不正対策は「少ないほど効果的」

Joshua Goldfarb

1982年の著書『Megatrends』で、ジョン・ネイスビッツは「私たちは情報に溺れながら、知識に飢えている」と記しています。現代社会のさまざまな状況を実に的確に捉えていると感じる、私のお気に入りの言葉の1つです。

特にこの言葉は、多くの企業における不正・リスク管理プログラムの現状を端的に表しています。残念ながら、こうしたプログラムの多くは、誤検知やその他の「ノイズ」が多く、その有効性が損なわれています。

不正およびリスク管理において、なぜノイズがこれほど大きな問題となるのかを理解するには、まず企業に及ぼす影響を把握する必要があります。すべてを網羅しているわけではありませんが、主な影響として次のようなものが挙げられます。

• 無駄な作業時間：不正対策チームが一元化された作業キューを中心にワークフローを構築すると、キュー内のすべてのイベントに優先順位を付けて確認する必要があります。ノイズによって、確認は必要でも不正・リスク管理プログラムには価値をもたらさない項目がこのキューに蓄積されます。つまり、ノイズはチームの貴重な作業時間を浪費します。
• 真陽性の見逃し： 一般的な企業が扱う膨大なデータやイベントの中から不正を探し出す状況は、「干し草の山から針を探す」という表現がよく当てはまります。このたとえでは、針が真陽性（不正インシデント）を、干し草の山が不正ではない偽陽性を表します。偽陽性が多いほど、真陽性を見つけることが難しくなります。
• インフラストラクチャコストの増加： ノイズはインフラストラクチャコストの増加にもつながります。各ログ、アラート、イベントは、不正対策およびリスク管理プログラムに有用かどうかにかかわらず、保持する必要があります。そのため、チームがほとんど、またはまったく価値のない情報を大量に収集している場合、余分なインフラストラクチャを使用しているにすぎません。そのコストにより、はるかに大きな価値を生み出せる分野に充てる予算が圧迫されます。
• 指標の歪み：誤検知は指標を歪める要因となっています。特に、実際の不正インシデントへの対応に費やした時間の割合、真陽性と偽陽性の比率、イベント量、処理したイベント数、イベント1件あたりのアナリストの対応時間などの指標は、ノイズの量に大きく左右されます。誤検知率を低減するほど、これらの指標はより正確になり、良好な結果を示すようになります。

誤検知やノイズが不正対策プログラムに悪影響を及ぼす理由をいくつか把握しておくと、問題に対処するための計画を立てやすくなります。ここでは、私がこれまでのキャリアを通じて有効だと感じた対策をいくつかご紹介します。

• リスクから始める： 当然ながら、成功への道はすべて、リスクを十分に理解し、真摯に向き合うことから始まります。企業が直面するリスクと脅威を評価し、それぞれが企業内の何に影響するかを把握したうえで、関連する潜在的なコストや損失を確認します。
• 目標と優先順位を設定する：何にいつ対処するかを決めることは、不正対策・リスク管理チームにとって最も重要な戦略的意思決定の1つです。前のステップで挙げたリスクと脅威に優先順位を付け、短期および長期で取り組む目標と優先事項を設定します。
• 影響を評価する：重要な資産、主要なリソース、重要なデータストアなどを特定することで、インシデントが及ぼす可能性のある影響をチームが把握しやすくなります。機密性と重要性が最も高い資産、リソース、データの所在を把握することで、テレメトリが不足している箇所にチームの注意を向けやすくなります。
• データとギャップの特定： 現在収集しているテレメトリを把握し、各データソースが不正対策およびリスク管理プログラムに役立っているかを評価します。役立っていない場合、そのデータを収集しても価値は得られず、インフラストラクチャコストが増えるだけです。潜在的な不正をチームが把握できなくなるテレメトリのギャップを特定し、その解消に向けた計画を策定します。
• テクノロジーとギャップを検討する：既存のテクノロジーを詳しく調査し、誤検知を低く抑えながら不正を確実に検知する、有用なテレメトリデータを収集する、プロセスやワークフローを効率化するなど、どのような点で役立っているかを確認します。また、テクノロジーが不正対策チームを支援するどころか妨げている箇所や、テレメトリと検知に存在するギャップも注意深く確認します。
• ノイズの多いルールとシグネチャを廃止する： 大量のノイズを生み出すルール、シグネチャ、その他の検知手法は、不正対策プログラムに価値をもたらしません。それどころか、大量の誤検知によってチームを疲弊させ、不正インシデントの迅速かつ正確な検知を妨げます。大胆に聞こえるかもしれませんが、こうしたノイズの多い検知メカニズムを廃止することには、デメリットをはるかに上回るメリットがあります。
• 精度の高い検知を実装する： 「少ないほど豊かである」という考え方を真に取り入れるには、データを鋭く分析し、忠実度と信頼性の高いアラートやイベントを生成する必要性を理解することが重要です。より高度な検知手法の実装には、初期段階で多くの時間を要しますが、大きな効果が得られます。アラートとイベントの精度が高まるほど、作業キューでは有用なシグナルが増え、ノイズが減少します。
• プロセスを重視する： どれほど高品質な作業キューでも、プロセスに不備がある、またはプロセス自体が存在しなければ役に立ちません。世界トップクラスの不正対策チームは、業務の指針となり、その進め方を管理する、成熟した効率的かつ効果的なプロセスを確立しています。
• 継続的な改善： 完璧な不正対策チームは存在しません。優れた不正対策チームは、自らの弱点と改善の機会を十分に認識しています。上記の各ポイントから得た教訓を生かし、不正対策プログラムを継続的に改善することが、チームの長期的な成功には不可欠です。

データ、イベント、アラートが多いほど不正検知の精度が高まるという従来の考え方は、時代遅れであり、誤解に基づいています。リスクを戦略的に重視し、ノイズを体系的に削減することで、企業は不正検知の状況と不正対策プログラムの成熟度をともに向上できます。シグナル対ノイズ比を改善し、不正検知に「少ないほど効果的」という考え方を取り入れることで、誤検知に費やすリソースを大幅に削減しながら、より多くの不正を検知できるようになります。

さらに詳しく知りたい方は、6月21日～22日にInfosecurity EuropeのスタンドP20でJoshにぜひお声がけください。

著者について

Joshua Goldfarb

Joshua Goldfarbのその他のブログ記事