診断で終わりではないサイバーセキュリティリスクへの対策OODAループ

ここではサイバーセキュリティの確保のために有効なOODAループについてまとめました。具体的にどのようなリスクへの対策をすべきなのかステップごとに解説しています。

OODAループって何？

OODAループはアメリカの軍事戦略家として知られるジョン・ボイド氏が提唱した意思決定のためのフレームワークです。現在起きていることに対し情報収集を行い、方向性を定めて行動に移す。さらにその結果を次の意思決定につなげるというものです。

日本で有名なPDCAサイクルはもともと工場の生産性を高めるためのフレームワークで、業務改善には向いていますが、サイバーセキュリティのように現場により抱えるリスクが異なり、状況に応じた意思決定を行うにはOODAループの方が適しています。

脆弱性診断（セキュリティ診断）とは？
目的や必要性について詳しく見る

サイバーセキュリティにおけるOODAループ

【Observe（観察）】リスクを分析して管理する

サイバー攻撃へのセキュリティ対策の第1ステップは現在の外部・内部状況の把握とリスク分析です。リスク分析とは攻撃を受けた時に、どんなことが起きるのかを明確にしておくこと。具体的には資産ベースのリスク分析、事業被害ベースのリスク分析、脆弱性リスク分析です。これらをレベル化しておけば優先すべき対策も見えてきます。

サイバーセキュリティ対策
リスク分析・管理
について詳しく見る

【Observe（観察）】資産のインベントリを作成して管理する

セキュリティ対策における資産のインベントリ管理とはIT資産の目録や台帳を作成して一元管理することです。インベントリ管理ではハードウェア、ソフトウェア、ライセンスの保有数や期限など幅広く詳細に管理します。これが必要な理由はOSや各種システムのバージョンなどが最新の状態になっているか可視化できるからです。

サイバーセキュリティ対策
資産のインベントリ作成・管理
について詳しく見る

【Orient（状況判断）】脆弱性を特定する

脆弱性とはプログラムやシステム設計上での欠陥のことでセキュリティホールとも呼ばれます。放置すると攻撃者の不正アクセスターゲットになり情報漏洩のリスクが高まります。セキュリティ上のリスクを低くするためには脆弱性診断が必要です。専用ツールによる自動診断と人による手動診断があり、診断対象の明確化が重要です。

サイバーセキュリティ対策
脆弱性の特定
について詳しく見る

【Decide（意思決定）】IDおよびアクセス管理を導入する

IAMとも呼ばれるもので、社員や子会社などのIDとアクセス管理を職務に従って適切に行うことがDecide（意思決定）の段階で必要です。具体的にはアクセス制御、ワークフロー構築、認証コントロールなどを行うことにより一元管理ができます。これらは玄関に警備員を配置する役割を担い、不審な動きをシャットアウトします。

サイバーセキュリティ対策
IDおよびアクセス管理
について詳しく見る

【Decide（意思決定）】データセキュリティを強化する

外部からの悪意のあるサイバー攻撃や内部犯行など不正アクセスや情報漏洩などが起きないようなデータを守る仕組みがデータセキュリティ。データバックアップやデータの暗号化、パケットフィルタリングなどデータセキュリティを強化することで、機密情報の漏洩やシステムが破壊といった被害の拡大を抑えることができます。

サイバーセキュリティ対策
データセキュリティの強化
について詳しく見る

【Act（行動）】従業員のトレーニング・インシデント管理を徹底する

インシデント管理とはサイバー攻撃を受けた際に、原因を特定し、できるだけ早く復旧させるための体制を組んで復旧までを管理すること。そのためにはシステム管理者だけでなく全社員にセキュリティ教育が必要です。人為的ミスにより情報漏洩するケースもあり、不注意やサイバー攻撃に対する認識の甘さが被害を大きくするからです。

サイバーセキュリティ対策
従業員トレーニング・インシデント管理
について詳しく見る

CSIRT構築について

CSIRTとは、セキュリティ上の問題・インシデントが発生した際に対応するチーム、という意味です。
Computer Security Incident Response Teamの略で、シーサートと読みます。
CSIRT構築はセキュリティインシデントの脅威から自社を守るだけでなく、社会的信用の確立にも繋がります。

CSIRT構築について
詳しく見る