はじめてのEDR導入でチェックしたいポイント〜前編〜

MALUTO広報室です。
今回は、情報システム部門の人員が限られている中小企業において、はじめてのEDR導入をどのように検討していけば良いのかという点をMALUTOエンジニア（以下MEと表記）に聞きました。

EDRの導入をはじめて検討されている方、IT資産管理のデジタル化を検討されている方は特に必見です。

中小企業における変化するEDRへの意識

— 「EPPだけでは対策として不十分」という認識は広まっているようですが、実際のところ中小企業での意識に変化はありましたか？

ME：近年、中小企業でもサイバーセキュリティに対する関心と理解が深まっています。病院の電子カルテがランサムウェアの被害で医療行為がストップしてしまったり、ニコ動が見えなくなってしまったりと、一般的なニュースで社会問題として報じられることで対岸の火事ではなく身近な脅威として認識されはじめてきたのではないかと感じます。

サイバーセキュリティ対策として、所謂アンチウイルスソフト：EPP（Endpoint Protection Platform）を最低限インストールしなくてはいけないことは一般常識として浸透しているように感じます。さらに中小企業の情報セキュリティを担当するバックオフィス部門においては、政府機関からの通達や前述のニュースメディアから報じられている現代のサイバー攻撃に対して、EPP：アンチウイルスソフトだけでは対策として不十分であり、より高度なセキュリティ対策としてEDR（Endpoint Detection Response）の有効性が認識されはじめてきていると感じます。数年前に比べてEPPとEDRの区別が明確にされはじめており、これまでの「アンチウイルスソフトを導入しておけば、とりあえず大丈夫だろう」から「EDRってやんなきゃいけないんだよね」といった意識の変化は感じ取れます。

EDRについてはこちらからもご確認いただけます。

関連記事

中小企業における失敗しないEDR・XDRの選び方

「やらないといけない」と分かっていながらも、何をポイントに選べば良い？

―― いざ導入しよう！と思っても、現在は4０以上ものEDR商品があって、選ぶのが難しそうです。

ME：まずは、EDRとしての基本性能である「異常を検知する」能力の評価が必要だと考えますが、これには専門知識が必要であり、テクノロジーも日々進化していますから専門家でない限り独自に評価するにはかなりハードルが高いと言えるでしょう。この点は、第三者機関による評価を参考にするなどの情報収集がおすすめです。各メーカーもこういった評価を重要視しているため、製品カタログには必ずといっていいほど掲載されていますので参考にしてみるといいでしょう。

次に最も重要なポイントとしては「無理なく運用できるのか」といった観点です。せっかく高性能な製品を導入したとしても、うまく使いこなせないようでは宝の持ち腐れとなってしまいます。EDR製品は日常的な運用を必要としますので自社組織の運用能力に合った製品選定が重要です。特に中小企業規模の組織においては情報システム部門が少人数で運営されておりマンパワーに限りがありますので、この観点は特に注目しましょう。簡単な導入と設定を実現するために、クラウドベースの管理コンソールを提供している製品や自動化された設定手順が備えられているのか、運用フェーズにおいてはシンプルさが運用コスト低減に大きく寄与するため、警告や通知の管理が容易であるのか、レポートの作成や分析が簡単に行えるのか、重点的に確認しましょう。

―― 自社の情報システム部門のマンパワーを事前に把握することで、機能の部分で良い製品だと思って選んでも運用が追いつかなかった・・・ということがなくなりそうですね。

運用の効率化の部分では、基本性能の観点にも含まれますが、自動化された脅威検知と対応機能、AIや機械学習を活用した脅威分析能力を持つ製品は、少人数の情報システム部門にとって特に有益になります。
このような観点で繰り返しになりますが自社組織に合った無理なく運用できる製品を選定することが重要です。情報源として、メーカーが発信している情報、情報を検証するための第三者機関による評価資料、取引のあるセキュリティベンダーからのアドバイスを参考にして選定しましょう。昨今、EDR製品は市場において成長期→成熟期に差し掛かっているため、インターネットで検索すれば有り余るほどの情報を入手することができますので、信頼できる情報を収集しましょう。

IT資産のアナログ管理の限界

―― EDRは端末の管理ができるところも利点ですが、今までエクセルで作成していたIT資産の台帳管理もやはりデジタルに移行した方が良いのでしょうか。

ME：PCやスマートデバイスなどのIT資産管理は、情報システム部門の重要な業務のひとつですが、社員数の増減などで状況変化の激しい組織においてエクセルなどを使った資産管理は運用が大変です。管理する端末の数が多ければ、その分の記録作業量は増えるわけで台帳を最新化しておくためには相当な労力が必要となります。

さらに、セキュリティ対策の観点からインストールされているOSやソフトウェアのバージョン管理まで含めると大変なことになります。資産管理システムが導入されている環境であれば、各端末にインストールされているエージェントから情報収集して管理コンソールで一元管理できるため、この労力を一気に削減することができますが、そうでない場合は、端末を1台ずつチェックしていかないと同等の情報を得ることはできないので、記録担当者と端末数の比率によっては大変な時間と労力が掛かることが予想されます。また、アナログに地道な情報収集では、記録間違いや調査日の頻度など、情報の信頼性にも疑問符がつきます。

―― OSのバージョンやそれぞれの機器にインストールされているものまでアナログ管理するのは現実的ではなさそうです。

ME：実際にアナログ管理を実施するにあたっては、情報収集するためにPCなどの端末使用者が日常的に操作をしているのであれば、作業の手を止めなければならないので、実施するための時間調整や作業場所の段取りなど、時間的コストをとにかく要してしまうことが想像できます。また、セキュリティ対策を運用するにあたって自社が運用しているシステムに影響があるOSやソフトウェアの脆弱性が発見され、それらの修正プログラムが提供元から発行されてから、いち早く端末にインストールして保護しなければならない状況においても同様に時間的コストを要してしまいます。

テレワーク環境や本社・支店間など、IT管理者と使用者が地理的に離れている組織では、使用者にアップデート操作を依頼することも多いと思いますが、なかなか思うように実行してもらえず、耐えかねたIT管理者が使用者に電話をかけて「頼むからパッチをインストールしてください」と懇願する場面を想像してしまいます。端末の安全を守って管理しなければならないIT管理者と作業時間を奪われたくない使用者の間で対立構造が生まれてしまい、業務生産性が著しく低下してしまいますので組織にとって非常に大きなストレスとなります。

―― 管理者が個人のアプリケーションのインストール状況やバージョンの内容を把握・管理できると、現場任せにならずに済むので、双方でメリットが大きそうです。

ME：資産管理システムが運用されている環境であれば、IT管理者側が対象端末のアプリケーションのインストール状況やバージョン情報を一元的に管理することができるため、前述の時間的コストと管理ストレスを大幅に削減することができます。大半の資産管理システムでは、インストールされているアプリケーションやそのバージョン情報を検出することはできると思いますが、検知した後の修正プログラムを自動的に適用、インストールすることができる機能をもっているのかは、ソフトウェアの仕様によって変わってくるので注意が必要です。自動的、または簡易に対処ができないようでは、対処するための労力が大きく異なります。

次回は、はじめてEDRを導入する上で、実際にはどんなEDR製品があるのか、「WatchGuard EPDR」を一例に説明していきます。後編はこちら>>