ベルギーは4月にNIS2を国内法に移行した最初のヨーロッパの国となった。 「NIS2法」この点において、彼らは政治的不安定さのために体制転換のプロセスが遅れていたフランス、オランダ、ドイツの近隣諸国とは、良い意味で一線を画していた。
並行して、NIS2準拠の執行を担当するベルギーのサイバーセキュリティセンター（CCB）は、 Safeonweb@workこのイニシアチブは、組織の規模と事業分野に基づいて、法律で義務付けられているすべての措置を詳細かつ実践的に規定する枠組みを示しています。
CCBの勧告を精査した結果、このブログ記事では、以下の主要な要件を分析します。 アイデンティティセキュリティこれは、ベルギーのすべての「必須」および「重要」な組織が実施する必要があるものです。また、どのように Silverfort これらの組織がこれらの措置を遵守するのを支援できます。
CCBのアプローチは主に NIST CSFフレームワーク情報システムのセキュリティを確保するための5つの主要機能（識別、保護、検出、対応、復旧）を特定しています。ベルギーのNIS2法では、各機能への投資を組織の規模と重要性に応じて義務付けています。また、Safeonweb@workフレームワークには、情報システムのセキュリティを設計・強化するための効果的な対策を定めたISO27001およびISO27002規格への言及が多数見られます。これらの規格は世界的に認知されており、あらゆる組織がサイバーセキュリティプログラムを構築するための強固な基盤となっています。
保護性能 NIS2の要件
NISTフレームワークの5つの機能のそれぞれにIDコンポーネントがあります。しかし、CCBの勧告では、保護と検出に関する章が明らかに最も関連性が高いです。前者は、ID管理に特化したセクション（PR.AC）全体を含んでいます。 認証およびアクセス制御。ID管理の専門家は、ディレクトリとユーザーのセキュリティ保護に関する主要な対策を本書で見つけることができるでしょう。
Safeonweb@work文書の付属書Aに記載されている「基本」保証レベル（規模や重要度に関わらずNIS2の対象となるすべての組織に適用）において、「主要」対策の半分以上がまさにPR.ACセクションから来ていることは注目に値する。したがって、情報システムのセキュリティ確保に関するCCBの枠組みにおいて、アイデンティティがどの程度重視されているかを強調することは難しい。
したがって、NIS2の対象となるすべての事業体に求められる主要な措置は以下のとおりです。
- ユーザーと認証情報の適切な管理、アクセス権限のプロビジョニングと取り消し、定期的な監査、強力な 認証 重要システムにおける、および不審な行動の検出（PR.AC-1）。
- リモートアクセスとSaaSアプリケーションを保護する MFA (PR.AC-3)
- 実装 最小特権 アクセス権限、特に機密性の高いシステムや重要なシステムへのアクセス権限、および個人アカウントと管理アカウントの分離（PR.AC-4）。
- ネットワークセキュリティと重要システムのセグメンテーション（PR.AC-5）。
また、「重要」または「必須」保証レベルに該当する組織に対しては、追加の措置が義務付けられています（付属書BおよびC）。これには、リモートアクセスに関する識別およびガバナンスに関する要件（PR.AC-3）、主要な外部および内部境界周辺の接続および通信に対するより厳格な監視（PR-AC-5）、文書化されたリスク評価、および各トランザクションのリスクに見合ったアクセス制御の実装（PR.AC-7、「必須」保証レベルのみ）が含まれます。
具体的に言うと、これらの措置は何を意味するのでしょうか？答えは、各組織の規模と重要度によって異なります。しかし全体として、CCBのアプローチは実用的で、ビジネス環境ですでに一般的になっているツールのみを必要とします（IAM プラットフォーム、ファイアウォール、多要素認証（MFA）など）。レガシーシステムを運用している重要な組織は、最新のセキュリティ製品とネイティブに互換性がないため、追加投資が必要になる可能性が高いでしょう。それ以外では、サイバーセキュリティの観点から見て遅れている企業だけが、真に新しいテクノロジーを導入する必要があるでしょう。
PR.AC セクション以外にも、アクセス制御は、保存データの保護 (PR.DS-1)、組織資産の紛失、誤用、損傷、盗難の防止 (PR.DS-3)、データ漏洩の防止 (PR.DS-5) を目的とした対策にも含まれています。定期的な監査も推奨されています。 Active Directory 明示的に記載されている（PR.DS-5） – 攻撃経路を開く可能性のある権限設定の誤りを検出するため。
最後に、重要システムの完全性を維持すること（PR.DS-6）とリモートメンテナンスに伴うリスクを軽減すること（PR.MA-2）に関する要件は、特権アクセスに対するセッション記録を暗示している可能性が高い。
検出 NIS2の要件
Safeonweb@workイニシアチブの「検出」機能には、ID分野に関連する複数の記事も含まれています。当然のことながら、これらの記事は「保護」機能に示された推奨事項と非常によく似ています。
イベントデータ（DE.AE-1および3）の集約は、まず第一に「重要な」対策として位置づけられ、特に重要システムには重点が置かれる。このデータは、物理的なアクセス状況やユーザー／管理者からの報告など、複数の情報源から収集されるべきである。
組織は、内部の従業員と外部のサービスプロバイダーの両方から、重要なシステムへの不正なローカル、ネットワーク、またはリモート接続を監視することが特に求められています (DE.CM-1) (DE.CM-3、DE.CM-6、および DE.CM-7)。これらの取り組みには、ネットワークおよびエンドポイントレベルでの監視ツールが必要です。アクセスポイントとドメインコントローラーを含む包括的な保護プラットフォームを使用して、EDR と組み合わせることで、さらに一歩進むことを提案する人もいるかもしれません。 ITDR.
全体として、これらの対策は、データ漏洩やデータ破損を阻止するために設計された、悪意のある活動に対する「保護」機能（PR.DMおよびPR.MA）で提示された要件を反映しています。
どのようにすることができます Silverfort NIS2準拠に関するサポートが必要ですか？
Silverfort これらの要件の多くを満たすのに役立ちます。わずか1か月で、インフラストラクチャに大きな変更を加えることなく、当社のプラットフォームは以下のことが可能です。
- PR.AC-1 :
- すべてを特定する 特権アカウント 複数のディレクトリ内で
- すべての監査 サービスアカウント ハイブリッド口座
- 識別する 影の管理者
- 共有アカウントを特定する
- 使用されていないアカウントを特定する
- 古いパスワードを使用しているアカウントを特定する
- MFA (Microsoft Authenticator、Okta、Ping、 デュオYubicoなど）または動的なリスクベースのポリシー
- PR.AC-3 :
- 不審なリモートアクセス試行を警告またはブロックする
- リモート アクセス (RDP、SSH)、コマンドライン インターフェイス (Powershell、 PsExecは（WMI）、およびMFAを備えたSaaSまたはオンプレミスアプリケーション
- PR.AC-4 :
- すべての汎用アカウントおよび共有アカウントを特定して監視する
- ファイル共有、サーバー、アプリケーション、データベースなどへのすべての認証を識別および監視します。オンプレミス環境でも監視可能です。
- すべての 特権アカウントシャドウ管理者やドメイン管理者を含む
- 階層化原則に違反するすべての認証（管理タスクに個人アカウントやデバイスを使用するなど、あるいはその逆の場合）を検出および/またはブロックする。
- 違反するすべての認証を検出および/またはブロックする 最小特権
- 管理者アカウントとツールに対して、地理的要因、タイミング、行動要因を考慮した適応型条件付きアクセス ポリシーを設定する。
- PR.DS-5 :
- オンプレミス環境を含むすべての重要なシステムおよびアプリケーションに対して、きめ細かなアクセス ポリシーを確立します。
- オンプレミスを含む重要なシステムへのすべての悪意のあるアクセスを監視し、ブロックします。
- 監査委員会 Active Directory 権限の拡大や設定ミスを検出する
- PR.DS-7 :
- 本番環境またはテスト環境の整合性を侵害する認証をブロックする
- 管理者アカウントの権限を特定の環境またはアプリケーションに制限する。
- PR.MA-2 :
- 外部プロバイダーの特定の環境またはアプリケーションへのアクセス権を監視し、制限する
- 外部プロバイダーやパートナーからのリモートアクセスを保護する MFA
- 外部プロバイダーまたはパートナーアカウントの乗っ取り、あるいはその他の不審な行動をすべてブロックします。
- DE.AE-1 :
- すべてログ Active Directory 認証情報（送信元、送信先、プロトコル、タイムスタンプを含む）
- すべての動的リスクスコアを計算します Active Directory アカウントと認証
- DE.CM-1 :
- 不正な認証を検出してブロックします Active Directory または他の互換性のあるディレクトリ (PAM、RADIUS、 Entra IDOkta、Pingなど）。
- 人間または サービスアカウント 異常な行動を示す
- DE.CM-7 :
- 重要システムへの不正アクセスを検知し、阻止する。
- 重要なシステムへの不正なソフトウェアアクセスを検知し、ブロックする。
期待を超える価値はあるのだろうか？
Safeonweb@work イニシアチブは、情報システムのセキュリティ強化に貢献する追加措置を提案することが多い（「検討する」という言葉を頻繁に使用して）が、必ずしも義務付けてはいない。また、他の機関が推奨するいくつかのシンプルで一般的な衛生対策を省略している。 フランスのANSSIより強く主張してきた。
このカテゴリでは、重要なシステムやユーザーの階層化について言及できます。CCBは、個人用と管理用のタスクに別々のアカウントを使用すること（PR.AC-4）と、ネットワークのセグメンテーション（PR.AC-5）を要求しています。しかし、パス・ザ・ハッシュなどの特定の種類の攻撃を回避するのに役立つ管理操作専用のワークステーション（PAW）やオペレーティングシステムを義務付けてはいません。
別の例として、CCBは自動化プロセスにサービスアカウントを使用することを推奨しています（PR.AC-1）。しかし、管理者が自身のアカウントを使用して自動化タスクを実行することを禁止しているわけではなく、また、サービスアカウントを本来の目的から逸脱したアクションに使用することも禁止していません。
これらはベルギーの組織、特にNIS2の下で「重要な」組織にとって機会損失となる可能性があり、将来の攻撃者がこれをうまく悪用する可能性がある。CCBは明らかにセキュリティ上の利点と ファイナンシャル あるいは、各決定に伴う運用コスト。それでもなお、この結果は堅固であり、これまでセキュリティ対策を怠ってきた多くの地元組織にとって明らかに基準を引き上げるものである。しかし、近年増加しているより高度なサイバー攻撃から国を完全に守ることはできないだろう。
方法について詳しく知りたい Silverfort NIS2のIDセキュリティ面への対応をお手伝いできますか？ 通話をスケジュールする 当社の専門家にご相談いただくか、こちらのフォームにご記入ください。 価格見積もり.
