ゼロから構築するセキュリティプログラム

セキュリティ部門の最初の人員として企業に雇用されるのは、独特な混乱です。チケットキューもなければ、確立されたツールセットもなく、通常は予算枠も用意されていません。以下は、最初の90～180日間がどのように進むかの大まかな地図と、実際に成果に結びつくことと、単に生産的に見えるだけのことを示しています。

「何もない」が通常意味すること

企業にセキュリティ機能がないと言う人は、コントロールがゼロという意味はめったにありません。専任の担当者がいないという意味です。エンジニアリングチームはおそらく基本的なAWS IAMポリシーを有効にしていますし、ITはMDMツール経由でいくつかのアンチウイルスをロールアウトしており、財務部門の誰かがお客様の質問を受けたからSOC 2について意見を持っています。最初の仕事は実装ではなく、インベントリです。単一のポリシーを書く前に、すでに実行されているものを把握します。クラウドアカウント（誰も作成したことを覚えていない数がいくつあるか）、ソースコードへの管理者アクセス権を持つSaaSツール、従業員オフボーディングの単一の情報源があるかどうか。これにはスプレッドシートで問題ありません。GRCプラットフォームはまだ優先事項ではありません。

最初の30日間：コントロールより可視性

1週目に利用可能使用ポリシーを書く衝動に抵抗してください。誰も読みませんし、実際のリスクを止めません。代わりに、3つのことに可視性を得てください。

• Identity：ID プロバイダー（Okta、Google Workspace、Azure AD）から完全なユーザーリストをプルして、HR のアクティブな従業員リストと照合します。ゴーストアカウントが見つかります。
• Cloud footprint：AWS の場合は aws organizations list-accounts のようなものを実行するか、GCP の Asset Inventory をチェックして、メモリから名前を付けられる環境の数と比較して、実際に存在する環境の数を確認します。
• コードとシークレットの露出：メインリポジトリに対して gitleaks detect または trufflehog filesystem . を実行します。2年前のコミット履歴にハードコードされた API キーを見つけることはほぼ確実で、価値を示す速い方法です。

調査結果を文書化しますが、誰も開かない40ページのレポートにしないでください。5つの箇条書きがある1ページのリスク概要は CTO に読まれます。長い PDF は読まれません。

最初の3つのコントロールを選ぶ

人員もなく、ツール予算もない場合、すべてを一度にはできません。一般的に機能する操作順序は以下の通りです。

1. まだ MFA が有効になっていない場所すべてで MFA を有効にする。ID プロバイダーから始めて、次に GitHub/GitLab、その後クラウドコンソール。これだけでも最も一般的なアカウント乗っ取りパスを塞いでいます。
2. クラウドおよび認証イベントの一元化されたロギング。 SIEM に類似したツールの無料ティア、または単に CloudTrail/GCP 監査ログをリテンション付きのバケットに送信することでも、インシデント発生時に何もないよりましです。
3. 書かれた短いインシデント対応計画。2ページであっても、誰がページされるのか、誰が顧客と話をするのか、誰が何かをシャットダウンする権限を持つのか。誰も必要になるまでこれを構築することを忘れず、その時点では遅すぎます。

これらのどれも大規模なベンダー契約を必要としないことに注意してください。決定とそれに続く実行が必要です。

セキュリティ予算ラインなしでバイインを得る

セキュリティの最初の雇用として信用を失う最速の方法は、結果を示す前にツールのウィッシュリストを持って現れることです。代わりに、すべてのリクエストを具体的なものに結びつけます。「2021年から未回転のアクセスキーを持つ3つの IAM ユーザーを見つけた」は「CSPM ツールが必要」より良く響きます。リクエストをエンジニアリングと財務がすでに気にかけている用語でフレーム化します。爆発半径の縮小、監査の迅速化、午前2時のページの削減。企業が SOC 2 や ISO 27001 を目指している場合、その適合性の期限は、適合性自体が目標でなくても、リソースを得るための最良のレバレッジポイントです。

最初の年によくある間違い

実際に操作するプロセスまたは人員を持つ前に、高価なプラットフォーム（SIEM、EDR、CSPM）を購入することは、初期予算浪費の最も一般的な単一のケースです。チューニングされていない5万ドルのツールはノイズを生成し、検出は生成しません。同様に、企業の実際の働き方に適応せずにテンプレートからコピーされたポリシーを書くことは、誰かが例外を必要とした最初の時点でそれらが無視されることを保証します。また、最初の6か月を過ぎてソロですべてを所有しようとすることは、燃え尽き症候群への道です。勢いが出た瞬間、次の雇用通常は検出と対応を所有できる人であり、プログラム構造を構築し続けることができます。

ゼロからのセキュリティはほぼシーケンシング：存在するものを見る、最も大きなギャップを塞ぐ、決定がメモリに依存しないように十分なプロセスを構築し、そこから拡張します。

この種の基盤レベルのプログラム構築に興味があれば、Korra Studio には、インシデント対応の基礎とクラウドセキュリティ体勢に関連するセグメントがあり、これらはこれと組み合わせるのに適しています。