機能と利点
複数の脅威経路とリスク要因におけるセキュリティリスクを理解
「人」を中心にセキュリティを構築する PEOPLE-CENTRIC アプローチ
プルーフポイント独自の People-Centric アプローチで、 VAP™ (Very Attacked People) と攻撃対象が理解できるようになります。Proofpoint Nexus People Risk Explorer はこれをさらに拡張し、他の要因 (脆弱性、攻撃、権限) も考慮してリスクをモデリングします。脆弱性では、人の高リスクな行動を調べます。攻撃では、人がどのように脅威の標的とされているかを分析します。権限では、人が機密データにどのようにアクセスしているかを確認します。
Proofpoint Nexus People Risk Explorer はさまざまな方法でそれぞれの「人」ごとのセキュリティリスクを調べます。
- Proofpoint TAP (Targeted Attack Protection)、Proofpoint CAD (Cloud Account Defense)、Proofpoint CASB (Cloud App Security Broker)、PSAT (Proofpoint Security Awareness Training) などの製品と統合し、特定のユーザー、部門、グループの脆弱性と特権を可視化します。
- リスクスコアでユーザーをランク付けし、プルーフポイント独自の Attack Index アルゴリズムとユーザーの脆弱性/権限を組み合わせて（リスクモデリング）、リスクプロファイルに基づいてグループ化します。
- 地域、職務、カスタムグループなど、複数の要因に基づいてリスクを評価します。
リスク緩和の最適化
リスク評価において、まず何をすべきで、どのユーザーを優先すべきかは難しい問題です。Proofpoint Nexus People Risk Explorer は、同じようなリスクプロファイルに基づいてユーザーをサブグループに分け、セキュリティチームが注意すべき高リスクユーザーを絞り込みます。
Proofpoint Nexus People Risk Explorer は高リスクユーザーにフラグを立てるので、セキュリティチームは時間を節約でき、そして優先順位に基づいて決定を下せるようになります。これにより、セキュリティ制御を迅速に行い、データ侵害による深刻な被害を抑えられます。
Proofpoint Nexus People Risk Explorer は以下のようなユーザーを明らかにします。
- リスクスコアが高いユーザー
- 非常に脆弱なユーザー
- 特定のグループや部門に所属し、機密データへのアクセス権を持つユーザー (つまり標的にされやすいユーザー)
セキュリティ制御に関する判断の高度化
調査によると、データ侵害の被害を一度も受けない組織はほとんど存在しません。データ侵害を防止し被害を軽減するためには、リスクを事前に特定して緩和しなければなりません。しかし組織にリスクをもたらす原因がわからなければリスクの緩和方法もユーザーとデータの安全確保の方法もわかりません。
また、セキュリティ制御には時間もお金もかかります。しかし誰にどういった制御をすべきかが分かれば、全体のリスクを低減できます。
Proofpoint Nexus People Risk Explorer を用いれば、必要な制御がどれなのかを判断できます。
- 関連するリスク低減スコアで、セキュリティ体制にはどの制御が必要かを示します。
- 影響を受けるユーザーのリストを基に、どの制御を誰に適用すべきかを示します。
- リスクの変化を経時的に表した折れ線グラフで、どの制御がリスクの緩和に効果があったかを示します。
進捗確認と予算管理
2021 Voice of the CISO Report (2021年 CISO 意識調査レポート) では、66%の CISOが、自社は攻撃に対する準備ができていないと回答しました。そして半数以上 (53%) が、2020年よりも2021年におけるサイバー攻撃の影響を心配していると答えました。
Proofpoint Nexus People Risk Explorer はこれらの懸念に対応できます。また、折れ線グラフや傾向を視覚化するツールを使って、制御の効果を経営幹部や取締役会に報告できます。個人レベルやグループレベルでリスクを数値化できるベンダーは他にありません。またこれは以下のようにして予算やリソースへの負担を軽減します。
- 組織全体およびグループ/部門別リスクを定量化します。
- 次に何に投資すべきかを、情報に基づいて判断できるようにします。
- 技術に詳しくない人でも簡単に理解できるようリスクの低減を視覚的に表現し、コストの妥当性を示します。
- 適用したセキュリティ制御が組織にどのような影響を与えるかを分析します。各推奨事項の「リスク低減スコア」で、どのサブグループにどの制御が最も効果があるかをわかりやすく示します。