二つの構造的な変化が、旧来のモデルを維持不能にしました。第一は、アーキテクチャの変化です。ワークロードはパブリッククラウドへ移り、従業員は自宅のノートパソコンへと移り、アプリケーションは他社が保有するAPIやサービスの組み合わせとなりました。組織はもはや城壁に囲まれた領域ではなく、関係の網目であり、内と外の存在を前提とする統制は、すでに消滅した位相を描いているにすぎません。第二は、経済の変化です。サイバー犯罪は産業化しました。ランサムウェアはサービスとして販売され、初期アクセスは商品として仲介され、恐喝は単純な暗号化からデータの窃取と公開の脅迫へと移行しました。敵対者はもはや単独の日和見主義者ではなく、独自のツール、アフィリエイト、カスタマーサポートを備えたサプライチェーンなのです。

規制も並行して動きました。NIS2やDORAといった枠組みは、リスクを管理し、サプライチェーンを保護し、限られた時間内にインシデントを報告することを、欧州の組織に明示的かつ強制力をもって義務づけています。かつてセキュリティを技術的なコストセンターとして扱っていた取締役会は、いまやそれに対する個人的かつ組織的な説明責任を負っています。その結果、セキュリティはガバナンスの問題であると同時に設計の問題となりました。いま重要なのは、脅威の種類が新しいからではなく、攻撃対象領域が拡大し、攻撃者が専門化し、過失に対する法的な許容度が崩壊したからです。セキュリティをいまだに境界防御装置と同一視する組織は、自らの実態にもはや合致しない形を守っているのです。

第一の原則は、セキュリティとは所有する物ではなく、敵対的な条件下でシステムが示す一連の性質だということです。古典的な三要素はいまなお有用な骨格です。すなわち、機密性、つまり情報は正当な資格をもつ者にのみ開示されること。完全性、つまりデータとシステムが認可なく改変されないこと。可用性、つまりサービスが必要なときに使用可能であり続けること。現実の設計はこの三つを同時に考慮しなければなりません。一方を守る統制が他方を損なうことがあるからです。過度な暗号化は機密性を守りますが、侵入を検知するために必要なテレメトリを見えなくすることがあります。可用性を厳しく締めつけすぎると、利用者を安全でない回避手段へと押しやりかねません。

第二の原則は、意思決定の単位は脅威ではなくリスクだということです。脅威とは、起こりうるあらゆる不都合です。リスクとは、それがどれほど起こりやすいか、そしてどれほどの被害をもたらすかの積を、それを低減するための費用と比較して量ったものです。だからこそ、見合った統制が重要になります。組織はすべてを同じ程度に守ることはできず、そうしようとすれば、些末な露出に予算を浪費する一方で、事業を終わらせかねない露出を飢えさせてしまいます。この両者を結びつける規律が脅威モデリングです。適切に行えば、それは設計に対する体系的な問いかけとなります。私たちは何を構築しているのか、それに何が起こりうるのか、それに対して何をするのか、そしてその仕事は十分だったのか。STRIDEやアタックツリーといった手法がこれに厳密さを与え、チームに信頼境界、データフロー、そして誤っていれば攻撃者の侵入を許すような前提を明示させます。ホワイトボードの上で行う脅威モデリングは、同じ欠陥をインシデントを通じて本番環境で発見するよりも、桁違いに安価です。

いくつもの動きが同時に実務を作り変えています。最も重大なのは、アイデンティティが主たる制御平面になったことです。ネットワーク境界が溶解したとき、あるリクエストを信頼すべきかという問いは、それがどこから来たかによっては答えられなくなり、誰が、何が、それを発しているかによってのみ答えられるようになりました。これにより、アイデンティティ、認証、認可があらゆる本格的なアーキテクチャの中心へと押し出され、認証情報の窃取とセッションハイジャックが支配的な攻撃経路となりました。これに応えて、この分野はパスワードから、さらにはワンタイムコードからも離れ、FIDO2とパスキーに基づくフィッシング耐性のある暗号学的認証へと移行しています。攻撃者がそれより弱いものすべての傍受を産業化してしまったからです。

ゼロトラストは、スローガンから、具体的な適用点をもつアーキテクチャへと成熟しました。もっとも、この用語はいまだにベンダーによって日常的に乱用されています。それと並んで、検知はシグネチャベースのアンチウイルスから、振る舞いに着目したエンドポイントおよび拡張型の検知と対応へと移行しました。これらは予防がときに失敗することを前提とし、攻撃者が内部に入ったあとにそれを見つけることに注力します。クラウドの設定ミスは、大規模な侵害の最も一般的な原因の一つとなりました。クラウドを強力にする柔軟性が、たった一つの誤った設定を破滅的なものにもするからです。攻撃者が信頼されたベンダーやソフトウェアの依存関係を侵害して一度に多数の被害者へ到達するサプライチェーン侵害は、理論から反復的なパターンへと移りました。人工知能はいまや競争の双方の側に位置し、攻撃者にとっては説得力あるフィッシングの作成と脆弱性の選別を加速させ、防御者にとっては人間が及ばない規模でシグナルを相関させることを助けます。これらは第一原則を置き換えるものではなく、それを適用しなければならない速度を高めているのです。

優れたセキュリティアーキテクチャは、互いに補強し合う少数の原則の上に成り立ちます。多層防御は最も古く、いまなお最も重要です。いかなる単一の統制も荷重を一手に担うべきではなく、どの層が破られても重要なものが露出しないようにします。ネットワークセグメンテーション、アイデンティティ、堅牢化、監視、データ保護の各層を配置し、一つを突破した攻撃者がなお次の層に直面するようにします。これは冗長性のための冗長性ではありません。防御者に時間を稼がせ、検知が依拠する摩擦と雑音を生み出すのです。

ゼロトラストは、境界のない世界に適用された同じ本能の現代的な表現です。その規則は述べるのは簡単ですが、実装するのは骨が折れます。決して暗黙に信頼せず、常に明示的に検証すること。ゲートウェイで一度だけではなく、リクエストごとにアイデンティティ、デバイスの状態、コンテキストを評価します。最小権限を付与すること。人間であれ機械であれ、あらゆるアイデンティティは必要なアクセスだけを、必要な期間だけ保持し、理想的には常設ではなくジャストインタイムで払い出します。積極的にセグメント化すること。一つのワークロードでの足がかりが、IT環境全体での自由な移動につながらないようにします。そして侵害を前提とすること。攻撃者がすでに内部にいるかのように設計し、目標を全員を締め出すことから、単一の侵害が到達できる範囲とそれが潜伏できる時間を限定することへと組み替えます。侵害を前提とする姿勢こそが、アーキテクチャを封じ込め、影響範囲の縮小、豊富なテレメトリへと向かわせます。侵入の予防のみを試みる設計は、予防が失敗する日への答えを持たないからです。転送中および保存時のデータの暗号化、堅牢な鍵管理、そして改ざんに強い包括的なログ記録が、これらの原則を願望ではなく観測可能かつ強制可能なものにする結合組織です。

ほとんどの侵害は、風変わりな技法の結果ではありません。それらはシステムがどのように設計され運用されたかにおける予見可能な弱点を突くものであり、同じ失敗の型があらゆる規模の組織で繰り返し現れます。

フラットなネットワーク。あらゆるものがあらゆるものに到達できるとき、一台の侵害されたデバイスが環境全体の侵害になります。セグメンテーションの欠如は、インシデントと大惨事とを分けるものです。攻撃者に横方向の移動をただで手渡してしまうからです。暗黙の信頼と常設権限。アカウント、サービスアイデンティティ、連携は、決して取り消されない権限を蓄積し、管理者権限は盗まれるのを待って眠ったまま存在します。恒久的に存在する権限は、いずれ悪用されます。アラート疲れと監視されないテレメトリ。組織は誰も読まないシグナルを生成するツールに投資し、侵入の証拠は、事後の法的調査までけっして精査されないログのなかに眠ります。対処されない検知は検知ではありません。コンプライアンスをセキュリティと取り違えること。監査に合格することは、評価当日に一連の統制が存在したことを証明するのであって、システムが決意した攻撃者に抵抗することを証明するのではありません。証明書を安全の証拠として扱うことは、最も危険な形のセキュリティ演劇の一つです。検証されていない前提。設計は攻撃者ができないことについての思い込みに満ちており、それらの思い込みは、誰かが敵対的に確かめるまでめったに検証されません。一度も攻撃されたことのない統制は、一度も検証されていません。アイデンティティの氾濫。孤立したアカウント、共有された認証情報、忘れられたサービスプリンシパルが、どの図にも現れず誰も所有しない影の攻撃対象領域を形成します。

Nashuaはセキュリティを、調達の作業ではなく、エンジニアリングとガバナンスの規律として扱います。エンゲージメントはまず、本当に重要なものを見定めることから始まります。すなわち、その喪失や破損が組織に真の損害を与える資産、データフロー、プロセスと、それらに現実味をもって関わる具体的な脅威です。その基盤から、私たちは体系的な脅威モデリングを行い、信頼境界と攻撃経路を描き出すことで、最も声の大きい製品の売り込みではなく、証拠によって投資を方向づけられるようにします。その成果は、提案されるあらゆる統制が名前のついたリスクに結びつけられた、見合ったロードマップです。これにより、支出を取締役会や規制当局に対して説明できるようになります。

エシカルハッキングは、その作業を検証する仕方の中心に位置します。私たちのペネトレーションテスターは、有能な敵対者と同じようにシステムに接近し、偵察、悪用、悪用後の各段階を進み、脆弱性が存在するという事実だけでなく、攻撃者がそれで実際に何を達成しうるか、横方向の移動や権限昇格を含めて示します。発見事項は、明確な再現手順、事業への影響、優先順位づけされた是正とともに提供され、私たちは修正が有効であると想定するのではなく、再テストによってそれが持続することを確認します。時点のテストにとどまらず、私たちは攻撃側と防御側の実務者が協働するレッドチームおよびパープルチームの演習を実施し、組織の予防能力とともに、検知し対応する能力も向上させます。私たちは最小権限とフィッシング耐性のある認証を軸にアイデンティティおよびアクセスのプログラムを構築し、セグメンテーションとゼロトラストの適用をアーキテクチャに設計し込み、侵害前提の思考が求める監視と対応の能力を立ち上げます。その意図は一貫して、ツールの棚ではなく、測定され、テストされ、維持可能なセキュリティ態勢をクライアントに残すことにあります。

Nashuaを際立たせるのは、セキュリティの攻撃側と防御側の半分を切り離すことへの拒絶です。多くのサプライヤーは組織に統制を売り、後になって別のサプライヤーがそれらの統制を攻撃し、弱点を列挙します。私たちは両方の視点を同時に保ちます。そのため、システムを設計する仕方は、それをどう破るかによってすでに情報を与えられており、テストする仕方は、それがどう再構築されるかへ直接還元されます。脅威モデルからアーキテクチャへ、エシカルハッキングへ、是正と再テストへと続くその連続性こそが、セキュリティを一連の切り離されたプロジェクトから、一貫し改善し続ける態勢へと変えるものです。

そこには、作業が何を前提としてよいかを変える実務的な帰結もあります。エンゲージメントがまだ存在しない能力を必要とするとき、調達サイクルやベンダーのロードマップを待つ必要はありません。enterprise platformは、エージェンティック・エンジニアリングを通じて、ほぼあらゆる機能を速いペースで受け入れられるよう構築されています。必要なものを平易な言葉で記述して素早く生成しますが、常に確固たるアーキテクチャ原則の範囲内で、厳格な品質保証のもとで行うため、速度が一貫性、セキュリティ、統制を犠牲にすることは決してありません。その効果は単なる便宜ではなく戦略的です。それは内製か購入かの境界線を動かし、選択肢を安価に保ち、アーキテクチャがたまたま棚にあったものへ戦略を曲げるのではなく、戦略にアーキテクチャを従わせます。

その結果は、この規律が求めるとおりに振る舞うセキュリティです。すなわち、実際のリスクに見合い、単一の失敗が致命的にならないよう多層化され、侵害は起こるか否かではなくいつ起こるかの問題だという前提の上に築かれ、敵対者のように考えることを職務とする人々によって継続的に検証されるセキュリティです。それこそが、一連のセキュリティ製品を所有する組織と、決意した攻撃に確かに耐え、予防しきれないインシデントから回復し、いまや何一つ妥協しないことを期待する取締役会、顧客、規制当局に自らの判断を説明できる組織との違いなのです。