はじめに – なぜこのドメインが重要なのか？
CISSP学習者の皆さん、こんにちは！
これまでのドメインで、セキュリティの基本的な考え方、システム設計、ネットワーク保護、そしてアクセス管理といった幅広い知識を学んできました。しかし、どんなに優れたセキュリティ対策を設計・導入しても、それを日々の運用で適切に維持・管理できなければ、その効果は半減してしまいます。
CISSPドメイン7「セキュリティ運用」は、まさに情報システム環境のセキュリティを継続的に維持・管理していくための様々な活動に焦点を当てたドメインです。
このドメインで学ぶ内容は、システム監視、インシデント対応、パッチ適用、バックアップ、物理セキュリティ、さらにはフォレンジック調査といった、現場のセキュリティ担当者が日常的に直面する課題や業務に深く関わっています。
このドメインを理解することは、単に試験に合格するためだけでなく、実際の現場で「どうすればシステムを安全に稼働させ続けられるか」という、非常に実践的な視点を養う上で不可欠です。
この記事では、ドメイン7の主要なテーマを、親しみやすいトーンで分かりやすく解説していきます。安全な運用体制を構築・維持するための知識を一緒に深掘りしましょう！
ドメイン7の主要なテーマを深掘り
セキュリティ運用は多岐にわたりますが、主な領域は以下の通りです。
1. セキュリティ運用の基本原則
日々の運用においても、セキュリティの基本的な考え方を適用することが重要です。
運用のためのセキュリティ原則（最小権限、職務分掌など）
- 最小権限（Principle of Least Privilege）：運用担当者や自動化されたツールが、その業務遂行に必要最低限の権限のみを持つようにします。例えば、サーバーの監視担当者は読み取り権限のみを持ち、設定変更権限は持たないようにするなどです。
- 職務分掌（Separation of Duties）：セキュリティに関わる重要な運用プロセス（例：システムの変更要求、変更の承認、実際の変更作業）を複数の担当者やチームに分割することで、一人による不正や誤操作を防ぎます。
ニーズ・トゥ・ノウ（Need-to-Know）と最小権限の適用
情報は、その業務を遂行するために「知る必要がある」人にだけアクセスを許可するという原則（Needs-to-Know）は、運用における最小権限の具体的な適用方法とも言えます。運用担当者ごとに、担当するシステムや業務範囲に応じてアクセス権限を細かく設定します。
2. セキュリティ監視とロギング
システムやネットワークで何が起きているかを把握し、異常を早期に発見するために不可欠な活動です。
ログの種類と重要性
- システムログ、アプリケーションログ、セキュリティログ、ネットワークログ（ファイアウォール、IDS/IPSなど）といった様々な種類のログが生成されます。
- これらのログは、セキュリティイベントの検出、インシデント発生時の原因究明、不正活動の追跡、監査証跡として非常に重要です。
ログ管理システムとSIEM
- ログ管理システム：組織内の様々なシステムから生成されるログを一元的に収集・保管します。
- SIEM（Security Information and Event Management）：ログ管理システムが収集したログやセキュリティイベントを集約し、相関分析を行うことで、単一のログだけでは気づけない高度な攻撃や異常なパターンを検出します。リアルタイムでのアラート生成機能も持ちます。
リアルタイム監視とアラート
SIEMや監視ツールを使用して、セキュリティイベントをリアルタイムで監視し、設定されたルールに合致する異常な活動が検知された場合に、担当者に即座にアラートを送信する仕組みを構築・運用します。これにより、インシデントへの対応時間を短縮できます。
3. インシデント対応と管理
セキュリティインシデント（不正アクセス、マルウェア感染、サービス停止など）が発生した場合に、被害を最小限に抑え、迅速に復旧するためのプロセスです。
インシデント対応プロセス（準備、特定、封じ込め、根絶、復旧、事後分析）
インシデント対応には、確立されたプロセスに従うことが重要です。
- 準備（Preparation）：インシデント対応チーム（CSIRTなど）の編成、対応計画・手順書の策定、ツールの準備、訓練などを事前に行います。
- 特定（Identification）：セキュリティイベントを監視し、実際にインシデントが発生したことを検知・確認します。インシデントのタイプ、影響範囲などを初期分析します。
- 封じ込め（Containment）：インシデントによる被害の拡大を食い止めるための措置を講じます。感染システムの隔離、通信の遮断などです。
- 根絶（Eradication）：インシデントの根本原因（例：マルウェア、脆弱性）を特定し、システムから完全に排除します。
- 復旧（Recovery）：システムを安全な状態に戻し、サービスを再開します。パッチ適用、システムの再構築、バックアップからのリストアなどを行います。
- 事後分析と教訓（Lessons Learned）：対応プロセス全体を振り返り、何がうまくいき、何が課題だったかを分析します。今後のインシデント対応計画やセキュリティ対策の改善に活かします。
インシデントの種類とトリアージ
マルウェア感染、不正アクセス、サービス妨害（DoS）、データ漏洩、物理セキュリティ侵害など、様々な種類のインシデントを想定します。インシデント発生時には、その深刻度や影響度に基づいて対応の優先順位を決定する「トリアージ」を行います。
4. 予防的コントロールの運用
脆弱性を排除し、システムを安全な状態に保つための継続的な活動です。
パッチ管理と脆弱性管理
- パッチ管理：OSやアプリケーションのセキュリティパッチをタイムリーに収集、テスト、適用するプロセスです。多くの脆弱性は既存のパッチで修正可能です。
- 脆弱性管理：定期的な脆弱性スキャンにより、システムに存在する新たな脆弱性を特定し、リスク評価に基づいて修正計画を策定・実行する継続的なプロセスです。
構成管理と変更管理（セキュリティ観点）
- 構成管理：システムやデバイスの標準的で安全な構成（セキュリティベースライン）を定義し、維持管理します。
- 変更管理：システムへのすべての変更（設定変更、ソフトウェアアップデートなど）を、セキュリティへの影響がないかレビューし、承認された手順に従って実施するプロセスです。不正な変更や意図しない設定ミスを防ぎます。
セキュリティハードウェア/ソフトウェアの運用保守
ファイアウォール、IDS/IPS、アンチウイルスソフト、VPN装置などのセキュリティ機器やソフトウェアが、常に最新の状態に保たれ、正しく機能しているかを確認・維持します（例：アンチウイルスシグネチャの更新、ファイアウォールルールのレビュー）。
5. リソース保護
情報資産そのものを適切に保護・管理します。
データ保護（DLP, 暗号化の運用）
機密データが不正に持ち出されたり、漏洩したりしないように保護します。DLP（Data Loss Prevention）システムの運用や、データの暗号化（保存時、通信時）の鍵管理といった運用業務が含まれます。
メディアの取り扱いとサニタイズ
ハードディスク、USBメモリ、バックアップテープなどの記憶メディアの取り扱い、保管、そして不要になった際の安全な消去（サニタイズ）に関する手順を定めます。
- クリアリング（Clearing）：データを上書きするなどして、一般的な方法では復旧できないようにする。
- パージング（Purging）：より強力な方法（磁気消去など）でデータを消去し、ラボでの専門的なツールを使っても復旧が極めて困難にする。
- デストラクション（Destruction）：物理的に破壊（シュレッダー、溶解など）して、データを完全に復旧不可能にする。
メディアの機密性に応じて、適切なサニタイズ方法を選択する必要があります。
資産管理とセキュリティベースライン
組織内のすべての情報資産（サーバー、PC、ソフトウェア、データなど）を正確に把握し、それぞれの資産が定義されたセキュリティベースライン（最小限満たすべきセキュリティ設定）を満たしているかを運用を通じて確認します。
6. 災害復旧と事業継続（運用観点）
自然災害や大規模なシステム障害などの非常事態が発生した場合に、システムを復旧し、事業を継続するための計画の運用と維持管理に焦点を当てます。
バックアップとリストア戦略
定期的なバックアップの実施、バックアップデータの安全な保管（オフサイト保管など）、そして最も重要な**リストア（復旧）が可能であることの定期的なテスト**を行います。完全バックアップ、差分バックアップ、増分バックアップなどの違いを理解します。
災害復旧計画（DRP）と事業継続計画（BCP）の運用テスト
策定されたDRP（システムの復旧に焦点を当てる）とBCP（事業活動全体の継続に焦点を当てる）が、実際に機能するかを定期的にテストします。
- 机上訓練（Tabletop Exercise）：計画を読み合わせ、問題点や不明点を議論します。
- ウォークスルー（Walkthrough）：手順に沿って実際に動いてみます。
- シミュレーション（Simulation）：本番環境に似た環境で、限定的な範囲でテストを行います。
- 実地訓練（Full-Interruption Test）：実際のシステムを停止させて、災害時と同様の手順で復旧を試みます。最もコストとリスクが高いですが、最も実践的なテストです。
冗長性と回復サイト
システムの可用性を高めるための冗長化対策や、災害発生時にシステムを復旧させるための代替サイト（ホットサイト、ウォームサイト、コールドサイト）の管理・運用が含まれます。
7. 物理セキュリティと環境セキュリティ
情報資産が保管されている物理的な場所のセキュリティも運用管理の重要な一部です。
サイトと設備のセキュリティ（境界、アクセス制御）
- 建物の敷地（境界）のセキュリティ（フェンス、照明、警備員）。
- 建物自体のセキュリティ（頑丈な壁、窓、扉）。
- データセンターやサーバー室といった重要エリアへの**物理的な入退室管理**（鍵、カードリーダー、生体認証、マン・トラップ）。
- 監視カメラ（CCTV）によるモニタリング。
環境制御（火災、水害、温度、電力）
設備室の安全性維持のための環境制御も運用に含まれます。
- 火災対策：火災報知システム、消火設備（水、ガス消火剤など。機材への影響が少ないガス系消火設備がデータセンターでは好まれる）。
- 水害対策：漏水検知センサー、適切な排水設備。
- 温度・湿度管理：機器の正常稼働と寿命維持のための空調管理。
- 電力供給：UPS（無停電電源装置）や非常用発電機による安定した電力供給。
8. 法的規制、調査、コンプライアンス（運用観点）
セキュリティ運用は、様々な法的要件や規制の遵守を求められます。
証拠保全とチェーン・オブ・カストディ
セキュリティインシデントや不正行為に関する調査において、証拠となるデータ（ログ、ファイル、ディスクイメージなど）は、改ざんや破損がないように適切に収集・保管される必要があります。**チェーン・オブ・カストディ（Chain of Custody）**は、証拠の収集時点から裁判などで提出されるまでの管理記録（誰が、いつ、どこで、どのように証拠を扱ったか）を指し、証拠の信頼性を担保するために非常に重要です。
デジタルフォレンジックの基本プロセス
コンピューターやデジタルメディアから法的な証拠を収集・分析するプロセスです。
- **収集（Collection）：**証拠となるデジタルデータを改変しないように取得します（ディスクイメージングなど）。
- **検査（Examination）：**取得したデータから関連性のありそうな情報を抽出します。
- **分析（Analysis）：**抽出した情報を解釈し、インシデントや不正行為の内容を明らかにします。
- **報告（Reporting）：**調査結果を詳細かつ分かりやすくまとめます。
運用における法的・規制要件の遵守
セキュリティ運用活動（例：監視、ログ記録、データ保管）が、組織に適用されるプライバシー保護法、データ保持規制、業界標準などの法的・規制要件に準拠していることを確認し、維持します。
まとめ
CISSPドメイン7「セキュリティ運用」は、構築されたセキュリティを「生き物」として捉え、日々のケアを通じてその健全性を維持し、万が一の事態にも適切に対応するための知識が詰まったドメインです。
ログ監視、インシデント対応、脆弱性管理、バックアップ・リカバリ、物理セキュリティ、そしてフォレンジックといった内容は、ITシステムの安定稼働と情報保護に直接関わる、非常に実践的かつ重要なものです。
特に、インシデント対応の各フェーズ、災害復旧計画のテスト種類、メディアサニタイズ方法、そして証拠保全におけるチェーン・オブ・カストディといった具体的な知識は、試験でも頻出する可能性が高いです。これらの概念を、実際の運用シーンをイメージしながら学習すると理解が深まります。
このドメインの学習のポイント
- セキュリティ運用のための基本原則（最小権限、職務分掌、Need-to-Know）を理解する。
- ログの重要性、ログ管理システム、SIEMの役割を把握する。
- インシデント対応プロセスの各フェーズ（準備、特定、封じ込め、根絶、復旧、事後分析）の内容と順序を覚える。
- パッチ管理、脆弱性管理、構成管理、変更管理が運用でどのようにセキュリティを維持するかを理解する。
- メディアサニタイズの主な方法（クリアリング、パージング、デストラクション）の違いを説明できるようになる。
- バックアップ戦略、DRP/BCPテストの種類（机上訓練、実地訓練など）、回復サイト（ホット、ウォーム、コールド）の特徴を理解する。
- 物理セキュリティ（境界、アクセス制御）と環境制御（火災、水、温度、電力）の具体的な対策を知る。
- 調査における証拠保全、チェーン・オブ・カストディ、デジタルフォレンジックの基本プロセスを理解する。
- 単なる運用手順を覚えるだけでなく、「なぜこの運用が必要なのか」「この運用がどのようなリスクを軽減するのか」という理由を考える。
これらのポイントを意識して学習に取り組むと、ドメイン7の内容がより体系的に整理されるはずです。
演習問題に挑戦！
それでは、ドメイン7の理解度を確認するための演習問題に挑戦してみましょう。解説を参考に、知識を定着させてください。
問題
Q1: セキュリティインシデントが発生した際、インシデント対応プロセスのうち、被害の拡大を食い止めるための最初の行動はどのフェーズにあたりますか？
1. 特定（Identification）
2. 根絶（Eradication）
3. 封じ込め（Containment）
4. 復旧（Recovery）
Q2: 不要になったハードディスクのデータを、一般的なツールでは復旧できないように上書きなどの手法で消去することは、メディアサニタイズのどの方法にあたりますか？
1. クリアリング（Clearing）
2. パージング（Purging）
3. デストラクション（Destruction）
4. フォーマット（Formatting）
Q3: データセンターやサーバー室といった物理的な重要エリアへの入退室管理において、最も高いレベルの認証精度を提供できるコントロールタイプはどれですか？
1. 鍵と錠前
2. カードキー
3. 警備員による目視確認
4. 生体認証スキャナー
Q4: データセンターにおける火災対策として、電子機器への損害を最小限に抑えるために最も一般的に推奨される消火システムの種類はどれですか？
1. スプリンクラーシステム（水）
2. 泡消火システム
3. ガス系消火設備（例：不活性ガス、ハロカーボン）
4. 粉末消火器
Q5: 策定された災害復旧計画（DRP）や事業継続計画（BCP）が、実際の非常事態で有効に機能するかを確認するために最も実践的で効果的なテスト手法はどれですか？
1. 机上訓練（Tabletop Exercise）
2. 文書レビュー
3. 実地訓練（Full-Interruption Test）
4. ウォークスルー（Walkthrough）
Q6: セキュリティインシデント調査において収集されたデジタル証拠の信頼性（改ざんや破損がないこと）を法的に証明するために、証拠の収集から提出までの取り扱いを記録した文書やプロセスは何と呼ばれますか？
1. 証拠リスト（Evidence Log）
2. タイムスタンプ（Timestamp）
3. デジタル署名（Digital Signature）
4. チェーン・オブ・カストディ（Chain of Custody）
Q7: 組織内の様々なシステムから生成されるセキュリティログやイベント情報を一元的に収集、集約し、相関分析を行うことで、高度な脅威を検出するためのシステムはどれですか？
1. IDS（侵入検知システム）
2. ファイアウォール
3. SIEM（Security Information and Event Management）
4. DLP（Data Loss Prevention）
Q8: セキュリティ運用活動におけるパッチ管理の主な目的は何ですか？
1. システムのパフォーマンスを向上させる。
2. 新しい機能を追加する。
3. ソフトウェアの既知の脆弱性を修正する。
4. ライセンス遵守を確認する。
Q9: セキュリティ運用において、システム変更の承認担当者と、実際に変更作業を行う担当者を異なる人物にすることは、セキュリティのどの原則の適用例ですか？
1. 最小権限
2. ニーズ・トゥ・ノウ
3. 職務分掌
4. フェールセーフデフォルト
Q10: 災害復旧計画（DRP）における回復サイトの種類のうち、システム、インフラ、データが完全に複製されており、ほぼ即座に主要サイトの機能を引き継げるサイトはどれですか？
1. ホットサイト（Hot Site）
2. ウォームサイト（Warm Site）
3. コールドサイト（Cold Site）
4. バックアップサイト（Backup Site）
解答と解説
Q1の解答：3
解説：インシデント対応プロセスにおいて、被害拡大を阻止するための最初の措置は「封じ込め（Containment）」です。特定はインシデントの検知・確認、根絶は原因排除、復旧はシステム復旧のフェーズです。
Q2の解答：1
解説：一般的なツールでは復旧できないようにデータを上書きするのが「クリアリング」です。パージングはより強力な専門的ツールでも困難にする方法、デストラクションは物理的な破壊です。
Q3の解答：4
解説：物理的なアクセス制御において、生体認証は個人の身体的な特徴に基づき、偽造が難しいため、最も高いレベルの認証精度を提供できます。
Q4の解答：3
解説：データセンターでは、水損を防ぎ、電子機器への影響を最小限に抑えるために、ガス系消火設備（不活性ガス、ハロカーボンなど）が一般的に推奨されます。スプリンクラーは水損のリスクがあります。
Q5の解答：3
解説：DRP/BCPが非常事態に機能するかを確認する最も実践的で効果的なテストは、実際にシステムを停止させて復旧を試みる「実地訓練（Full-Interruption Test）」です。他の訓練はよりリスクやコストが低いですが、実践度も低くなります。
Q6の解答：4
解説：デジタル証拠の信頼性を担保し、法的な証拠能力を維持するために、収集から提出までの取り扱い履歴を記録するのが「チェーン・オブ・カストディ（Chain of Custody）」です。
Q7の解答：3
解説：様々なソースのセキュリティログを集約・相関分析して高度な脅威を検出するシステムは「SIEM（Security Information and Event Management）」です。IDSはネットワークトラフィックの検知、ファイアウォールは通信制御、DLPはデータ漏洩防止が主な役割です。
Q8の解答：3
解説：パッチ管理の主な目的は、OSやアプリケーションに存在する既知のセキュリティ上の弱点（脆弱性）を修正することです。
Q9の解答：3
解説：重要な業務プロセスを複数の担当者に分割し、一人の人間が不正や誤操作を完遂できないようにする原則は「職務分掌（Separation of Duties）」です。
Q10の解答：1
解説：災害時にほぼ即座に主要サイトの機能を引き継げるほど、システム、インフラ、データが完全に複製され準備されている回復サイトは「ホットサイト（Hot Site）」です。ウォームサイトは準備に時間がかかり、コールドサイトは基本的な設備のみが整っているサイトです。
ドメイン7の演習問題、いかがでしたか？ 「セキュリティ運用」は、日々の地道な活動がシステムの安全性を維持する上でいかに重要であるかを教えてくれます。これらの概念をしっかり理解し、現場で活かせる知識を身につけましょう。
皆さんのCISSP学習を心から応援しています！
コメント