Essential Eightの目標成熟度レベルの選び方

ASDのEssential Eight成熟度モデルでは、8つの緩和戦略それぞれについて3つのレベルが定義されています。よくある誤りは、これらを等級のように扱い、全員がレベル3を目指すべきだと考えることです。しかし等級ではありません。各レベルは異なる種類の攻撃者を阻止するように設計されており、適切な目標は脅威環境によって決まります。

各レベルの目的

• レベル1 は、一般的に入手可能な攻撃手法を日和見的に使う攻撃者を阻止します。具体的には、広く出回っている攻撃コード、盗まれた認証情報、誰にでも送られる悪意あるドキュメントなどです。
• レベル2 は、より多くの時間と労力を投じ、特定の組織を標的にする意思はあるものの、依然として既知の手法に大きく依存する攻撃者を阻止します。
• レベル3 は、公開ツールへの依存度が低く、新たな脆弱性を素早く悪用し、検知の回避を試みる適応型の攻撃者を阻止します。

要件はレベルが上がるごとに厳しくなります。パッチ適用期限の短縮、より多くのユーザーやシステムへの多要素認証の適用と耐フィッシング性のある方式の採用、より多くのシステムやファイル種別へのアプリケーション制御の適用、管理者権限とバックアップに対するより強い制限などです。

選び方

1. 脅威から考える。 誰があなたの保有するものを欲しがるでしょうか。政府データ、重要インフラ、金融サービス、高価値の知的財産は、より高度な攻撃者を引き寄せます。
2. 義務を確認する。 オーストラリア政府の非法人系コモンウェルス機関は、成熟度レベル2に到達することが求められています。顧客、規制当局、保険会社も独自の期待を示す場合があります。
3. 能力を現実的に見極める。 レベル3には、小規模なITチームでは維持しきれないかもしれないエンジニアリングの労力と運用上の規律が求められます。
4. 8つすべてに同じ目標を設定する。 ASDは、いずれかの戦略を引き上げる前に、全戦略で同じレベルに到達することを推奨しています。パッチ適用だけレベル3でも、アプリケーション制御がレベル0のままでは侵入口が開いたままです。

典型的な進め方

• ほとんどの組織: 8つすべてでレベル1を達成し、その後レベル2を目指す。
• 政府の機微情報や重要データを扱う組織: 基準としてレベル2を達成し、最もリスクの高いシステムでは選択的にレベル3の要件を適用する。
• 脅威の高い環境: レベル3。通常はシステムごとに段階的に達成する。

決定内容の記録

ISO 27001のISMSを運用している場合は、選択したレベルとその根拠をリスクアセスメントと適用宣言書に記録してください。これにより、監査人や評価者に判断の根拠を示すことができ、Essential Eight と ISO 27001 の比較分析で説明しているように、Essential EightがAnnex A管理策の実装基準になります。

目標設定時のよくある誤り

• 1つの戦略だけレベル3を目指し、他がレベル0のままになる。攻撃者は最強の戦略ではなく、最も弱い戦略を突いてくる。
• 有効性ではなく適用範囲を数える。 半分のワークステーションにだけアプリケーション制御を導入しても、レベル1にはなりません。すべての要件を対象範囲内のすべてのシステムで満たす必要があります。
• 例外を放置する。 例外（パッチ未適用のレガシーシステム、マクロブロックの適用除外ユーザーなど）にはすべて、責任者、代替統制、終了日が必要です。さもなければ成熟度レベルは実態のない数字になります。
• インタビューだけで評価する。 ASDの評価ガイダンスは証拠に順位を付けています。統制を直接テストすることが最も強い証拠で、文書とインタビューは最も弱い証拠です。人の発言に基づく自己評価は成熟度を過大に見積もりがちです。
• 目標を一度設定して終わりにする。 脅威は変化し、成熟度モデルも変わります。ASDは定期的にモデルを更新しています。目標はリスクアセスメントと合わせて毎年見直してください。

要点

• 各成熟度レベルは異なる攻撃者を想定しており、脅威と義務に基づいて選択する。
• 引き上げる前に、8つすべての戦略で同じレベルに到達する。
• レベル2が一般的な最初の目標である。

進捗の測定

可能な場合はシステムテストを用いて、ASDのEssential Eight Assessment Process Guideに照らして各戦略を評価してください。戦略が特定のレベルに到達したと言えるのは、そのレベル以下のすべての要件を満たしたときに限られます。8つの戦略のうち達成している最も低いレベルを、主要な指標として追跡してください。

各戦略のページでは、ISM統制を成熟度レベル別に一覧で示しています。例えばアプリケーションのパッチ適用や多要素認証があります。Essential Eightガイドでは、評価についてより詳しく解説しています。

よくある質問

Essential Eightでどの成熟度レベルを目標にすべきでしょうか？

脅威に基づいて選択してください。日和見的な攻撃者が一般的なツールを使う場合はレベル1、より多くの労力を投じる意思のある攻撃者にはレベル2、適応型の攻撃者にはレベル3です。レベル2は一般的な最初の目標であり、オーストラリア政府の非法人系コモンウェルス機関に期待されるレベルでもあります。

異なる戦略を異なる成熟度レベルにしておくことはできますか？

戦略ごとに個別に評価することはできますが、ASDは、8つすべてで同じレベルに到達してから、どれか1つをさらに引き上げることを推奨しています。

成熟度レベル2に到達するにはどのくらいかかりますか？

開始地点と環境の規模によって異なります。8つの戦略すべてで既にレベル1に達している組織は、数か月でレベル2に到達することが多いです。ゼロから始める組織は、戦略ごとに、より長い期間を計画する必要があります。