セキュリティチェックボックスの死：BASは真の防御の力の源

セキュリティはもはや侵害を防ぐだけの問題ではありません。真の失敗は侵害の影響がシステムに及んだときに起こります。今年のPicus Breach and Simulation（BAS）サミットでの重要なメッセージは、研究者、実務者、リーダーが一致して「サイバー防御は単なる予測ではなく証拠を求める」ことが必要だということでした。新たなエクスプロイトが出現すると、スキャナーや攻撃者は瞬時に動き、しばしば数分以内に横展開を達成します。攻撃者が使う正確な戦術に対してセキュリティコントロールが実戦で試されていなければ、防御しているのではなく、ただ何も大きく壊れないことを願っているだけです。圧力は急速に高まり、エクスプロイトが公表された同じ時間内に意思決定者は即座に答えを求めます。BASはコンプライアンスのチェックマークを超え、日々の「電圧テスト」として機能し、制御された敵対的行動をシステムに通して実際に何が耐えているかを明らかにします。\n\n従来のセキュリティアプローチは建築のようなものでした：設計、構築、検査、チェックリストと書類で認証。しかし攻撃者は計画に従わず、物理のように絶え間ない圧力をかけ、防御がどこで曲がり折れるかを試します。ペネトレーションテストは価値がありますが、それは時間で凍結されたスナップショットです。対照的にBASは反応を測定し、潜在的な脆弱性だけでなく、それらが実際に発動したときに何が起こるかを示します。SANSのクリス・デールはこうまとめます：BASは穴がどこにあるかではなく、攻撃を受けたとき防御がどう反応するかを問います。損失を引き起こすのは侵害そのものではなく、その後の影響だからです。\n\n攻撃者をシミュレートする前に、自分の環境を隅々まで知る必要があります。見えないものは防御できません—忘れられた資産、タグ付けされていないアカウント、高権限で動くレガシースクリプトなど。例えばAkiraのランサムウェア攻撃を安全に自分のシステム内で再現することで、コントロールが攻撃を途中で断ち切れるかどうかを学べます。成熟したBASプログラムを特徴づける2つの原則は、結果に焦点を当てること（単なるインベントリリストではなく影響から始める）と、BASをインテリジェンス、エンジニアリング、運用が継続的に協力するパープルチームの取り組みとして扱うこと—シミュレート、観察、調整、再シミュレート。Texas MutualのCISOジョン・サップが指摘したように、週次でコントロールを検証するチームは仮定から証拠へと移行します。\n\nAIはサミットでホットトピックでしたが、華麗な新攻撃の創出ではありません。真の価値はキュレーションにあります—混沌とした脅威インテリジェンスを実行可能で検証可能な計画に整理すること。大きなAIモデル1つではなく、リレー競走のように専門家が連携します：収集すべきものを決めるプランナー、データを検証するリサーチャー、安全なエミュレーションを作るビルダー、実行前に正確性をチェックするバリデーター。この多層的アプローチが高忠実度と低リスクを保証します。ある例では、AIが数週間かかっていた手動のクロスリファレンスを数時間に短縮し、ニュースの見出しをより速く正確なエミュレーション計画に変えました。\n\n実世界の証拠がサミットのハイライトでした。医療チームはセクターの脅威インテリジェンスに基づくランサムウェアシミュレーションを実施し、検知と対応時間を測定し、SIEMやEDRの設定を調整して攻撃を早期に阻止しました。保険会社は週末にBASパイロットを実施し、エンドポイントの隔離を検証し、実際の攻撃者が利用する前に長期間にわたる静かな誤設定を発見しました。これによりBASは単なる実験室の試みではなく、日々のセキュリティ運用の不可欠な部分であることが証明されました。取締役会が脅威に対して保護されているか尋ねたとき、推測ではなく証拠で答えられます。\n\n印象的だったのは、取締役会の古典的な質問「すべてパッチを当てる必要がありますか？」への答えが明確な「いいえ」だったことです。BASによる検証は、すべてにパッチを当てることが非現実的であるだけでなく不要であることを示します。重要なのは、特定の環境で本当に悪用可能な脆弱性を知ることです。強力なコントロールの背後にある高CVSSスコアはほとんどリスクをもたらさないかもしれませんが、露出したシステムの中程度の欠陥は実際の攻撃経路となり得ます。これによりパッチ適用は仮定ベースから証拠ベースへと変わり、継続的脅威曝露管理がバズワードから戦略へと変わります。\n\n最後に、BASは価値を提供し始めるのに大規模で複雑な展開を必要としません。多くの場合、チームは財務エンドポイントや生産クラスターなど重要な範囲に小規模に始め、数週間で具体的な利益を実感します。派手さよりも一貫した実証的検証が重要です。要するに「セキュリティチェックボックス」は死に、BASが堅牢で反応的な防御の真の力となっています。