【ITニュース解説】Prove Your Cyber Insurance Answers: Commands for the Questionnaire Controls

サイバー攻撃のリスクが高まる現代において、企業にとってサイバー保険への加入は非常に重要だ。しかし、サイバー保険の申請時に「はい」と答えた内容が、実際にその通りであることを具体的な証拠で示せなければ、いざという時に保険が適用されない可能性がある。過去には、多要素認証（MFA）が一部のシステムにしか適用されていなかったために、サイバー保険契約が無効と判断された事例も存在する。このような事態を避けるため、ITシステム管理者は、自社のセキュリティ対策が「確かに施されている」という証拠を準備する必要がある。

多要素認証（MFA）は、パスワードだけでなく、スマートフォンアプリなどで生成されるコードなどを組み合わせて認証する仕組みだ。これにより、もしパスワードが漏洩しても、不正なアクセスを防ぐことができるため、現在では広く導入が推奨されている。保険会社もMFAの導入状況を重視しており、全てのユーザーアカウントでMFAが有効になっていることを確認する必要がある。AWS（Amazon Web Services）のIAM（Identity and Access Management）ユーザーの場合、「aws iam generate-credential-report」コマンドでクレデンシャルレポートを生成し、その後「aws iam get-credential-report --query Content --output text | base64 -d | awk -F, 'NR>1 && $4=="true" && $8=="false" {print $1}'」のようなコマンドを実行することで、パスワードを持つにもかかわらずMFAが設定されていないIAMユーザーを特定できる。これにより、MFAが有効でないアカウントを洗い出し、対策を講じることが可能になる。AWSだけでなく、Okta、Entra（旧Azure AD）、Google Workspaceといった組織のIDプロバイダーを利用している場合も、それぞれのサービスでMFA未設定ユーザーのレポートを出力し、未設定のアカウントをゼロにすることが目標となる。

EDR（Endpoint Detection and Response）とは、パソコンやサーバーなどのエンドポイントと呼ばれる機器上で、不審な活動を検知し、対応するためのセキュリティツールだ。サイバー保険の審査では、企業が保有する全てのサーバーにEDRが導入されているかどうかが問われる。特に、管理から忘れられがちな古いサーバーや開発環境のサーバーにもEDRが導入されていることが重要だ。自社の資産リストとEDRエージェントが導入されているリストをそれぞれテキストファイルにまとめ、「sort -u assets.txt > a.txt」「sort -u edr-agents.txt > e.txt」「comm -23 a.txt e.txt」というコマンドを実行することで、資産リストにはあるがEDRエージェントリストにはない（つまりEDRが導入されていない）ホストを特定できる。この結果に表示されるホストは、EDRによる保護が及んでいないため、速やかに対応が必要となる。

メール認証は、メールの送信元が詐称されていないことを証明するための重要なセキュリティ対策だ。SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting & Conformance）といった仕組みを利用して、メールの信頼性を確保する。特にDMARCは、不正なメールが検出された場合に、そのメールを拒否する設定（p=reject）にすることが推奨される。保険会社もこれらの設定状況を確認するため、自社のドメインが適切に設定されているかを検証する必要がある。「dig +short TXT _dmarc.example.com」コマンドでDMARCの設定を確認し、「dig +short TXT example.com | grep -i spf」コマンドでSPFの設定を確認できる。これらが適切に設定されていることを示す証拠となる。

リモートデスクトッププロトコル（RDP）やSMB（Server Message Block）といったリモートアクセスサービスがインターネットに公開されていると、サイバー攻撃者から狙われやすくなる。これらのサービスが利用するポート（RDPは3389番、SMBは445番など）が、外部からアクセス可能な状態になっていないかを確認することは、セキュリティ上非常に重要だ。Nmapというツールを使い、「nmap -Pn -p 3389,445,5900 203.0.113.10」のように、自社が所有またはテストを許可されたIPアドレス範囲に対してポートスキャンを実行することで、これらのポートが公開されていないかを確認できる。これにより、意図せずリモートアクセスがインターネットに露出している箇所がないことを証明できる。

バックアップは、データの喪失やシステム障害からの復旧に不可欠だが、単にバックアップが存在するだけでは十分ではない。サイバー攻撃や災害が発生した際、実際にデータをリストア（復元）できる能力があることを示す必要がある。保険会社は、バックアップが定期的に行われているだけでなく、そのバックアップから実際にデータを復元できるかどうかの証拠を求める場合がある。そのため、定期的にリストアテストを実施し、その結果をログとして記録することが重要だ。「echo "$(date -u +%FT%TZ) restore-test db=orders result=ok" >> restore-log.txt」のような形式で、いつ、どのデータベースのリストアテストを行い、成功したかといった情報を記録しておくことで、リストア能力の証拠とすることができる。

これらのセキュリティ対策の実施状況を示す証拠は、保険更新の約90日前から準備を始めるのが望ましい。MFAの導入状況、EDRの適用範囲、メール認証の設定、公開されたリモートアクセスポートの有無、そしてバックアップとリストアテストの記録など、各コントロール（管理項目）ごとにフォルダを作成し、日付入りのレポートやスクリーンショットなどの証拠を整理して保存する。そして、保険会社の質問票が届く前に、全ての回答が具体的な証拠で裏付けられていることを確認する。このように体系的に証拠を管理することで、自信を持って正確な情報を提供し、いざという時の保険適用に関するリスクを低減できる。