ポリシーを書く前にコンプライアンスツールを買うのはやめましょう

次のような流れはよくあります。企業がSOC 2やISO 27001を求められ、誰かが調べ始め、最初に購入するのがツールです。コンプライアンスプラットフォーム、エンドポイントスイート、SIEM、ポリシー生成ツールなどです。数か月後、ツールは設定が中途半端なままで、アラートは無視され、監査人からの質問にはツールが答えられない状態になっています。問題はツールではなく、順序でした。

ツールは決定事項を実装する

すべての統制には、ツールが役立つ前にいくつかの決定が必要です。対象範囲はどこか、誰が責任者か、どの頻度で実施するか、「適切」とは何か、失敗したときにどうするか。これらの決定こそがポリシーと手順です。これらがないまま脆弱性スキャナーを購入すると、誰も責任を持たない数千件の検出結果が残ります。これらがないままSIEMを購入すると、誰も読まないログが蓄積されます。

フレームワークの考え方は一致している

主要なフレームワークで特定の製品を求めるものはありません。ISO 27001はポリシー、リスク対応、そして機能する統制を求めています。SOC 2は、統制が適切に設計され、有効に運用されているかを問います。PCI DSSは12の要件それぞれを、文書化されたポリシーと手順、割り当てられた役割から始めるよう求めています。いずれも、考えることが先に来ることを前提としています。

より良い順序

1. 対象範囲とリスク: 何を、何から保護するのか、どのフレームワークが適用されるのか。ギャップ分析で、次のフレームワークが既存の対策に何を追加するのかが分かります。
2. 統制ごとに決定する: 責任者、頻度、基準、証跡。簡潔に文書化してください。それが皆さんのポリシーセットになります（複数のフレームワークに対応する一つのポリシーセットを参照）。
3. 可能であれば、まず手作業で実施する。四半期ごとのアクセスレビューをスプレッドシートで行うと、ツールに必要な機能が分かります。
4. その後、すでに決定した事項を自動化するツールを購入し、それらの決定に照らして評価する

ツールを先に導入してもうまくいく場合

例外もあります。エンドポイント保護、MFA、バックアップは、細かい調整に依存しないため、すぐに導入する価値があります。また、ポリシーの作成や統制の追跡を支援するコンプライアンスプラットフォームは、ステップ2を加速できます。ただし、そのテンプレートやマッピングは答えではなく下書きとして扱うことが条件です（確認できない対応表についても書いています）。

先に決定するとはどういうことか

製品として購入されることが最も多い統制である脆弱性管理を例に取ります。スキャナーを選ぶ前に、次の点を決めてください。

• 対象範囲: どの資産をスキャンするか（内部、外部、クラウド、コンテナ）、そして資産一覧が完全であることをどう確認するか。
• 頻度: PCI DSSは内部スキャンを3か月ごとに、また重大な変更の後に実施することを求めています。CIS Controlsは内部および外部資産の自動スキャンを求めています。自社のリスクに応じて、より高い頻度が必要な場合もあります。
• 深刻度と期限: 検出結果をどのように評価するか、そして各深刻度の問題をどれだけ早く修正しなければならないか。
• 責任者: 誰が検出結果をトリアージし、誰が修正し、修正できない場合は誰がリスクを受容するか。
• 証跡: 統制が実行され、検出結果が処理されたことを証明するのはどのレポートか。

これら5つの答えを書き出しておけば、ツールの評価は単純になります。対象範囲をカバーするか、指定の頻度で実行されるか、自社の基準で深刻度を評価するか、証跡を出力するか。これがなければ、どのデモも印象的に見えますが、監査の質問に答えるものはありません。同じ作業は、ロギング、エンドポイント保護、アクセス管理にも有効です。トピックページでは、各統制についてフレームワークごとに求められる内容を示しており、決定事項を確認するチェックリストとして役立ちます。脆弱性管理のトピックから始めるとよいでしょう。

要点

• ツールは決定事項を実装するものです。対象範囲、責任者、頻度、証跡を決めてから購入してください。
• 主要なフレームワークで特定の製品を求めるものはありません。
• 可能であれば、まず統制を手作業で実施し、その後で自動化してください。

判断のためのテスト

購入の前に問いかけてください。このツールはどの統制を実装するのか、その統制の責任者は誰か、どのような証跡を生成するのか。誰も答えられないなら、その購入は時期尚早です。

よくある質問

ポリシーとツールでは、どちらを先に用意すべきか？

決定が先です。対象範囲、リスク、そして組織が各統制をどのように運用するか（誰が、どの頻度で、どの基準で）。文書化されたこれらの決定が、皆さんのポリシーと手順になります。その後、ツールがそれらを実装します。

監査人は特定のツールを求めますか？

主要なフレームワークで特定の製品を求めるものはありません。監査人が見るのは、統制が機能し、証跡を生成しているかどうかであり、その実装方法は問いません。

コンプライアンス自動化プラットフォームには価値がありますか？

実行している統制と、その責任者が分かっていれば価値があります。プラットフォームはリマインダー、証跡の収集、進捗管理に優れていますが、対象範囲やリスク許容度を代わりに決めることはできません。