12. 対策カタログ：何を、なぜ、どう検証するか

この章は製品購入リストではない。各対策を、阻止、検知、影響限定、復旧のどこに効くかで整理する。実装の詳細な設定値は環境・製品・リスクで異なるため扱わない。代わりに、導入したと主張するための検証可能な証拠を示す。各境界が必要な理由は4章で扱った。本章は、実施済みと言うために何を確認するか（目的・実施内容・検証方法・完了の証拠）に焦点を当てる。

12.1 外部公開資産の管理

目的

忘れられた公開サービス、管理画面、古いVPN、クラウドの設定ミスを入口にしない。公開が必要なサービスについても、所有者、目的、更新、ログ、異常時の停止方法を明確にする。

実施内容

• DNS、証明書、クラウド、IPアドレス、購買記録、ネットワーク機器から資産候補を収集する。
• 候補ごとに所有者と業務目的を割り当て、所有者不明を例外ではなく課題として扱う。
• 外部公開のリモート管理・管理画面を最小化し、公開理由と期限を記録する。
• インターネット境界機器、VPN、リモートアクセス、Webアプリの更新責任を明確にする。
• 公開資産のログを、侵害後にも参照できる場所へ保全する。

検証

台帳と実際の外部到達性を照合し、台帳にない公開資産がないこと、所有者不明が期限付きで是正されること、緊急停止手順が別担当者でも実行できることを確認する。

失敗例

「クラウド利用部門が直接契約したSaaSはITの範囲外」「保守会社が使うVPNなので詳細不明」という状態。攻撃者にとって所有者の境界は関係がない。到達できる面が存在すれば、組織の攻撃面である。

12.2 脆弱性と構成の管理

目的

既知の脆弱性、初期設定、不要サービス、期限切れ証明書、弱い暗号方式、公開設定の不備を、優先順位付きで減らす。

実施内容

• 資産台帳と脆弱性情報を結び、外部公開・業務重要度・悪用状況で優先順位を決める。
• パッチ適用の可否、保守停止時間、ロールバック、代替策を変更管理に含める。
• 更新不能資産は、公開停止、ネットワーク分離、アクセス制限、監視強化、更改計画のいずれかを選ぶ。
• 構成基準を作り、不要な管理面・サービス・権限・共有を既定で減らす。
• 重大な設定変更は、四眼原則または独立したレビューを検討する。

検証

期限超過の重大項目を抽出し、各件に所有者、理由、代替策、承認者、次回見直し日があるかを確認する。脆弱性スキャンの完了率だけではなく、実際に公開面が更新・隔離されたかを見る。

12.3 メールと人の防御

目的

人を「最後の防壁」として責めるのではなく、欺瞞が成功しても重大権限へ直結しない環境を作る。

実施内容

• なりすまし対策、添付・リンクの検査、危険なコンテンツの制限、外部メールの表示を整える。
• 支払変更、口座変更、特権要求、MFA要求などを、メールだけで完結させない業務手順にする。
• 報告ボタンや相談窓口を用意し、誤操作を責めず早期報告を評価する。
• 訓練はクリック率のランキングではなく、報告率、相談速度、役割別の危険な業務に合わせる。
• メール侵害を想定し、転送ルール、委任、アプリ同意、セッションの異常を監視する。

検証

疑わしいメールを受けた利用者が、実際にどこへ、どの情報を添えて報告できるかをテストする。SOCまたは担当者が、その報告をID・メールログ・端末ログと関連付けて判断できるかも確認する。

12.4 ID・認証の防御

目的

認証情報の窃取や再利用があっても、重要サービス、特に管理プレーンまでの到達を難しくし、異常を早く発見する。

実施内容

ID分類、特権分離・時限昇格、MFA適用の設計判断は4.2節を参照する。運用として追加で確認するのは次の点である。

• 古い認証方式、共有アカウント、無期限トークン、長寿命の秘密情報を縮小する。
• 新規MFA要素、特権追加、条件変更、アプリ同意、メール委任・転送を監査する。
• 緊急アクセスは、通常時に使わないことと、有事に使えることの両方を定期検証する。

検証

特権ID一覧を採取し、所有者、用途、MFA、最終利用日、恒久か一時か、ログ、終了日を確認する。退職・委託終了のサンプルで、実際に全アクセスが消えているかを点検する。

12.5 端末・サーバーの防御

目的

初期侵害の成功確率を下げ、侵害後の探索・横展開・破壊を検知・制限する。

実施内容

• 管理下の端末を識別し、更新、保護状態、暗号化、ローカル管理者を把握する。
• 管理者権限を常用させず、必要なときだけ付与する。
• EDR等の保護機能の停止・未導入・通信不能を、運用上の例外として追跡する。
• 重要サーバーへの管理アクセスを、対象・時間・端末・ログで制御する。
• 旧式・特殊用途の端末は、代替策と残存リスクを明確にする。

検証

保護されていない端末、更新期限超過、ローカル管理者の過剰付与、監視通信断を定期レポートし、放置ではなく所有者へ割り当てられているかを確認する。

12.6 ネットワークと横展開の抑制

目的

一台・一IDの侵害が、全社のデータ、管理面、バックアップへ到達することを防ぐ。

実施内容

• 業務ネットワーク、サーバー、管理面、バックアップ、ゲスト、委託先接続の境界を定義する。
• 業務に不要な通信を既定で許可しない方向へ徐々に移す。
• 特権管理の経路を把握し、一般端末からの到達を縮小する。
• 境界機器、DNS、VPN、プロキシ、リモートアクセスのログを相関できるようにする。
• 侵害時にどのセグメント・接続先を止めるかを、業務影響とともに事前に決める。

検証

机上のネットワーク図ではなく、実際のアクセス権・通信ルール・管理経路で、利用者端末からバックアップ管理面やID基盤に不必要に到達できないかを確認する。

12.7 データ保護と外部共有

目的

二重恐喝の影響を減らし、調査・通知・復旧を可能にする。

実施内容

• 重要データを分類し、所有者、保存場所、保持期間、外部共有、規制要件を記録する。
• 共有権限を最小化し、公開リンク・外部共有・大容量ダウンロードを監査する。
• 暗号化は有用だが、鍵管理・アクセス権・管理者権限と一体で設計する。
• 不要になったデータを削除または安全に保持し続ける判断を行う。
• データ持出しの通常状態を把握し、異常を判断できるようにする。

検証

最重要データセットについて、「誰が読めるか」「誰が外部共有できるか」「いつ最後にアクセス権をレビューしたか」「侵害時にアクセス履歴を追えるか」を回答できるか確認する。

12.8 バックアップと復旧

目的

攻撃者が本番を破壊または暗号化しても、信頼できる状態から優先業務を戻せるようにする。

実施内容

• 複数世代・複数場所・分離・変更不能性を、重要度に応じて組み合わせる。
• バックアップ管理面、削除権限、暗号鍵、監視を本番と別の信頼境界に置く。
• 復旧に必要な周辺要素（ID、設定、証明書、DNS、ライセンス、手順）を含める。
• 隔離環境で復元し、マルウェア・改変・データ整合性を確認する。
• 復元後の業務検収を、業務責任者が行う。

検証

最新バックアップを戻せたかだけでなく、攻撃を想定して選んだ安全な復旧点から、所定時間内に業務が再開できるかを測定する。結果はRTO/RPOと比較し、差分を経営へ報告する。

12.9 監視・検知・対応

目的

暗号化に至る前の異常を見つけ、攻撃の範囲を縮め、説明可能な記録を残す。

実施内容

• ID、端末、ネットワーク、クラウド、バックアップの重要ログを集める。
• 時刻同期、保持期間、アクセス制御、改ざん耐性を確認する。
• 異常な特権、認証、保護停止、設定変更、共有変更、データ移動を優先的に検知する。
• 高重大度アラートの担当、応答時間、連絡、隔離権限を定める。
• 調査結果をチケットとタイムラインに残し、検知ルールを改善する。

検証

安全なシミュレーションまたは過去の検知事例で、アラートが届き、担当者が根拠を確認し、必要な連絡・隔離・記録を時間内に行えるかを確認する。

12.10 ガバナンス・保険・法務・広報

目的

技術対応を、事業継続、顧客対応、契約、通知、制裁・法令、保険、説明責任と整合させる。

実施内容

• インシデントの指揮系統、決裁権、記録担当、外部窓口を定める。
• 個人情報・業界規制・契約・海外拠点の通知要件を平時に整理する。
• 保険契約の通知条件、指定ベンダー、証拠保全、支払い関連の条件を法務と確認する。
• 初報、更新、顧客FAQ、取引先通知のテンプレートを作る。
• 支払いに関する判断は、技術、法務、制裁、保険、捜査機関、事業影響を含むエスカレーションに置く。[S01]

検証

机上演習で、未確認事項を明記した初報が作れるか、誰が承認するか、技術チームの調査と対外発信が干渉せず進むかを確認する。

12.11 状況に応じた対策の優先順位

対策は、脅威の流行語ではなく、現に自組織に存在する「止められない業務」「一つに集まり過ぎた権限」「戻せないデータ」を起点に選ぶ。