AI時代のNIS2コンプライアンス：従来のサイバーセキュリティでは不十分である理由

ネットワークおよび情報セキュリティ指令2（NIS2指令）の導入は、近年行われた欧州のサイバーセキュリティ法に対する最大の変更の1つです。組織はもはや、サイバーセキュリティをIT部門だけの責任と見なすことはできません。 

現在、経営陣は適切なセキュリティ制御を確実に実施する責任を直接負い、重大なインシデントはわずか24時間以内に報告する必要があります。

同時に、AIはサイバー攻撃の展開方法を根本的に変化させました。

かつては攻撃者が脅威を生み出すのに数日から数週かかりましたが、今では数分で攻撃を開始できるようになっています。自動偵察、AI支援型フィッシング、ますます高度化するランサムウェアキャンペーンにより、組織ははるかに短い時間で攻撃の検知と封じ込めを行わなければならなくなりました。

これは、NIS2の対象となる企業に難しい問題をつきつけます。

重大なインシデントになる前に侵害を封じ込められることをどのように実証しますか？

多くの組織は、最初は新たなコンプライアンスの取り組みとしてNIS2への対応に着手します。

しかし、この指令は、単に多くのドキュメントを導入するのではなく、運用レジリエンスを向上させるように設計されています。

もはや、攻撃を防止することだけに重点が置かれているわけではありません。重要なサービスを提供する組織の経営機関は、次のことを行えることを主張するだけでなく、実証できなければなりません。

• インシデントの影響を最小化する

• 重要なサービスを保護する

• サプライチェーンのリスクを管理する

• 事業継続性を維持する

• インシデント発生時に何が影響を受けたかを迅速に把握する

また、NIS2では、経営機関はコンプライアンス違反に対する責任を負わされる可能性があります。サイバー脅威がマシンスピードで展開することが増えている環境では、これらの要件が従来のセキュリティモデルに大きなプレッシャーをかけています。 

Akamai Guardicore Segmentationは、まさにこのシナリオに対応するように構築されています。セキュリティチームと経営陣は、インシデントが実際にどのように封じ込められているかを示す可視性を得ることができます。

組織は、重要なシステムに拡散する前にセキュリティ制御によってインシデントを能動的に封じ込めることができるという証拠を示す必要があります（第21条1項および第21条2項f）。

NIS2は、組織自体のインフラ以外にも責任範囲を拡大します（第21条2項d）。セキュリティポスチャ全体の一部として、サードパーティサプライヤーやパートナーも管理する必要があります。例えば、侵害されたベンダーの認証情報だけでは、重要なシステムに到達できないようにすることがこれに含まれます。 ネットワーク境界だけでなく接続レベルで認証を適用する多要素認証などの機能は、まさにこのシナリオに対応するよう設計されています。

セキュリティ制御は、不要な事業中断や複雑さを招くことなく、レジリエンスを強化するものでなければなりません（第21条2項c）。

個人の説明責任と第23条に定められた厳格な報告期限（24時間以内の早期警告、72時間以内のインシデント通知、1か月以内の完全な報告）の組み合わせにより、組織はインシデントの範囲とビジネスへの影響を即座に可視化する必要があります。

これらの課題に対応するためには、従来の境界セキュリティや定期的なコンプライアンスの取り組みだけでは不十分です。

継続的な可視性と迅速な封じ込めが必要です。

Akamai Guardicore Segmentationは、ソフトウェア定義かつ資産中心のプラットフォームであり、AI時代向けに設計されています。

• Exposure Analysis and Response（ExAR）機能は、攻撃者が悪用する前に攻撃経路を継続的にマッピングします。 

• 知見クエリー機能により、チームは自然言語検索を使用して、侵害の影響範囲を即座に調査できます。 

• Generative Policy Engineは、ポリシー生成を自動化して、侵害された認証情報やワークロードが到達できる範囲を大幅に制限することで、ラテラルムーブメントを抑制します。 

これにより、組織は何が接続されているかを把握し、攻撃者が移動できる範囲を制限し、インシデントの影響を迅速に実証することができます。