消費するかにある。

両者が一致する点

フレームワークが基本事項で一致しているのは、基本事項が機能するからである。私たちがマッピングしている11のフレームワークはすべて、資産管理、脆弱性管理、バックアップと復旧、インシデント対応、インシデント報告を求めている（共通の中核）。多くはMFA、ログ取得、アクセスレビュー、サプライヤーのセキュリティも求めている。これらを実際に実行している組織は、認証の有無にかかわらず、実行していない組織よりはるかに侵害されにくい。

両者が乖離する点

• 適用範囲。 監査は定義されたシステムを対象とする。攻撃者は適用範囲を尊重しない。侵害は社内のノートPC、忘れ去られたテストサーバー、境界外のサプライヤーを経由して入ってくる。
• 時点。 監査サンプル上で機能している統制が、いつも、どこでも機能しているとは限らない。
• 設計と有効性。 統制は存在し、文書化され、テストされていても、本来防ぐべき攻撃を止められない場合がある。例えばフィッシングで突破されるMFAや、資産の半分を検出しないスキャナーがそうだ。
• フレームワークが対象外とするもの。 最も悪用される攻撃経路のいくつか（API、Webアプリケーション、DNS）は、フレームワークが見落とすトピックの分析が示すように、要求するフレームワークがほとんどない。

本当のコスト：時間

最大の問題はコンプライアンスが誤っていることではなく、高くつくことだ。3〜4つのフレームワークを抱える組織では、セキュリティの工数の大半がマッピング、証跡の作成、監査に費やされ、その多くが重複している。同じアクセスレビューを3つの形式で作成するたびに、脅威ハンティング、強化、そして監査人が見ない攻撃対象領域に使えたはずの時間が失われる。

対応表が両方に役立つ仕組み

ここでマッピングが真価を発揮する。ある一つの統制がISO 27001、SOC 2、PCI DSS、NIS2のすべてを同時に満たすと分かれば、一度実装し、一度証跡を作成すれば済み、コンプライアンスの負担を3回払う必要がなくなる。節約できた時間がセキュリティに必要な時間になる。優れた対応表は、フレームワークが何も規定していない箇所も示してくれる。まさにそこが、自社のリスクアセスメントが向かうべき場所である。

方向	マッピング済み	緩やかに関連	マッピングなし
ISO 27001 を保有、SOC 2 が必要	61 件中 41 件 (67%)	0	20	レポート →
SOC 2 を保有、ISO 27001 が必要	123 件中 98 件 (80%)	21	4	レポート →

コンプライアンス専用になったプログラムの兆候

• セキュリティ作業が脅威ではなく監査日程を基準に計画されている。
• 統制は監査の適用範囲内にしか存在せず、残りの資産には手が付けられていない。
• 指標は、パッチ適用までの時間や検知までの時間といった成果ではなく、文書や完了率を測定している。
• チームはどの統制がどのフレームワーク要件を満たすかは説明できるが、どの攻撃を防ぐかは説明できない。
• 指摘事項は、システムを変更するのではなく文書を変更することでクローズされている。

これらのいくつかに心当たりがあるなら、解決策はコンプライアンスを捨てることではなく、それを自動化し、節約した時間を振り向けることである。

要点

• コンプライアンスとセキュリティは基本事項を共有しているが、境界で乖離する。
• コンプライアンスの最大のコストは重複した作業である。
• 一度マッピングし、証跡を自動化して、節約した時間をセキュリティに使う。

取るべき行動

1. 統制セットを一つ構築する。フレームワークごとに別々のプログラムを持つのではなく、対応するすべてのフレームワークにマッピングした一つの統制セットを作る。
2. 証跡を自動化する。システムが生成できる箇所では必ず自動化する。
3. 節約した時間を、監査が見ない領域に使う：攻撃対象領域の管理、検知エンジニアリング、テスト。
4. セキュリティをコンプライアンスとは別に測定する：インシデント、パッチ適用までの時間、フィッシング耐性、復旧時間。

コンプライアンスは床であり、天井ではない。対応表を使って、その床をできるだけ低コストで達成し、そこから積み上げよう。ギャップ分析とカバレッジマトリクスが出発点となる。

よくある質問

コンプライアンスを満たしている組織は安全か？

必ずしもそうではない。コンプライアンスは、特定の統制が存在し、定義された適用範囲内で機能していることを示すにすぎない。攻撃者は、適用範囲の内外を問わず、最も弱い箇所を狙う。

コンプライアンスはセキュリティを実際に向上させるか？

はい。フレームワークは、資産台帳、パッチ適用、アクセスレビュー、インシデント計画など、多くの組織が放置しかねない基本事項を徹底させる。問題は、コンプライアンスがプログラム全体になってしまう場合である。