Attack-Path-Aware Enterprise Risk Quantification for Cloud-Native Financial Data Platforms Using AI and Cybersecurity Graphs

銀行という極めて重要な世界において、資金と個人データの保護は常に二つの側面を持つゲームとなってきました。一方では、セキュリティチームが自動スキャナーを使用してコンピュータシステムの弱点を見つけ出し、それらが書類上でどれほど危険に見えるかに基づいてランク付けを行います。もう一方では、リスクマネージャーが、ハッカーが成功した場合に銀行がどれほどの損失を被る可能性があるかを予測しようと試みており、多くの場合、大まかな見積もりや色の付いたチャートに頼っています。数十年にわたり、これら二つのグループは並行して動いてきましたが、同じ言語を話すことはほとんどありませんでした。スキャナはどの単一の穴が最大であるかを教えますが、リスクマネージャーは総体的な財務的ダメージを懸念しています。しかし、データが複雑なクラウドネットワークを通じて流れる現代の銀行業務において、単一の大きな穴が真の問題であることは稀です。むしろ、ハッカーは通常、一連の小さく、一見無害に見えるステップを連鎖させることで成功します。例えば、開いたドアから歩みを進め、信頼できる友人から鍵を借り、そして金庫へと忍び込むといった具合です。決定的な問いは、もはや「どの穴が一番大きいか」ではなく、「どの小さなステップの連鎖が、最も価値のある宝物へと実際に通じているのか」なのです。

データアーキテクトであるゴピナサン・ラティナヴェル（Gopinathan Rathinavelu）による新しい研究は、これら二つの世界をつなぎ合わせるための方法を提案しています。この研究は、孤立した弱点を見るのではなく、ハッカーが辿りうる全行程をマッピングするシステムを紹介しています。銀行のクラウドネットワーク全体のデジタルマップを作成することで、このシステムは攻撃者がある地点から別の地点へどのように移動できるかを追跡し、各ステップに既知のハッキング行動のタグを付けます。そして、このマップを用いて、侵害が最も機密性の高いデータ（「クラウンジュエル」として知られるもの）に到達する実際の確率を算出し、その確率を具体的な潜在的財務損失の範囲へと変換します。その目的は、単に最も明白な欠陥を修正するのではなく、最も危険な経路を阻止するために、銀行が限られたセキュリティ予算をどこに投じるべきかを判断できるようにすることにあります。

研究者たちは、現代の銀行が取引の処理や人工知能モデルの運用に使用している、複雑なクラウドベースのデータプラットフォームで動作するようにこのシステムを構築しました。これらのプラットフォームは広大かつ相互に連結されており、サードパーティベンダーの接続といった一つの領域における弱点が、いかにしてメインのデータウェアハウスへの侵害につながり得るのかを把握することを困難にしています。新しいアーキテクチャは、まず銀行のセキュリティ態勢、アイデンティティ権限、およびシステム構成に関するリアルタイム情報を収集することから始まります。次に、ノード（節点）が資産を表し、線が攻撃者が取り得る移動を表す「有向グラフ」と呼ばれる一種のマップを構築します。各線には特定のハッキング戦術がタグ付けされており、侵入がどのように展開されるかを示す明確で監査可能な足跡を作り出します。

このマップを理解するために、システムは特殊な形式の人工知能を使用して、連鎖の各ステップが成功する可能性を推定します。これは、結果の透明性と理解しやすさを確保するために慎重に行われます。データが十分にある場合は、機械学習モデルが遷移の可能性をスコアリングし、データが不足している場合は、より単純で透明性の高い計算や専門家の判断にフォールバックします。また、言語モデルは非構造化ドキュメント（ポリシー文書など）をマップの構造へと整理するためだけにのみ使用されますが、これは人間の専門家が作業を検証した後に行われます。これにより、リスク計算の核心となる数学的根拠が検査可能で信頼できる状態に保たれ、コンピュータがどのように結論に至ったのか誰も分からないという「ブラックボックス」問題が回避されます。

マップが構築され、各ステップの可能性がスコアリングされると、システムは数千回のシミュレーションを実行し、攻撃者がクラウンジュエルに到達する頻度を確認します。単一の数値を与えるのではなく、起こりうる年間の損失の分布を生成し、最も可能性の高い結果と最悪のシナリオの両方を示します。このアプローチにより、リスク委員会は、単純な平均値では見落とされてしまうような、稀ではあるが壊滅的な事象の「ロングテール」を含め、自社の財務的エクスポージャーの全貌を把握することができます。パズルの最後のピースは、利用可能なセキュリティコントロールとそのコストを検討するオプティマイザー（最適化器）です。これは、追加された場合に期待される財務損失を最も減少させるのはどの特定のコントロールであるかを計算します。つまり、個々の弱点がどれほど深刻に見えるかではなく、それが攻撃者の経路をどれだけ遮断するかに基づいて、修正の優先順位を決定するのです。

研究者たちは、典型的な金融機関を模したシミュレートされたクラウドデータプラットフォーム上でこの手法をテストしました。彼らは13種類の異なる資産状態と18の可能な攻撃ステップを含むシナリオを作成し、それぞれに現実的なコストと潜在的な損失を割り当てました。このシミュレーションにおいて、システムは、銀行の最も価値のあるデータへの最も危険な経路は、最も明白で高深刻度の脆弱性から来るものではないことを特定しました。代わりに、最大の懸念は、サードパーティベンダーの統合を含む一連のステップから生じるものでした。この経路における個々の弱点は中程度の深刻度スコアを持っていましたが、それらが連鎖することで、クラウンジュエルへの高確率なルートを提供していたのです。

研究者が、単にスコアの高い脆弱性を優先的に修正するという従来のアプローチとこの新しい手法を比較した際、財務的な保護における差は顕著でした。30万ドルの固定予算を使用した場合、従来の深刻度ベースのアプローチでは、期待年間損失を約41パーセント削減できました。対照的に、特定の経路を意識した新しい手法は、クラウンジュエルへと続く特定の連鎖を断ち切ることに焦点を当てることで、期待損失を85パーセント削減しました。システムは、サードパーティベンダーを隔離し、シークレット（秘密情報）をローテーションすることに資金を投じる方が、単一の最高評価の欠陥をパッチ修正することよりもはるかに価値が高いことを正しく特定しました。その欠陥は、クリティカルなデータへの経路としては可能性の低い場所に位置していました。

本研究は、このアプローチが技術的なセキュリティの知見と財務的なリスク管理の間の溝を埋める、強力な意思決定支援ツールを提供すると結論付けています。これは人間の判断に取って代わるものでも、自律的に行動するものでもありません。むしろ、なぜ特定のコントロールを優先すべきかについて、明確でデータに基づいた根拠を提供するものです。リスクを単なる「点のリスト」ではなく「旅路（ジャーニー）」として扱うことで、この手法は、最も危険な脅威とは、目立つものではなく、点と点をつなぎ合わせるものであるということを組織に理解させる助けとなります。ここで示された結果は合成されたシミュレーションに基づくものですが、フレームワーク自体は現実世界のデータに対して検証されるように設計されており、より複雑なデジタル世界における、より精密で効果的な財務リスク管理への道筋を提示しています。