本文へ移動

常時リスク診断・対処（CRSA）

日々巧妙化しているサイバー攻撃に対応していくには政府組織内におけるサイバーセキュリティ対策をより高度化していく必要があります。米国政府では、サイバーセキュリティ対策を高度化するにあたり、CDM（Continuous Diagnostics and Mitigation）プログラムの導入が進んでいます。日本政府においても、米国のCDMプログラムを参考に、常時リスク診断・対処（CRSA: Continuous Risk Scoring and Action）システム（以下、「CRSA システム」という。）の導入を進めています。

概要

CRSAとは

CRSAとは、組織のセキュリティポリシー等に準拠するために情報システムに導入された必要なコントロール（管理策）に関して、以下を実施します。

  • リスク診断：必要なコントロールと実際の状態とのギャップやリスクを可視化
  • 対処：可視化されたギャップやリスクの是正対応
  • 常時：ギャップやリスクの可視化と是正対応を継続的に実施

CRSAの概念図
常時リスク診断・対処（CRSA）の概念図。実際の状態においてギャップやリスクを可視化し必要なコントロールを実施のうえ是正対応を行うことで元の状態に戻すサイクルを示す

CRSAシステムとは

  • CRSAの概念に基づき、組織のネットワークとシステムのサイバーセキュリティを強化するための仕組みを提供します。
  • 組織の資産に関する情報を収集し、資産の構成及びソフトウェアコンポーネントに更新を適用するといった潜在的リスクの是正活動を支援します。
  • 情報システムの運用等において、セキュリティポリシー等からの逸脱を発見し、適時適切に対処することや監査活動を自動化することなどを目指して、リソースへの接続要求を行う資産に関する情報（※）などを包括的に監理します。
    ※例えば、端末で適切なパッチが適用済みのオペレーティングシステムが実行されているか、組織が承認したソフトウェアコンポーネントの完全性が保たれているか、承認されていないコンポーネントが存在していないか、資産に既知の脆弱性がないか等が挙げられます。
  • 将来的にはゼロトラストアーキテクチャにおけるポリシーエンジンにそれらの情報を提供する役割を担っていきます。

CRSAシステムの概要図
常時リスク診断・対処（CRSA）の概要図。デジタル庁及びNISC（内閣サイバーセキュリティ）が関係省庁（X庁）担当者に対処依頼を行い、ASO（AgencySecurityOperation）システムを通してパソコン・ユーザー・クライド利用の状態を監理。統計情報をデジタル庁及びNISCに提供する仕組みを表す

CRSAシステム導入の目的と効果

1. 政府機関統一基準等に準拠したコントロール（管理策）からの逸脱の迅速な把握と是正対応
CRSAシステムは、サイバーセキュリティ対策に必要なコントロールの実施状況を継続的にモニタリングできるため、どこが不適切な状態になっているかを迅速に把握し、是正対応を実施できます。
2. インシデント発生時のトリアージ等の効果的な対応
CRSAシステムは、リアルタイムに自組織の資産状況、脆弱性対応状況等を把握できるため、インシデント発生時の資産等への影響規模や対応の優先度について迅速に判断できるようになります。
3. リアルタイムデータによるセキュリティ対策実施状況の効率的な報告
CRSAシステムを導入した組織は、リアルタイムな資産状態、アカウントの利用状況、インシデントの発生状況などを把握できます。これにより、サイバーセキュリティ対策状況を客観的かつ効率的に報告できるようになります。政府全体としては、各組織のサイバーセキュリティ対策状況を各組織に負担をかけることなく効率的に把握できるようになります。
4. 脅威やインシデントに対する政府横断的な脆弱箇所の迅速な発見と是正対応
CRSAシステムは、特定の脅威情報やインシデントに関する情報をもとに、影響のある箇所やインシデントの発生する可能性のある箇所を政府横断的に特定できるため、迅速かつ効果的に対処できるようになります。
5. ゼロトラストアーキテクチャの運用環境を適切に維持
ゼロトラストアーキテクチャの具体的な実装・運用においては、ネットワーク上の各デバイスでの脆弱性対応状況等を把握することにより、システム全体の健全性を把握し、維持していく必要があります。CRSAシステムにおける診断結果は、ゼロトラストアーキテクチャにおけるポリシーエンジンのインプット情報としても活用していきます。

最近の取組

令和4年度 政府情報システム常時診断・対応型セキュリティアーキテクチャの先行省庁による実装の調査研究

政府全体で常時診断・対応型のセキュリティアーキテクチャの実装を行うため、CRSAシステムを先行省庁に導入し、効果等を検証しました。

会議等

参考資料