Early insights on what CPS 230 might mean in practice What does APRA CPS 230 really ask of organisations? It’s more than compliance. It’s about building resilience, clarity, and operational agility…

はじめに# 金融機関は新たな現実に直面しています。サイバー・レジリエンスは、ベストプラクティスから運用上の必須事項、そして規定された規制要件へと進化しました。 危機管理やテーブルトップ演習は、長らくサイバーセキュリティの文脈では比較的稀なものでしたが、EUのDORA（デジタル運用レジリエンス法）、オーストラリアのCPS230 / CORIE（サイバー運用レジリエンス インテリジェンス主導型演習）、シンガポールのMAS TRM（シンガポール金融管理局 技術リスク管理ガイドライン）、英国のFCA/PRA Operational Resilience、米国のFFIEC IT Handbook、サウジアラビアのSAMA Cybersecurity Frameworkなど、複数地域のFSI組織にこの要件が導入されたことで、今や必須となっています。 これらの規制要件への対応を複雑にしているのは、技術チームと非技術チーム間のクロスファンクショナルな連携です。例えば、サイバーインシデントの技術的側面のシミュレーション、つまりレッドチーム演習は、必ずしも同時でなくとも、同じレジリエンスプログラム内、同じ文脈、そして多くの同じインプットとアウトプットで求められます。これは特にTIBER-EUフレームワークに基づく規制、特にCORIEやDORAで顕著です。 いつでもExcelがある# 要件がより具体的になり、ベストプラクティスが確立されるにつれ、かつては簡単なExcelファイルにイベント、タイムスタンプ、ペルソナ、コメントを記載しただけのテーブルトップ演習が、今やシナリオ、スクリプト、脅威情勢分析、脅威アクタープロファイル、TTPやIOC、脅威レポートのフォルダ、ハッキングツール、インジェクトやレポートの一連の流れへと拡大しています。これらはすべて、少なくとも年に一度、場合によっては四半期ごと、あるいは継続的に、レビュー、準備、リハーサル、実施、分析、報告が求められます。 Excelはサイバー、金融、GRCの各分野で頼もしい存在ですが、このレベルの複雑さには限界があります。 テーブルトップとレッドチームシミュレーションの融合# 過去数年にわたり、FiligranはOpenAEVを進化させ、人間同士のコミュニケーションと技術的イベントを融合したエンドツーエンドのシナリオ設計と実行が可能となりました。当初は危機シミュレーション管理プラットフォームとして開始されましたが、その後、侵害・攻撃シミュレーションを取り入れ、現在では包括的な敵対的エクスポージャ管理へと発展し、技術的・人的両面の備えを評価できる独自の機能を提供しています。 ランサムウェア暗号化アラートの後に混乱したユーザーからのメールが届くと、シミュレーションはより現実的になります これら2つの機能を1つのツールに統合することには多くの利点があります。まず、シナリオ準備作業が大幅に簡素化されます。OpenCTI（脅威インテリジェンスプラットフォーム）で脅威情勢を調査した後、関連するインテリジェンスレポートを使って、攻撃者TTPに基づく技術的インジェクトを生成できるだけでなく、攻撃者のコミュニケーション、サードパーティのセキュリティオペレーションセンターやMDRのコミュニケーション、社内リーダーシップのコミュニケーションも、同じレポートのインテリジェンスとタイミングに基づいて構築できます。 チームの把握# 単一のツールを使うことで、演習の前後および実施中のロジスティクスの重複を排除できます。演習の「プレイヤー」は、チームや組織単位ごとに、企業のID・アクセス管理ソースと同期でき、演習中の技術的イベントからのアラート受信者が、テーブルトップコンポーネントからの模擬危機メールの受信者と同じになり、演習直後の「ホットウォッシュ」レビュー用自動フィードバックアンケートの受信者や、監査人レビュー用最終レポートに登場するメンバーも同じになります。 OpenAEVは複数のIDソースから現在のチーム参加者やアナリスト情報を同期できます 同様に、DORAやCORIEで求められる継続的な改善の一環として、教訓を反映させた後に同じ演習を再実施する場合も、この同期により、これらの役割の担当者や、代替電話連絡網や最新の危機時アウトオブバンド連絡チャネル、さらにはMSSPやMDR、上流サプライチェーン事業者などのサードパーティの最新連絡先リストも維持できます。 脅威情勢の追跡や脅威レポートのマッピング、その他の機能でも同様の効率化が図れます。すべてのビジネスプロセスと同様、ロジスティクスを合理化することで効率が向上し、準備期間が短縮され、より頻繁なシミュレーションが可能になります。 タイミングの選択# CORIEやDORAが比較的新しく施行された規制であるため、多くの組織はテーブルトップやレッドチームシナリオの実施を始めたばかりで、今後プロセスの洗練が進む段階です。そのため、こうした組織にとっては、融合型シミュレーションの実施は大きな一歩に感じられるかもしれません。 それでも問題ありません。OpenAEVでは、より個別の形でシナリオを実施できます。最も一般的には、初日にレッドチームシミュレーションを実施し、検知・防御の技術的コントロールやSOC対応プロセスをテストします。翌日にテーブルトップ演習を行い、技術演習で得られた知見やタイミングを反映して調整することも可能です。 シミュレーションは日単位、週単位、月単位で繰り返し実施できます さらに興味深いのは、シミュレーションをより長期間、場合によっては数か月にわたってスケジュール・実施できることです。これにより、侵入の兆候を事前にホストに残し、SOC、IR、CTIチームがアーカイブからログを取得して「ペイシェントゼロ」（最初に侵害されたシステム）を特定できるかを試すなど、より現実的だが難易度の高いシナリオの自動化・管理が可能になります。これは1日でのシミュレーションでは現実的に難しいものの、実際にはよくある要件です。 練習は完璧を生む# 規制要件、保険条件、リスク管理、その他の外部要因を別にしても、現在の関連する脅威に対して、すべての技術統合、スケジューリング、自動化を活用し、攻撃シミュレーションやテーブルトップ演習を効率化できることは、セキュリティ、リーダーシップ、危機管理チームに「筋肉記憶」と流れをもたらし、次の危機が発生した際に組織が現実の危機に対応できるという自信を育みます。 OpenAEVのようなツールを利用できることは、コミュニティ利用が無料で、一般的なランサムウェアや脅威シナリオのライブラリ、SIEMやEDRとの技術統合、拡張可能でオープンソースな統合エコシステムを備えており、サイバー防御力とサイバーレジリエンスを高める多くの方法の一つです。そして、コンプライアンスも忘れてはなりません。 そして、チームが危機対応のリハーサルを十分に積み、自信を持てるようになれば、それはもはや「危機」ではなくなります。 次のステップに進む準備はできていますか？# 規制上の義務を実行可能なレジリエンス戦略に変換する方法をさらに深く知りたい方は、Filigranが開催するエキスパート主導のセッションにご参加ください： インシデント対応の運用化：AEVプラットフォームによるコンプライアンス対応テーブルトップ演習 11月20日 11:00～12:00 CET（ヨーロッパセッション） 11月20日 13:00～14:00 EST（北米セッション） 翻訳元:

DORA, CPS230, TIBER-EU : les régulateurs imposent des exercices de crise cyber. La conformité devient une épreuve réelle, entre technique et gouvernance.