脅威ハンティング時間を85%削減：ClearDATAのゲームチェンジャー

ClearDATAについて

2009年に設立されたClearDATAは、明確なミッションを掲げてスタートしました。「ヘルスケアを、毎日、より良いものに」 その目標はシンプルでした。セキュリティやコンプライアンスを一切妥協することなく、ヘルスケアのためにクラウドテクノロジーの可能性を最大限に引き出すことです。

これを実現するため、同社はヘルスケア専用に設計された初のクラウドプラットフォームを構築し、医療プロバイダー、保険者、ライフサイエンス、ヘルステック組織が本来の使命である患者のケアに集中できるようにしました。

今日、ClearDATAは業界最大級の医療プロバイダーや保険者を支える、クラウドセキュリティとコンプライアンスの信頼できるパートナーです。独自のCSPMであるCyberHealth™プラットフォームと、150人を超えるセキュリティ・コンプライアンス専門家のチームにより、マネージドクラウドセキュリティサービスとコンプライアンス自動化を提供し、患者データと機微情報を常に保護しています。脅威インテリジェンス、検知エンジニアリング、サイバー防御運用、セキュリティアーキテクチャにまたがる専門チームが連携し、安全でコンプライアンスに準拠したクラウド体験を提供しています。

背景

クラウドテクノロジーとヘルスケアの交差点で事業を展開するClearDATAは、急速に変化するサイバー環境に直面してきました。医療機関のクラウド導入が加速するにつれ、ランサムウェア、データ恐喝グループ、クラウドを狙う侵入手法はより高度になり、機微な患者データを取り巻く新たなエクスポージャーの層が生まれました。

拡大するセキュリティサービスを支えるため、ClearDATAは当初、専用の脅威インテリジェンスプラットフォームを導入しましたが、進化するサービスモデルに合いませんでした。同社はその後、マネージドセキュリティおよび脅威インテリジェンスの提供の一環として、脅威インテリジェンスが運用セキュリティと顧客成果の両方をどう支えられるかを再評価し、より持続可能な基盤を模索しました。Cyber Threat IntelligenceチームのSenior ManagerであるCody Pickren氏はこう説明します。「サイバー脅威インテリジェンスの収集は、当社の知識の最先端であり、顧客のセキュリティ態勢の改善につながる形で脅威ランドスケープを理解する能力の要です」

課題

断片化した脅威インテリジェンスと手作業の運用

ClearDATAのサイバー脅威調査は、公開の脅威レポートから社内SIEMデータ、RSSフィード、Slackチャンネルに集約されたベンダーアラートまで、複数のソースからインジケーターを手作業で収集・相関させることに大きく依存していました。Cody Pickren氏はこう指摘します。「私たちは小さなチームで、カバーすべき範囲は膨大です。自動化できるもの、バックグラウンドで動かせるものは何であれ、私たちにとって大きなメリットです」

プラットフォーム維持に費やされる過剰な時間

ClearDATAの脅威インテリジェンス能力が成熟するにつれ、チームは増大するニーズを支えるためにオープンソースツールを検討しました。このアプローチでは、セキュリティチームが自前の脅威インテリジェンスインフラを運用・維持する必要があり、分析やセキュリティサービス開発に充てられたはずの貴重な時間とエンジニアリングサイクルを消費していました。「インフラと自動化で継続的な成長を構築し支えるためのエンジニアリングサイクルが、端的に足りませんでした」とCody氏は言います。

カスタマイズと進化を阻む硬直的なCTIプラットフォーム

リソースを大量に消費するオープンソースプラットフォームを経験した後、Cody氏のチームは商用の脅威インテリジェンスソリューションを採用しました。しかし、そのワークフローはあまりに硬直的で、ヘルスケア固有の脅威やセキュリティ手順に適応させることが困難でした。インジケーターのエンリッチメントやレポーティングといった手作業のプロセスが非効率を生んでいました。カスタマイズは限られ、多くの機能は追加の有償モジュールを必要としました。Cody Pickren氏はこう振り返ります。「私たちはクローズドなエコシステムに閉じ込められ、それ以外はすべて、正当化できない追加パッケージでした」

データ過多による優先順位付けと行動の困難さ

ClearDATAは、生の脅威データの先へ進み、どのリスクが即時の対応を要するのかを顧客と経営層が明確に理解できるようにする必要がありました。「実行可能なデータで脅威やエクスポージャーを定量化し、関連性のある最新の活動をコンテキスト付きで示せること。それが、経営層に必要な緊急度を理解してもらう助けになります」 規制の厳しい医療環境では、アラート、脆弱性開示、コンプライアンス要件だけでは、効果的な緩和対応につながるタイムリーな意思決定を促すのに不十分なことが少なくありません。経営層が知りたいのは、最優先事項が何か、そしてそれをどう実行可能なステップに変えるかです。

なぜOpenCTIなのか？

統合された脅威インテリジェンスと自動エンリッチメント

OpenCTIは、これまでツール間に散在していたインジケーター、レポート、アナリストの知見を一つに集め、脅威インテリジェンスの一元的なビューをClearDATAにもたらしました。このインテリジェンスを単一プラットフォームに統合することで、アナリストはカスタムスクリプトや常時のエンジニアリング支援に頼ることなく、データを直接扱えるようになりました。「エンリッチメント、相関、インジケーター処理の自動化をアナリスト自身が作れるようにできたことは、私たちにとって大きな効率向上でした」とCody Pickren氏は語ります。

エンタープライズグレードのマネージドCTIプラットフォーム

OpenCTIのエンタープライズ版を採用したことで、脅威インテリジェンスインフラのホスティングと維持という運用負担がなくなり、ClearDATAのチームはプラットフォームの保守ではなくセキュリティ運用に集中できるようになりました。「コミュニティ版を1年半ほど運用しましたが、それはかなりの時間の浪費でした」とCody氏は振り返ります。

ClearDATAのセキュリティユースケースに適応するモジュラーアーキテクチャ

OpenCTIの高度なカスタマイズ機能により、ClearDATAはプラットフォームを自社固有のセキュリティニーズに正確に合わせることができました。モジュラーアーキテクチャを活用して、脅威インテリジェンスを既存のセキュリティスタックにシームレスに統合し、サービスや顧客ニーズの進化に合わせてデータソースを柔軟に変えられるようになりました。「データストリームのモジュール性と設定の自由度が、私たちにとって最初にして最大の差別化要因でした」

意思決定と緊急度を支えるコンテキスト豊富な脅威インテリジェンス

脅威インテリジェンスを運用および顧客のコンテキストと相関させることで、OpenCTIはClearDATAがリスクを明確かつ優先順位付きで顧客に提示できるよう支援しました。アクティブなエクスポージャーや顧客環境との関連性といった要素に基づいて脅威をスコアリングすることで、意思決定者は本当に即時対応が必要なものを見極めやすくなりました。「OpenCTIはコンテキストをストーリーに変えてくれます。それこそが顧客を動かすのです」とCody氏は考えています。

導入

ClearDATAは段階的なアプローチでOpenCTIを導入しました。まずインテリジェンス主導のセキュリティモデルにおける有効性を検証し、運用ニーズの拡大に伴ってエンタープライズ版へ移行しました。ロールアウトでは、アナリストの日常ワークフローへのプラットフォームの組み込みと、自動化による検知・対応ユースケースの支援に注力しました。Filigranの専任サポートのもと、OpenCTIはClearDATAの脅威インテリジェンスとマネージド検知・対応サービスの中核の柱へと急速に成長しました。Cody Pickren氏はこう振り返ります。「自前のOpenCTIコンテナを運用するのと、皆さんにすぐ相談できるサポートがあるのとでは、ストレスも時間的負担もまるで違う。あの驚きは今でも覚えています」

FiligranはClearDATAをどう支援しているか

チームを増員せずに調査を加速

インジケーターのエンリッチメントと相関を構造化されたCTIプラットフォームで自動化することで、ClearDATAは調査時間をインジケーターあたり約10分から1分未満に短縮しました。アナリストは分析に集中しながらアラート量に対応できています。Cody氏はこう言います。「インジケーターを放り込むだけで、履歴、関係、相関、すべてがそこにあります。調査効率を高める素晴らしい方法です」 ClearDATAは今、脅威ランドスケープの統一されたビューを手にしています。

より価値の高いセキュリティ業務に時間を再投資

社内CTIプラットフォームの運用負担から解放されたClearDATAは、エンジニアリングと分析のサイクルを取り戻し、脅威探索の手順を約1週間から24時間未満に短縮しました。「今では、アナリストが使い慣れたデータの中で直接作業してインパクトを出し、エンジニアはバックエンドにより集中できるようになりました」

より速い脅威対応とシームレスな統合

OpenCTIは、インテリジェンス分析から運用対応までの明確な道筋を作ることで、セキュリティ運用の進化に合わせて脅威インテリジェンスのワークフローを適応させることを可能にしました。脅威レポートとアナリストが生成したインテリジェンスはOpenCTIでエンリッチ・構造化されたうえで、SIEMやEDR環境全体の検知強化に活用されます。このコンテキスト付きインテリジェンスの流れにより、分析から検知・対応までの時間が大幅に短縮され、アラートのトリアージ時の可視性も向上しました。Cody氏はこう説明します。「私たちのプラットフォームや既存のレポートに合わせてカスタマイズし、より良く統合する力を本当に与えてくれました」

意思決定と顧客の行動を促す実行可能なインテリジェンス

ClearDATAは今、緩和の意思決定に影響を与えられるスピードで、コンテキスト付きインテリジェンスを提供できます。Cody Pickren氏はこう説明します。「始めた当初、レポートの特定・統合・公開には24〜48時間かかっていました。今では公開までの平均時間は約5時間です」 セキュリティチームは、特定のリスクがなぜ今顧客にとって重要なのか、ビジネスへの潜在的影響は何かを明確に説明でき、修復が大幅に加速し、顧客からの信頼も高まっています。

今後の展望

今後、ClearDATAは攻撃シミュレーションによる検知と防御コントロールの検証を通じて、インテリジェンス主導のセキュリティライフサイクルを拡張する計画です。脅威インテリジェンス運用の基盤としてのOpenCTIの上に、FiligranのOpenAEVを、実世界の攻撃シナリオに対するセキュリティ対策の有効性をテスト・確認する次のステップと位置づけています。長期的な目標は、脅威の特定から対応・検証までセキュリティライフサイクル全体を閉じること、そしてヘルスケア業界で高まるサイバーセキュリティと規制の要件を支え続けることです。