セキュリティレーティングが得意なこと
セキュリティレーティングがその地位を得たのには、確かな理由があります。監査する権利のない企業、たとえば候補となる取引先、買収の対象、投資先について、サイバー衛生の状態を素早く比較可能な形で知りたいとき、外部からのレーティングは数秒でそれを与えてくれます。インターネットから観測できるものを走査します。公開され設定に不備のあるサービス、TLSと証明書の管理状態、公開資産へのパッチ適用のペース、漏えいした資格情報、そしてボットネットへの参加といった侵害の兆候です。
多数の取引先を抱えるポートフォリオを仕分けるうえで、これは価値があります。レーティングはどこから見るべきかを教え、質問票なしに最も衛生状態の悪い先を示し、誰かが用紙に記入しなくても継続的に更新されます。スクリーニングと監視のシグナルとしては、これほど安価に同じ役割を果たすものは他にありません。
ブラックボックスという問題
困るのは、レーティングがシグナルではなく判決として扱われたときです。多くのレーティングは非公開のブラックボックスです。手法は開示されず、要素間の重み付けは不透明で、評点の裏にある証拠は部分的で、不完全なインターネット上の名寄せによって帰属され、しばしば古くなっています。企業が、自社のものではない資産を自社に帰属させられていたり、数週間前に是正済みの検出結果がなおスコアを押し下げていたりするのを見つけるのは、珍しいことではありません。
スコアが下がったのに、それを引き起こした具体的で現時点の検出結果を誰も示せないとき、三つのまずいことが起きます。自信をもって異議を唱えられない。効率よく是正できない。そしてその変動が実態なのか、レーティング事業者のデータ由来の見かけ上のものなのか判断できない。たどれない数値は、行動に移せない数値です。
外部からのレーティングが構造的に見えないもの
仮に完全に正確な外部レーティングであっても、実際のリスクを決める要素の大半は見えません。社内のセグメンテーション、IDの統制、検知と対応の能力、そして指摘された検出結果を無害化する代替統制は見えません。事業上の文脈も見えません。公開されているサービスの先にあるのが最重要システムなのか、マーケティング用の小さなサイトなのかも分かりません。
つまり外部からの評点は、よくても外部衛生の指標であって、セキュリティの指標ではありません。インターネット上の衛生は優れているのに社内統制が弱い企業もあれば、外部の衛生は雑然としていても多層防御が堅固な企業もあります。外部の評点を全体像とみなせば、どちらの場合も実際のリスクを取り違えることになります。
透明なスコアリングが変えること
透明なスコアリングは、既定の姿勢を「数値を信じる」から「過程を示す」へと反転させます。スコアに入るすべての入力が見えます。重み付けは隠されるのではなく説明されます。寄与する各検出結果は出所を持ちます。どこから来て、どれくらい新しく、実データか、サンプルか、模擬データかまで示されるため、古い痕跡を現在の事実と取り違える人はいません。そして個々の検出結果からスコアへの影響までの道筋は、端から端まで監査可能です。
実務上の違いは、異議のあるスコアが修正できるスコアになることです。既知の悪用がある脆弱性を抱えた特定の公開サービスのせいで数値が動いた、と分かれば、是正するか、代替統制を追加して記録するか、証拠をもって検出結果に異議を唱えるかを判断できます。透明性は基準を下げるのではなく、基準を見えるようにします。それこそが、監査人にも、規制当局にも、自社の取締役会にもスコアを説明できるようにするものです。
レーティングは託宣ではなく、入力として使う
成熟した姿勢は、セキュリティレーティングを崇めることでも切り捨てることでもありません。複数ある入力の一つとして使うことです。そして透明性を求めてください。証跡までたどれないスコアは統制ではなく、噂にすぎません。さらに、外部からの視点を内部の証跡と組み合わせてください。自社の資産一覧、統制の状態、エクスポージャーの分析、悪用可能性のシグナル。いずれも出所を伴わせます。
外部からのレーティングは、インターネットから自社がどう見えるかを教えます。内部からの透明なスコアリングは、自社の統制とエクスポージャーについて実際に何が真実かを教えます。すべての数値の背後に見える証跡を伴えば、この二つは、信頼できて、かつ説明もできる態勢をもたらします。それは、どんな単独のブラックボックスの評点にも提供できないものです。