以前のブログ投稿でもふれましたが、組織のシステムに対する不正な変更を監視する「ファイル整合性監視（FIM）」と呼ばれるセキュリティコントロールは、デジタル脅威の防御に有効です。しかし、それだけでは片手落ちです。変更の正当性をチェックできても、新たなセキュリティリスクは発生します。企業はリスクを含むイベントを警戒しなくてはなりません。
そこで、もうひとつの基本的なセキュリティコンポーネントが役立ちます。
セキュリティ構成管理（SCM）を使用すると、組織は不正な構成や構成の変更をセキュリティの観点から監視できます。手動のプロセスとして、あるいは自動化ソリューションとして使用される場合でも、SCM はあらゆるタイプのビジネスに必須の 2 つのニーズ―セキュアな構成と規制遵守の確保―に応えることができます。ですから、ほぼすべてのセキュリティフレームワーク、ベストプラクティス、規制において、何らかの形で SCM が考慮されるようになったのも不思議はありません。
SCM には 2 つの機能があります。その 1 つ、「評価」はセキュアなコンフィギュレーションポリシーのセットと比較することでシステムの現在の状態を確認します。このポリシーのセットは、セキュリティ設定の理想的な状態をグループ化したもので、組織が全体的なコンプライアンスの状態や許容可能なリスクレベルを確立する際に、優れた参照ポイントとして機能します。「評価」が完了したら、引き続いて「継続的な監視」を行うことができます。SCM の 2 つ目の機能である「継続的な監視」は、構成の逸脱の検知、優先順位付け、および対応に効果的です。
FIM、レメディエーションワークフロー、セキュアなコンフィギュレーションポリシーと統合することで、SCM ソリューションの効果が向上します。しかし、それでは SCM を使用して監視する資産をどのように決定するかという重要な検討事項を見過ごしてしまいます。
その懸念を究明する目的で、Tripwire は『Security Reference Architecture: A Practical Guide to Implementing Foundational Controls』を発表しました。このリソースは、攻撃対象領域を縮小し、コンプライアンスを確保するというセキュリティ構成管理の重要な目的を実現し、企業が SCM 資産の範囲を決定し監視を行えるよう支援するものです。企業は、適用規則、リスク、ビジネス機能、機密情報の存在、および資産や部門の準備状況などのさまざまな重要要素を鑑みて優先順位付けを行い、それらの決定を下すことができます。また、同ガイドでは、企業が 5 つの異なるビジネスカテゴリーにおいて SCM ソリューションの効果を測定する際に使用できる重要な指標および基準を明示しています。
Tripwire のガイド（英語版）をダウンロードすると、セキュリティ構成管理機能を使用して、セキュリティリスクを低減し構成の逸脱に対処する方法を学ぶことができます。また、こちらからは SCM に関する無料の電子書籍（英語版）をダウンロードできます。
