補遺E　誤解されやすい用語とその意味

E.1 ゼロトラスト

ゼロトラストは単一製品名ではなく、ネットワーク内だから自動的に信頼するのではなく、ID、端末、コンテキスト、最小権限、継続的検証でアクセスを判断する考え方である。ランサムウェア対策では、横展開と特権濫用を減らす方向に役立つ。ただし、導入を名乗っても、共有ID、恒久特権、例外通信、未監視の管理面が残れば効果は限定される。

E.2 EDR/XDR

EDRは端末の検知・対応能力を高める重要な手段である。XDRは複数のログ面を統合して検知・対応を支援する考え方・製品群として用いられる。しかし、保護エージェントが未導入、停止、通信不能であれば観測は途切れる。さらに、ID・クラウド・バックアップ管理面のログと対応権限がなければ、端末だけで全体の侵害を判断できない。

E.3 SIEM/SOC

SIEMやSOCはログ収集・相関・監視を支援するが、「入れれば24時間守られる」ものではない。資産の重要度、ログ品質、時刻同期、検知ルール、担当者、エスカレーション、隔離権限、事業部との連携が必要である。使われないアラート、所有者不明の資産、解釈不能なログは、導入効果を下げる。

E.4 ASM/EASM

Attack Surface Managementは、外部から見える資産・サービスを継続的に把握し、所有者不明・設定不備・更新漏れを減らす取り組みである。ツールは役立つが、検出結果に所有者を付け、公開理由を確認し、是正または例外化しないと、通知の山になる。IPAもインターネット接点の把握と管理の重要性を注意喚起している。[S06]

E.5 イミュータブル・バックアップ

変更不能性は、一定期間バックアップを変更・削除しにくくする性質を指す。強力な対策になり得るが、それだけで復旧可能性は証明しない。誰が保持設定を変更できるか、鍵はどこにあるか、管理面は本番から分離されているか、復元が成功するかを合わせて確認する。

E.6 RTO/RPO

RTOは復旧に必要な時間の目標、RPOは失ってよいデータ量（時間）の目標として用いられる。数字を決めるだけでなく、誰が決めたか、どの業務単位か、依存先を含むか、実測したかが重要である。RTOが4時間でも、IDや外部連携が戻らなければ業務は再開できない。