サイバーセキュリティとコンプライアンスの強化

エグゼクティブ・サマリー

企業がネットワークの近代化に取り組みを進めるにつれ、サイバーセキュリティ上の課題はますます深刻化しています。同時に、特に金融のような機密性の高い業界においては、規制要件により厳格なコンプライアンス対策が求められています。

こうした課題の交錯により、実証済みのフレームワークと規制要件を統合した、サイバーセキュリティに対する戦略的なアプローチが求められています。広く利用されている「Center for Internet Security Critical Security Controls（CIS Controls）」、特に18のコントロールからなる最新バージョン「CIS Controls v8」は、あらゆる規模の組織がサイバー攻撃を防止するための実践的な推奨事項を提供しています。

一方、「デジタル・オペレーショナル・レジリエンス法（DORA）」は、欧州連合（EU）内の金融機関のオペレーショナル・レジリエンスを強化するものです。同法は、リスク管理、インシデント報告、レジリエンス・テスト、サードパーティ・リスク管理、および情報共有に重点を置いています。

CISコントロールフレームワークをDORAに統合することで、組織はサイバーセキュリティプロセスを効率化できます。これは、広く採用されているCISコントロールに詳述された実証済みのセキュリティ慣行を通じて、DORAが求めるレジリエンスを達成するための実践的な方法論を提供します。これら2つを統合的なアプローチで適用することで、多岐にわたる業界の組織が数多くのメリットを享受できます。

DNS、DHCP、IPアドレスの効果的な管理（総称してDDIと呼ばれる）も、ネットワークセキュリティにとって極めて重要です。DDIには固有のサイバーセキュリティリスクが伴います。管理が不十分だと、競合、不正アクセス、DNSを悪用した攻撃につながる可能性があります。統合型DDIソリューションは、これらの重要なサービスに対する一元的な可視性と制御を提供することで、ネットワークのセキュリティ態勢を強化します。

BlueCatの製品ポートフォリオは、セキュリティを強化し、事業継続性を確保し、コンプライアンスを支援します。「Integrity」は、大企業向けに一元化された自動化されたDDI管理を提供します。「Gateway」は、カスタム統合、プラグイン開発、およびDDIワークフローを通じてビジネスプロセスの自動化を可能にします。「Edge」は、インテリジェントなDNS転送、ポリシーの適用、およびクラウド間での容易なDNS解決機能を提供します。 また、「Infrastructure Assurance」は、ネットワーク機器で発見された問題を特定し、是正するための詳細な可視性と自動化機能を提供します。

BlueCatのソリューションを活用し、CIS ControlsとDORAを統合することで、組織はサイバーセキュリティリスクの管理と規制コンプライアンスに向けた包括的なアプローチを実現できます。

はじめに

世界的なサイバーセキュリティ情勢が変化し続ける中、オペレーショナル・レジリエンスと規制遵守は極めて重要です。 広く利用されているCISコントロールは、さまざまなセクターやあらゆる規模の組織に適用可能な、幅広いセキュリティのベストプラクティスを提供しています。一方、EUの金融セクターに特化したDORAのような新しい法律が、組織のセキュリティとレジリエンスを強化するために制定されています。どちらも重要なデータやシステムを保護することを目的としていますが、その視点は若干異なります。

組織は、CIS Controlsを活用することで、DORA（およびその他の）要件を満たす、あるいはそれを上回る対応が可能になります。 CISコントロールが提唱する予防的なセキュリティ対策とDORAの規制要件を統合することで、組織はより包括的な戦略を展開できます。そうすることで、地域および世界の規制を遵守しつつ、現代のサイバー脅威に耐えうる強靭なサイバーセキュリティインフラを構築するために必要なツールと知見が得られます。

この二重のフレームワークを採用することで、組織はより健全なセキュリティ態勢を維持することができます。これは、世界中の多様な業界に適した包括的なアプローチです。

CISコントロールについて

CISコントロールは、最も一般的なサイバー攻撃を防ぐための推奨ベストプラクティスのセットです。CISのサイバーセキュリティ専門家によって策定されたこれらのコントロールは、組織に対し、ITシステムとデータを保護するための体系的なアプローチを提供します。

最新バージョンであるCIS Controls v8は2021年にリリースされ、コントロールの数が20から18に削減されました。バージョン8では、物理的な境界の重要性が低下していることを認識しており、エッジセキュリティが注目すべきトレンドであるという考えを裏付けています。

また、改訂されたCISコントロールは、可能な限り既存の独立した基準やセキュリティガイドラインと整合し、それらを参照しています。これらは、SOC 2、HIPAA、MITRE ATT&CK、NIST、PCI DSSなど、12以上の業界標準フレームワークと関連付けられています。

組織がCISコントロールの導入を評価、監視、優先順位付けを行うのを支援するため、CISは「CISコントロール自己評価ツール」を提供しています。

v8におけるCISコントロールのリスト

1. 企業資産の棚卸しと管理
2. ソフトウェア資産の棚卸しと管理
3. データ保護
4. 企業資産およびソフトウェアの安全な構成
5. アカウント管理
6. アクセス制御管理
7. 継続的な脆弱性管理
8. 監査ログ管理
9. 電子メールおよびWebブラウザの保護
10. マルウェア対策
11. データ復旧
12. ネットワークインフラ管理
13. ネットワーク監視と防御
14. セキュリティ意識向上およびスキル研修
15. サービスプロバイダーの管理
16. アプリケーションソフトウェアのセキュリティ
17. インシデント対応管理
18. 侵入テスト

実施グループの説明：

IG1：IG1に該当する企業は、通常、ITおよびサイバーセキュリティのリソースが限られている中小企業です。これらの企業は、ダウンタイムに対する許容度が低いため、主に事業運営の維持に重点を置いています。 従業員情報や財務情報を含む、これらの企業が保護するデータは、機密性がそれほど高くない。IG1の保護対策は、最小限のサイバーセキュリティの専門知識で実装可能であり、広範かつ非特定の攻撃から防御するように設計されている。これらは、中小企業や在宅勤務向けの市販のハードウェアおよびソフトウェアと互換性がある。

IG2：IG2企業はIG1の統制を取り入れるだけでなく、リスクプロファイルが異なる各部門にわたるITインフラを管理するための専任スタッフを配置しています。こうした組織は、多くの場合、機密性の高い顧客情報や業務情報を扱っており、短時間のサービス中断であれば許容可能です。 重大な懸念事項は、情報漏洩が発生した場合に公衆の信頼を失う可能性があることです。この高まった運用上の複雑性に対処するため、IG2のセキュリティ対策では、適切な導入と設定を行うためにエンタープライズグレードの技術と専門的な知見が必要となります。

IG3：IG3企業は、IG1およびIG2のコントロールを包含し、リスク管理や侵入テストなど、さまざまなサイバーセキュリティ分野の専門家を擁しています。これらの組織は、厳格な規制監督の下で極めて機密性の高いデータを管理しており、サービスの可用性を維持し、データの機密性と完全性を保護することに重点を置いています。 攻撃が成功した場合、公共の福祉に重大な損害を与える可能性があります。IG3の保護措置は、高度で標的を絞った攻撃に対抗し、ゼロデイ脅威を軽減するように設計されています。

実施グループへのセーフガードの割り当て例

コントロール1：企業資産の棚卸しと管理

保護措置：

1. 詳細な企業資産インベントリの確立と維持
2. 不正な資産への対処
3. アクティブディスカバリーツールを活用する
4. ダイナミックホスト構成プロトコル（DHCP）のログ記録を活用して、企業の資産インベントリを更新する
5. パッシブ型資産検出ツールの活用

• 企業がIG1に該当する場合、セーフガード1.1および1.2を満たす必要があります。
• 企業がIG2に分類される場合、セーフガード1.1～1.4を満たす必要があります。
• 企業がIG3に該当する場合、セーフガード1.1～1.5を満たす必要があります

DORAの概要

DORAは、EU域内の金融機関のオペレーショナル・レジリエンスを強化するために、2025年1月に施行される予定の新しい法律です。この法律は、リスク管理、インシデント報告、レジリエンス・テスト、第三者リスク管理、および情報通信技術（ICT）に関する情報共有に焦点を当てています。 しかし、DORAは、組織がセキュリティ上の脅威をどのように軽減すべきかをより広く理解するのに役立つ枠組みでもあります。これは、金融部門やベンチャーファンドを持つ大企業にも適用可能であり、他のセクターにおける同様の規制枠組みのための指針となります。

DORAの主な要件

DORAの要件は、組織がICT障害に耐え、迅速に復旧できることを確保することを中心に構築されています。これには、堅牢なリスク管理フレームワークの確立、詳細なインシデント対応戦略の策定、および定期的なレジリエンステストの実施が含まれます。

DORAは、以下の5つの領域の要件に焦点を当てています：

1. ICTリスク管理 ICTリスクを軽減するために、回復力のあるICTシステムおよびツールを開発・維持する。
2. 重要な機能と資産を特定、分類、および文書化する。
3. ICTリスクを継続的に監視し、保護および予防措置を実施する。
4. 異常な活動を迅速に検知します。
5. 詳細な事業継続方針および災害復旧計画を作成し、すべての支援部門を含む年次テストを実施する。
6. 外部の事象および内部のICTインシデントの両方から学び、適応するための仕組みを導入する。
7. ICT関連インシデントの報告すべてのICTインシデントを記録・分類するプロセスを策定し、規制で定められ、欧州の3つの監督当局（EBA、EIOPA、ESMA）によって具体化された基準に基づき、重大なインシデントを特定する必要があります。
8. ICT関連のインシデントに関する初期報告、中間報告、および最終報告を提出する。
9. 欧州監督当局が作成したテンプレートを使用して、ICT関連インシデントの報告を標準化する。
10. デジタル・オペレーショナル・レジリエンスのテストツールやシステムに対する基本的なICTテストを毎年実施し、対策上の弱点や不備を特定、軽減し、迅速に対処する。
11. 重要なICTサービスに対して、第三者のICTサービスプロバイダーの参加と全面的な協力を必須条件として、脅威を重視した高度な侵入テストを定期的に実施する。
12. 第三者ICTリスク管理 第三者ICTプロバイダーへの依存に伴うリスクを監視します。
13. 変更やグループ内サービスを含め、すべての外部委託活動の最新登録簿を維持すること。
14. ITの集中化やサブアウトソーシング活動に関連するリスクに対処する。
15. 包括的なモニタリングを行うため、必須のサービス要素およびサードパーティICTプロバイダーとの関係を標準化する必要があります。
16. 第三者ICTプロバイダーとの契約には、詳細な監視条件、サービスレベルの記述、およびデータ処理の場所を必ず盛り込むようにしてください。
17. 重要な第三者ICTサービスプロバイダーは、リスク軽減に関する推奨事項を発出する、EU全域にわたる監督枠組みの対象となります。金融機関は、これらの推奨事項を遵守していないプロバイダーによるリスクを評価しなければなりません。
18. 情報共有 金融機関は、サイバー脅威に関する情報やインテリジェンスを相互に交換するための枠組みを構築することができます。
19. 監督当局は、金融機関に対し、匿名化されたサイバー脅威情報およびインテリジェンスを提供します。
20. 各組織は、当局から提供された情報を精査し、それに基づいて対応するための仕組みを導入しなければなりません。

CISコントロールという視点からDORAを考察する

CISコントロールフレームワークをDORAに統合することで、組織はサイバーセキュリティプロセスを効率化できます。これは、広く利用されているCISコントロールに詳述された実証済みのセキュリティ慣行を通じて、DORAが求めるレジリエンスを達成するための実践的な方法論を提供します。この統合により、サイバーセキュリティリスクの管理に対するより効率的で体系的なアプローチが可能となり、複雑さが軽減され、コンプライアンスへの取り組みが明確化されます。

CISコントロールフレームワークをDORAに統合することには、単なる規制への準拠にとどまらないいくつかの利点があります。それには以下が含まれます：

サイバーセキュリティへの統一的なアプローチ

CIS Controlsは、幅広いサイバーセキュリティ分野を網羅する、世界的に認められた包括的なセキュリティベストプラクティスのセットを提供します。DORAなどの他のフレームワークをCIS Controlsにマッピングすることで、組織はサイバーセキュリティおよびコンプライアンス管理に対する統一的なアプローチを採用でき、セキュリティイニシアチブ全体の一貫性と整合性を確保できます。

管理の簡素化

多くの組織は、その実用性と有効性から、すでにCIS Controlsをサイバーセキュリティプログラムの基盤として活用しています。DORAのような追加のフレームワークをCIS Controlsにマッピングすることで、組織は既存のインフラ、リソース、専門知識を活用し、サイバーセキュリティ管理プロセスを簡素化することができます。

効率的なリソース配分

CISコントロールは、セキュリティ対策の実施に関する明確な指針を提供し、組織がリソースを効果的に配分することを容易にします。DORAの要件をCISコントロールにマッピングすることで、組織は各コントロールの相対的な重要度と影響度に基づいて取り組みの優先順位を付け、リソースが最も必要とされる場所に確実に配分されるようにすることができます。

拡張性と適応性

CISコントロールは、あらゆる規模や業界の組織に対応できるよう、拡張性と適応性を備えて設計されています。DORAやその他の規制フレームワークをCISコントロールにマッピングすることで、組織は、規制要件の変化、技術の進歩、そして進化する脅威の状況に対応できるだけの柔軟性を、自社のサイバーセキュリティ対策に確保することができます。

継続的改善

CISコントロールは、新たな脅威や進化するセキュリティ対策の動向を反映するため、継続的に更新・改良されています。DORAなどの他のフレームワークをCISコントロールに整合させることで、組織はこの継続的な改善プロセスを活用し、自社のサイバーセキュリティ対策が常に最新の状態を維持し、新たな脅威を効果的に軽減できるよう確保できます。

CISコントロールとDORA要件の対応付け

DORAの要件：ICTリスク管理

CISコントロールとの整合性：

CIS Control 1: Inventory and Control of Enterprise Assets Maintain a current and accurate inventory of all enterprise assets that connect to the network to ensure visibility and management of any asset that could be attacked or compromised.

CIS Control 2: Inventory and Control of Software Assets Actively manage all software on the network to ensure that only authorized software is installed and can execute, and that unauthorized and unmanaged software is found and prevented from installation or execution.

CIS Control 7: Continuous Vulnerability Management Implement a robust vulnerability management program that includes regular scanning, prioritization of vulnerabilities based on risk, patch management processes, and verification of patch effectiveness.

CIS Control 12: Network Infrastructure Management Establish and maintain an accurate inventory of network assets, configure network devices securely, monitor network traffic for suspicious activities, and enforce network segmentation to limit the impact of potential breaches.

CIS Control 17: Incident Response Management Develop and regularly test an incident response plan, establish clear roles and responsibilities for incident response team members, deploy detection and monitoring tools to identify security incidents, and establish communication channels for reporting and escalating incidents.

CIS Control 18: Penetration Testing システムやアプリケーションの脆弱性を特定・是正するために定期的な侵入テストを実施し、現実の攻撃シナリオをシミュレートしてセキュリティ対策の有効性を評価し、侵入テストの結果に基づいて是正措置の優先順位を決定する必要があります。

DORAの要件：ICT関連インシデントの報告

CISコントロールとの整合性：

CISコントロール8：監査ログ管理

• システムおよびアプリケーションを設定して詳細な監査ログを生成し、分析のために監査ログを一元的に収集・保存し、規制要件を満たすためのログ保存ポリシーを策定し、不正アクセスや悪意のある活動の兆候がないか、監査ログを定期的に確認する必要があります。

CISコントロール17：インシデント対応管理

• セキュリティインシデントの検知、報告、対応プロセスを含むインシデント対応手順を策定し、適切な関係者にインシデントを報告するための連絡経路を確立し、インシデントの分類および優先順位付けの基準を定義する必要があります。

DORAの要件：デジタル・オペレーショナル・レジリエンスのテスト

CISコントロールとの整合性：

CISコントロール7：継続的な脆弱性管理

• システムやアプリケーションの脆弱性を継続的に監視し、リスク評価に基づいて是正措置の優先順位を決定するとともに、脆弱性スキャンや評価を通じてセキュリティ対策の有効性を定期的に検証する必要があります。

CISコントロール17：インシデント対応管理

• 机上演習やサイバー攻撃シミュレーションを実施し、インシデント対応手順の有効性を検証するとともに、インシデントの検知および対応能力における課題を特定し、テストから得られた教訓に基づいてインシデント対応計画を改善する必要があります。

CISコントロール18：侵入テスト

• システムやアプリケーションの脆弱性を特定・是正するために定期的な侵入テストを実施し、現実の攻撃シナリオをシミュレートしてセキュリティ対策の有効性を評価し、侵入テストの結果に基づいて是正措置の優先順位を決定する必要があります。

DORAの要件：第三者ICTリスク管理

CISコントロールとの整合性：

CIS Control 12: Network Infrastructure Management Identify and assess risks associated with third-party ICT providers, establish contractual requirements for third-party providers to meet security standards, and monitor third-party providers for compliance with contractual obligations.

CIS Control 15: Service Provider Management Establish a formal process for evaluating and selecting third-party ICT providers, conduct due diligence assessments to evaluate the security posture of potential providers, and establish contractual agreements that include provisions for security requirements and oversight.

CIS Control 17: Incident Response Management Include third-party providers in incident response planning and coordination efforts, establish communication channels for reporting and responding to security incidents involving third-party providers, and conduct regular reviews of third-party provider performance and compliance.

DORAの要件：情報共有

CISコントロールとの整合性：

CIS Control 14: Security Awareness and Skills Training Provide security awareness training to employees to educate them about cybersecurity risks and best practices, conduct phishing simulations to test employee awareness, and encourage reporting of security incidents and concerns.

CIS Control 17: Incident Response Management Establish information sharing partnerships with industry peers and relevant authorities to exchange threat intelligence and cybersecurity best practices, participate in information sharing forums and communities, and contribute to collective efforts to improve cybersecurity resilience.

業界への影響

CISコントロールは、あらゆる規模や種類の組織に幅広く適用可能です。また、DORAは金融機関のオペレーショナル・レジリエンスの強化を目的としていますが、その原則は他の業界にとっても指針となり得ます。これら2つを統合的なアプローチで適用することで、組織は数多くのメリットを享受できます。 以下に、CISコントロールフレームワークをDORAに統合することが、さまざまな業界に与える影響の例を示します。

金融サービス

金融セクターにおいて、DORAおよびCIS Controlsへの準拠は、オンライン取引やデータ侵害に伴うリスクを軽減し、信頼を高め、事業継続性を確保します。金融機関および各事業部門は、DORAが定める業務レジリエンスおよびサードパーティのICTリスク管理に関する厳格な要件に特に注意を払う必要があります。

医療・ライフサイエンス

DORAの原則は、主に金融サービスを対象としていますが、ICTの混乱を管理するための貴重な指針を提供しており、これは医療分野、特にデータ交換のセキュリティ確保や重要な医療システムの可用性確保においても適用可能です。また、DORAは、HIPAAやGDPRなどの規制への準拠に不可欠な、機密性の高い患者データや研究情報を保護するための枠組みも提供しています。

製造業

製造業にとって、CIS ControlsをDORAフレームワークに統合することは、産業用制御システムに対するサイバー脅威への防御を強化し、競争優位性を維持するために不可欠な知的財産を保護することにつながります。レジリエンスと第三者リスク管理に重点を置くことで、ICTの障害によって製造業務が中断されることを防ぐことができます。

小売

小売業者は、消費者データや金融取引の安全性を確保することで、消費者の信頼を維持し、GDPRなどのデータ保護規制への準拠を実現できます。DORAのオペレーショナル・レジリエンスへのアプローチを採用することで、ICT関連のインシデントによって引き起こされる、買い物シーズンのピーク時のダウンタイムを防止するのに役立ちます。

エネルギー

エネルギー部門は、DORAのフレームワークを適用することで、公共の安全や経済の安定に不可欠なインフラのセキュリティとレジリエンスを強化できます。CIS Controlsを採用し、DORAに準じたレジリエンステストを検討することで、エネルギー企業は、エネルギーグリッドやその他の重要インフラに対するデジタルおよび物理的な脅威に関連するリスクをより適切に管理できるようになります。

教育

膨大な量の学生データを扱う教育機関は、データベースやネットワークのセキュリティ確保にCIS Controlsを活用できます。DORAの直接的な適用対象ではありませんが、同法が重視するレジリエンスや第三者管理の観点から、特に教育機関がデジタルプラットフォームへの依存度を高めている現状において、ICTリスクに関する教育方針の指針となり得ます。

電気通信

現代の経済や社会の機能に不可欠な通信事業者は、CISコントロールとDORAのレジリエンス重視の考え方を統合することで、ネットワークセキュリティとサービスの可用性を向上させることができます。これは、通信事業者が膨大な量のデータを管理する役割を担っており、大規模なサイバー攻撃を受けやすいことを考慮すると、特に重要な意味を持ちます。

DDIに内在するサイバーセキュリティリスク

ネットワーク変革やコンプライアンスプロジェクトを開始する前に、あらゆる組織が取るべき最も重要な第一歩は、自組織の体制を整備することです。ネットワーク上に何が存在するか、デバイスがどこに配置されているか、そしてそれらが現在どのように通信しているかを把握することは不可欠です。これが、DNS、DHCP、IPアドレス管理といったコアサービス（総称してDDIと呼ばれる）が非常に重要である理由です。 しかし、新しいITプロジェクトを計画する際、これらはしばしば見過ごされがちです。

DHCP設定やIPアドレスの管理にも固有のリスクが伴います。ネットワーク上のデバイスにIPアドレスを動的に割り当てるDHCPは、適切に保護されていない場合、誤った設定や悪意のある設定が発行されるように悪用される可能性があります。同様に、不適切なIPアドレス管理は、アドレス競合や不正なネットワークアクセスを招き、外部の脅威に悪用される脆弱性を生み出す恐れがあります。

DNSはネットワーク機能において極めて重要な役割を果たしているため、サイバー攻撃の主要な標的ともなっています。DNSハイジャック、トンネリング、ポイズニングといった脅威は、業務を混乱させ、深刻なデータ漏洩につながる可能性があります。DNSサービスのセキュリティとレジリエンスは、不正アクセスを防止し、トラフィックが正当な宛先に正しくルーティングされることを保証する上で極めて重要です。

統合型DDIソリューションの役割

こうした状況において、統合型DDIソリューションは極めて重要です。 これらのソリューションは、DDI管理を効率化・自動化するだけでなく、これらの重要なサービスに対する一元的な可視性と制御を提供することで、ネットワークのセキュリティ態勢を強化します。DDIを統合されたシステムに組み込むことで、組織は異常の検出、ポリシーの適用、インシデントへの対応をより効果的に行えるようになり、その結果、攻撃対象領域を縮小し、ネットワーク全体のレジリエンスを向上させることができます。

BlueCatの製品ポートフォリオは、セキュリティを強化し、事業継続性を確保するとともに、CIS Controlsなどの主要な規制枠組みへの準拠を支援します。 次のセクションでは、BlueCatの製品と機能がこれらのコントロールにどのように適合しているかをさらに深く掘り下げ、実際のシナリオにおける適用例を具体的に紹介します。これにより、堅牢なDDIソリューションが現代のデジタルインフラストラクチャを保護する上で果たす重要な役割が、さらに明確になるでしょう。

サイバーセキュリティおよびコンプライアンスにおけるBlueCatの役割

ネットワークによって、DNS関連の解決、ルーティング、およびセキュリティに対する要件は異なります。リスクプロファイルや立地条件により、特別なポリシーや強化されたセキュリティ可観測性を必要とするサイトもあります。BlueCatのソリューションを利用すれば、以下の機能を通じて、こうしたサイバーセキュリティおよびコンプライアンス要件を満たすことができます：

• インテリジェントDNS解決
• 政策の実施
• トラブルシューティングおよびフォレンジックのための詳細なクエリ検索
• SIEMとの統合
• 脅威インテリジェンスフィードを活用して動的なドメインリストを構築し、ポリシーに反映させることで、リアルタイムのセキュリティを強化
• HTTPS上のDNSクエリなどの特定のプロトコルを制限する機能

ホワイトペーパー | BlueC*によるサイバーセキュリティとコンプライアンスの強化

インテリジェントなDNS検出およびルーティングを実現する統合DDI

インフラの規模が拡大し、ワークロードが進化する中、セキュリティおよび検知チームが堅固で可観測性の高い基盤に依存することは不可欠です。各チームは、管理対象のIPおよびネームスペースの境界を明確に理解しなければなりません。 IPルーティング、DNSルーティング、およびDHCPスコープへの信頼は、意図したエンドポイントへの安全かつ正確なデータフローを確保するために不可欠です。これは、単にクラウドとオンプレミスネットワークを統合するリポジトリやオーケストレーションツールであるという枠を超え、データ伝送が始まる前にデジタル脅威を特定・ブロックするための主要な監視およびポリシー適用ポイントとしての役割を果たします。

上の図は、BlueCat Edge を使用した、ハイブリッドまたはマルチクラウド環境における、クラウドを意識したリアルタイムのインテリジェントな DNS 検出およびルーティングを示しています。このアプローチにより、手動のフォワーダー、孤立した DNS アイランド、および一貫性のない解決が排除されます。この設定は、アクセスやゾーンの重複の問題を自動的に解決し、組織全体でのシームレスな解決を実現するためのリバースゾーンの作成を容易にします。 DNSルーティングと選択的転送はポリシーに基づいており、ドメインリストやクエリの発信元に動的に適応します。また、Cloud Resolverからの更新により、フォワーダーやアクションのスマートな管理が可能になります。

Edgeを活用することで、ネットワークチームはCisco Umbrellaなどの業界最高水準のサービスとの組み込み統合機能を利用し、組織全体のセキュリティ防御を強化できます。これにより、イースト・ウエストおよびノース・サウス両方向のDNSトラフィックを監視することで、脅威の検知と防御を向上させることができます。 Umbrellaの脅威インテリジェンスを活用することで、BlueCat Edgeは、攻撃がコマンド＆コントロールチャネルに接続する前に、先制的に攻撃を阻止します。

BlueCatのソリューションとCIS Controlsの対応関係

BlueCatのソリューションは、一元的な制御、可視性の向上、および高度なセキュリティ機能を提供し、コンプライアンスの遵守とリスクの軽減を支援します。BlueCatの製品が特定のCISコントロールおよびその保護策にどのように対応しているかについては、以下で詳しく説明します。

完全性

Integrityは、大企業向けの統合DDI管理プラットフォームです。最も複雑なネットワークインフラ全体にわたるDDIの可視化と管理を簡素化・一元化します。RESTful APIを基盤とするIntegrityは、DDI管理のあらゆる側面を自動化します。Integrityは、BlueCat Address ManagerおよびBlueCat DNS and DHCP Server（BDDS）で構成されています。

Address ManagerはIPアドレス管理を行い、主要なDNSおよびDHCP管理プラットフォーム（クラスターまたは単一ノード）として機能します。要件、アーキテクチャ、導入規模に応じて、BDDSは単一インスタンスまたはクラスターとして構成され、権威DNSおよび／またはDHCPサービスを選択的に提供します。

Integrity内のアプリケーションである「Cloud Discovery & Visibility」は、オンプレミスおよびマルチクラウド環境の全資産を検出するとともに、そのデータをAddress Managerにストリーミングして、最新情報を提供します。

各コンポーネントは柔軟性が高く、物理環境または仮想環境のいずれにおいても、複数のフォームファクタで展開可能です。

CISコントロールおよびセーフガードとの対応関係

• コントロール1：企業資産の棚卸しと管理　セーフガード：1.1、1.2、1.3、1.4、1.5

• セーフガード：2.1、2.2、2.3、2.4、2.5、2.6、2.7

• 保護措置：4.1、4.2、4.4、4.5

• 保護措置：5.1、5.3、5.5

• 保護措置：9.1

• 保護措置：11.1、11.2

• 保護措置：12.1、12.3

• 保護措置：13.4、13.6

• セーフガード：16.2、16.5、16.7、16.9、16.10、16.12

Gateway

すべてのBlueCatソリューションがオープンで堅牢、かつ最新のAPIを提供していますが、Gatewayは、カスタム統合、プラグイン開発、およびDDIワークフローによるビジネスプロセスの自動化を可能にするすべての構成要素を統合しています。Gatewayは、サードパーティ製ソリューションをIntegrityのAddress ManagerやBDDS、あるいはEdgeと統合するために、一連のPythonクラスを備えたAPIを使用しています。

さらに、BlueCatが提供する既存の適応型アプリケーションおよびプラグインのカタログを活用することで、チームは以下のようなプロバイダーやプラットフォームを基盤として、即座にシステムを構築し、イノベーションを推進することができます：

• ネットワーク：Cisco、VMware、Microsoft、Nutanix、OpenStack、ServiceNow、Ansible
• クラウド：AWS、Microsoft Azure、Google Cloud
• セキュリティ：Palo Alto Networks、Cisco、Splunk、IBM、ArcSight、CrowdStrike

CISコントロールおよびセーフガードとの対応関係

• コントロール1：企業資産の棚卸しと管理　セーフガード：1.1、1.3
• 保護措置：5.1、5.3、5.5
• 保護措置：7.1、7.2、7.3、7.4
• 保護措置：8.2
• 保護措置：10.7
• 保護措置：12.1、12.2、12.3
• 保護措置：13.7
• 保護措置：15.4、15.5
• セーフガード：16.2、16.5、16.7、16.9、16.10、16.12
• 保護措置：17.9
• 保護措置：18.3

エッジ

Edgeは、ネットワーキング、セキュリティ、クラウドという3つの主要分野において、標準的なDDIインフラストラクチャにIP転送、検出、解決、およびセキュリティ機能を追加します。Edgeは、ネットワークのエッジ全体に展開されたサービスポイントを通じて高度なDNS機能を提供する、軽量でクラウド管理型のソフトウェアソリューションです。

ネットワークに関しては、Edgeはサービスポイントを経由したインテリジェントな転送機能を用いて条件を設定し、クエリを適切な宛先に誘導します。

セキュリティ面において、Edgeは、悪意のあるクエリのブロック、ポリシーの適用、最先端の脅威データフィードからのインテリジェンスを提供する高度な脅威対策機能を備えています。

クラウドに関しては、ネットワークチームはCloud Resolverを使用することで、複雑なクラウド環境におけるDNSクエリを容易に解決できます。

Edgeは、脅威への対処、ネームスペースの競合の解決、および組織のポリシーに基づいたクエリ応答遅延の最適化を行うための、インテリジェントな制御層を提供します。これらのフレームワークに直接対応することで、Edgeユーザーはセキュリティおよびコンプライアンス要件を満たす、あるいはそれを上回る水準を達成することができます。

CISコントロールおよびセーフガードとの対応関係

コントロール1：企業資産の棚卸しと管理

• 保護措置：1.1、1.3

コントロール9：マルウェア対策

• 保護措置：9.1、9.2

コントロール10：マルウェア対策

• 保護措置：10.6

コントロール12：ネットワークインフラ管理

• 保護措置：12.1、12.3

コントロール13：ネットワークの監視と防御

• 保護措置：13.1、13.2、13.3

コントロール16：アプリケーションソフトウェアのセキュリティ

• セーフガード：16.2、16.5、16.7、16.9、16.10、16.12

BlueCatの役割別トレーニング

コントロール14：セキュリティ意識およびスキル研修

• セーフガード：14.2、14.3、14.4、14.8、14.9

インフラストラクチャ・アシュアランス

Infrastructure Assuranceは、ネットワークおよびセキュリティインフラ（整合性、ファイアウォール、ロードバランサーなど）に対して、プロアクティブな可観測性、トラブルシューティング、および是正措置を提供します。隠れた問題を特定し、自動診断を実施し、専門家が推奨する是正手順を提案します。

高度な可視化と自動化により、ネットワークの障害を未然に防ぎ、メンテナンスや高可用性の検証といったタスクを効率化するとともに、ベストプラクティスに基づいて重要なデータを効率的に分析します。主な機能は以下の通りです：

• 自動検出
• 自動トリアージ
• 構成情報の自動バックアップ
• 運用保守の自動化
• インフラのベンチマーク

CISコントロールおよびセーフガードとの対応関係

コントロール1：企業資産の棚卸しと管理

• 保護措置：1.1、1.2、1.3

コントロール3：データ保護

• セーフガード：3.5、3.6、3.7、3.8、3.9、3.10、3.11、3.12、3.13、3.14

コントロール4：企業資産およびソフトウェアの安全な構成

• 保護措置：4.1、4.2、4.4、4.5

コントロール5：アカウント管理

• 保護措置：5.1、5.3

コントロール6：アクセス制御管理

• 保護措置：6.1、6.4、6.5

コントロール7：継続的な脆弱性管理

• 保護措置：7.1

コントロール9：ネットワークポート、プロトコル、およびサービスの制限と管理

• 保護措置：9.1

コントロール10：マルウェア対策

• セーフガード：10.1、10.5、10.6、10.7

コントロール11：データ復旧

• 保護措置：11.1、11.2、11.3

コントロール12：ネットワークインフラ管理

• 保護措置：12.1、12.2、12.3

コントロール13：ネットワークの監視と防御

• セーフガード：13.1、13.2、13.5、13.6

コントロール15：サービスプロバイダーの管理

• セーフガード 15.4

コントロール16：アプリケーションソフトウェアのセキュリティ

• セーフガード：16.2、16.3、16.5、16.7、16.9、16.10、16.12

コントロール17：インシデント対応管理

• 保護措置：17.9

コントロール18：侵入テスト

• セーフガード 18.3

今後の見通し

BlueCatのソリューションを活用し、CIS ControlsとDORAを統合することで、組織はサイバーセキュリティリスクの管理と規制コンプライアンスに向けた包括的なアプローチを得ることができます。これらのフレームワークとテクノロジーを活用することで、企業は現在の脅威から身を守るだけでなく、将来のサイバーセキュリティ上の課題にも備えることができます。

脅威が進化し、規制環境が複雑化する中、組織はサイバーセキュリティ戦略を継続的に適応させていく必要があります。BlueCatのような先進的なソリューションの導入は、あらゆるセクターにおいてセキュリティとコンプライアンスを維持するために不可欠となるでしょう。