米IBMは、2016年にセキュリティインシデント対応ソリューションを手掛けるResilient Systemsを買収した。現在はIBM Security部門となったResilient 最高経営責任者（CEO）を務めるのJohn Bruce氏は、「企業セキュリティの重点テーマはこれから“レスポンス”の段階に移行し、インシデントへの対応がますます求められる」と話す。
IBM Resilient 最高経営責任者（CEO）のJohn Bruce氏
Resilientは、2011年に米国マサチューセッツ州ケンブリッジで設立された。共同創設者でもあるBruce氏は、その理由を「セキュリティ市場に防御や検知のテクノロジが溢れていたものの、インシデント対応に特化したものはなかった」と振り返る。当時は標的型攻撃による情報漏えい事件が増加し始め、インシデントの検知に着目したSIEM（セキュリティ情報イベント管理）技術が脚光を浴びた。同時期にIBMは、SIEMベンダーのQ1 Labs（現IBM QRadar）を買収している。
Resilientのソリューションでは、QRadarなどのSIEM、アンチウイルスやファイアウォール、IDS/IPS（侵入検知／防御システム）といったセキュリティ製品が提供するさまざまデータやイベントを集約し、検知、分析調査、対処といったインシデント対応フローに基づく作業の実行とプロセスの管理を行う。
主なユーザーはセキュリティ監視センター（SOC）といった場でインシデントに対応しているリサーチャーやアナリスト、エンジンニアなどであり、彼らの業務を効率化するためのツールとなる。最近では「セキュリティ・オーケストレーション（あるいはセキュリティ・オーケストレーター）」とも呼ばれ始めている。
Bruce氏は、サイバーセキュリティには、物理的なセキュリティと同じ3つの基本原理、「Prevention（防止）」「Detection（検知）」「Response（対応）」があると話す。「サイバーセキュリティにとって、この中で最も重要なのはレスポンスであり、ここにテクノロジを提供すれば状況を一変させることができる」（Bruce氏）
Bruce氏によれば、「防止」や「検知」もセキュリティの脅威から組織を守る上で欠かせないが完璧ではなく、適切かつ迅速な「対応」こそが脅威の影響を食い止めることにつながる。しかし現状は、SOCの担当者が膨大な数のアラートやインシデントの処理に追われ、その作業も属人的なものになっている。深刻な影響につながりかねないインシデントの兆候を見逃す恐れがあり、万一重大な事態が起きてしまえば経営層から事業部の現場まで巻き込んで対応しなければならなくなる。
そのようなインシデント対応の現状をテクノロジで打開するのが、Resilientの狙いだという。標準化したインシデントの対応手順に合わせることで、作業時間の大幅な短縮、担当者間の円滑なコミュニケーション、コンプライアンスや規制への準拠といったことが可能になるとする。具体的には、米国国立標準技術研究所（NIST）のサイバーセキュリティに関する各種フレームワークや、PCI DSSなど業界ごとのセキュリティ基準、国や地域の政府当局が定める規定などをもとに標準化したインシデント対応手順が用意され、ユーザーはこの手順に基づいてステップ・バイ・ステップで作業する。ユーザーの環境に合わせて設定もカスタマイズでき、連携するSIEMなどのセキュリティ製品は100種類以上あるという。
インシデントの対応では、複雑なマルウェアの構造を分析したり、侵入範囲を特定したりといった現場の作業だけでも困難を極めるが、より過酷なのは、時間との戦いに組織全体で追い込まれる状況だ。外部の顧客や取引先にも被害が及ぶ状況はできる限り回避し、一刻も早い収束が必須になる。事態の公表が遅いと世間から非難され、信用を失い、ビジネスに影響する。
Bruce氏は今後、IBMのコグニティブ技術「Watson」を組み合わせた脅威解析の効率化や、将来的にはインシデント対応にまつわる作業の多くを自動化させていく考えだという。「IBM Securityの考え方は、人の免疫システムのような自己回復ができるサイバーセキュリティの実現だ。Resilientがその一翼を担い、この世界を変えたい」と語る。
