Security Operations (SecOps) 規範を開発する際に、この記事では、ゼロ トラスト原則に沿った効果的で最新の SecOps モデルを運用するために必要な役割、責任、および内部パートナーシップについて説明します。
SecOps は、アクティブな脅威をほぼリアルタイムで検出、調査、対応することに重点を置いた特殊な規範です。 それは、彼らの技術を積極的に適応させる敵対者との継続的な競合で動作します。
このガイダンスは、セキュリティ リーダー、SecOps 実践者、アーキテクト、エンジニア、パートナー チームなど、SecOps の最新化を計画または参加するすべてのユーザーを対象としています。
ロールと運用モデルが重要な理由
SecOps の結果は、テクノロジと同じくらい人とコラボレーションに依存します。 最も高度な検出と応答のツールであっても、次の機能はありません。
- インシデント発生時の責任の明確化
- 構造化されたエスカレーション パス
- 環境を設計、実行、理解するチームとの強力なパートナーシップ。
SecOps は専用のセキュリティ機能ですが、組織全体のシステムとプロセスを管理するエンジニアリング、運用、ビジネス チームの専門知識に大きく依存しています。
明確な運用モデルにより、以下が保証されます。
- インシデントは、適切なタイミングで適切なロールによって処理されます。
- エスカレーションは予測可能で効率的です。
- インシデントからの学習は、セキュリティ体制の改善に変換されます。
SecOps ロールと運用モデル
これらの SecOps ロール定義は、Open Group Security Roles and Glossary Standard に直接基づいており、小規模なチームから大規模な分散セキュリティ オペレーション センター (SOC) に拡張される共通のボキャブラリと構造を提供します。
小規模な組織では、これらの責任がいくつかの役割に組み合わされる場合があります。 大規模な組織では、通常は特殊なチームに分かれています。 サイズに関係なく、関数と結果は一貫性を保ちます。
SecOps の役割と責任を次の図に示します。
大規模な SecOps チームでは、特殊な役割が専用チームに分割される可能性があります。 この図は、これらのロールがどのように連携するかを示しています。
SecOps の主要な役割
- セキュリティ運用 (SecOps) マネージャー: SecOps 機能のリーダーシップと監視を提供します。 SecOps チームをサポートし、ビジネスの優先順位に合わせて作業を調整し、継続的に有効性を向上させます。
- トリアージ (階層 1) アナリスト: アラートとインシデントの最初のレスポンダーとして機能します。 この役割は、よく理解された攻撃パターンを迅速に処理し、複雑なケースをより深く調査するためにエスカレートします。
- 調査 (階層 2) アナリスト: 複雑または影響の大きいインシデントに対する対応をリードします。 このロールは、マルチステージ攻撃を調査し、封じ込めアクションを調整し、実際のインシデントに基づいて検出ロジックを調整します。
- 脅威ハンター (階層 3): 検出を回避した攻撃者を事前に検索します。 脅威ハンターは、攻撃者の潜伏期間を短縮し、重大インシデント発生時に高度な専門知識を発揮します。
- 検知エンジニア: 十分な可視性が確保されていない領域を減らすために、検知ルールを設計、テスト、改善します。 このロールにより、攻撃者が検出されずに操作する能力が制限され、アナリストの検出と調査の手順が向上します。
- SecOps プラットフォームと データ エンジニア: SecOps のツールとデータ パイプラインが信頼性が高く、スケーラブルで、継続的に進化していることを確認します。 このロールは、他のすべての SecOps 関数の有効性を支えます。
- 脅威インテリジェンス アナリスト: 内部および外部ソースから脅威情報を収集して分析し、SecOps、セキュリティ リーダーシップ、パートナー チームの実用的な分析情報に変換します。
- インシデントの調整と管理: 大規模なインシデント時の技術的およびビジネス上の対応を調整します。 このロールは、危機発生時のコミュニケーション、意思決定、および機能間の実行を管理します。
-
攻撃シミュレーション: 現実的なシミュレーションを使用して組織の準備をテストします。 人、プロセス、テクノロジ間のギャップを表面化します。 これらのシミュレーションでは、次のような多くの形式と形式を使用できます。
- 侵入テスト – 資産または組織の侵害を試みる 1 つの操作のシミュレーション (多くの場合、外部組織によって提供されます)。
- レッド チーミング - 複数の長期的な操作を実行する永続的な脅威アクターのシミュレーション。
- パープルチーミング – 防御側（ブルー）と模擬攻撃側（レッド）が密接に連携し、双方の学習を加速させる共同の模擬攻撃運用。
- ディスカッションベースのシミュレーション (テーブルトップ 演習) – 複数のロールが現実的な攻撃シナリオを通じて話し合う構造化されたシミュレーション 演習 (技術シミュレーションによって補足される場合があります)。
- リバース エンジニアリング/デジタル フォレンジクス (特殊な役割):マルウェア、アーティファクト、証拠を分析する高度に特殊化された役割。 デジタルフォレンジクスの専門家は、承認された手順で証拠を処理し、保管チェーンを維持することにより、法的および規制上の要件をサポートします。
SecOps ロールの連携方法
これらのロールは、次のような階層化モデルとして動作します。
- トリアージはボリュームと速度を処理します
- 調査とハンティングは、複雑さと奥深さに対処します
- エンジニアはシステムを継続的に改善する
- リーダーシップと調整により、連携と回復性を確保する
この構造は質を犠牲にしないでスケールを保障する。
SecOps の主要な内部パートナー
SecOps は、分離して効果的に動作することはできません。 セキュリティ運用の成功は、環境を設計、構築、運用するチームとの緊密な統合に依存します。
SecOps のデータと分析情報 (特に脅威インテリジェンス) は、組織全体で優先順位付けの決定を通知する際に最も価値があります。
技術エンジニアリング/運用
これらのチームは、インシデント時の調査、封じ込め、復旧を支援し、SecOps の分析情報を使用して予防管理に優先順位を付けます。 一般的なパートナーは次のとおりです。
- アイデンティティ
- ネットワーク
- エンドポイント
- インフラストラクチャとプラットフォーム (クラウド、オンプレミス、CI/CD)
- データと AI
- 運用テクノロジ (OT)
アーキテクチャの役割
アーキテクトは、SecOps が監視および防御するシステムを設計し、インシデントから学んだ教訓を将来の設計に組み込みます。
主な役割は次のとおりです。
- エンタープライズ アーキテクト
- セキュリティ アーキテクト
- インフラストラクチャ アーキテクト
- データと AI アーキテクト
- アクセス アーキテクト (ID、ネットワークなど)
- ソリューション アーキテクト
- ソフトウェアおよびアプリケーション アーキテクト
アプリケーションと製品開発の役割
これらのチームは、SecOps が検出して保護する必要があるアプリケーションを設計し、維持します。
SecOps は次の方法でサポートされます。
- インシデント時の調査と修復の支援
- アプリケーションが適切なテレメトリを生成することを確認する
- SecOps インテリジェンスを使用してセキュリティの向上に優先順位を付ける
次のステップ
Open Group 標準のセキュリティ ロールの詳細について説明します。