はじめに
O'Reilly の「Cybersecurity Blue Team Strategies」（著：Kunal Sehgal / Nikolaos Thymianis）を読みました。本書はいわゆる「攻める側（レッドチーム）」ではなく、「守る側（ブルーチーム）」の視点から、サイバーセキュリティプログラムをゼロから構築・運用するための実践ガイドです。
セキュリティを本職とするエンジニアだけでなく、開発組織のなかで「セキュリティをちゃんとやらなきゃ」と感じている方にも刺さる内容でした。本記事では全体の構成を追いながら、章ごとの要点を整理します。
本書の構成
本書は大きく3部に分かれています。
- 第Ⅰ部：ブルーチームの確立（第1〜6章）
- 第Ⅱ部：脅威と制御（第7〜10章）
- 第Ⅲ部：戦略・優先順位・専門家の知見（第11〜12章）
以下、章ごとに要点を整理します。
第1章：防衛計画の確立
ブルーチームとは何か、という定義から始まります。組織のインフラにある脆弱性を特定し、パッチ適用やセキュリティ対策を通じて守る役割です。
チームは職能ごとに以下のロールで構成されます。
- SOCアナリスト（L1〜L3）：監視・トリアージ・エスカレーション
- インシデント対応者（IR）：侵害範囲の調査・封じ込め・復旧
- 脅威ハンター：能動的な脅威調査・SIEM ルール設計
- セキュリティ管理者：SIEM・SOAR・EDR などのツール維持管理
- IAM 管理者：認証・認可基盤の管理
- コンプライアンスアナリスト：内部監査・規制対応
ブルーチームに隣接するチームとして レッドチーム（侵入テスト担当）と パープルチーム（両チームの連携促進）も紹介されます。レッドとブルーは対立ではなく、協調することで組織全体の防御力を高めるという設計思想が強調されています。
人材育成についても丁寧に扱われており、CTF・ハッカソン・社内ラボ・メンタリング・継続的なトレーニングといった施策が具体的に列挙されています。サイバーセキュリティ人材の不足は世界的な課題であり、採用より前に「育成できる環境」を整えることが重要だと説きます。
第2章：防衛セキュリティチームの管理
チームを「感覚」で運用するのではなく、KPI・KRI（重要リスク指標） を設定して定量的に管理する方法論です。
ブルーチームのKRI設計は5フェーズで進みます。
- 発見：資産の洗い出し（オンプレミス・クラウド双方）
- 関連資産とKRIの指定：定量化・予測可能な指標を割り当てる
- ベースライン設定：コンプライアンスの許容レベルを定義し、しきい値を設定
- 監視・調査・報告：違反を検知し、エスカレーション・チケット管理
- リスク管理：セキュリティコストと資産価値のバランス調整
CIS Controls（18項目）が参照先として紹介されており、資産インベントリ・アカウント管理・脆弱性管理・ログ管理・インシデント対応管理といった領域ごとに指標化の考え方が示されます。
KRIの収集・可視化には GRC ツール・SIEM・RPA の活用が推奨されており、自動化による運用コスト削減の重要性が説かれます。「測定できないものは改善できない」という考え方が本章の核心です。
第3章：リスクアセスメント
NISTのリスク管理フレームワーク（RMF）を軸に、リスク評価の実施方法を解説します。
RMFは以下6ステップで構成されます。
- 特定：資産・情報の分類と影響分析
- 選択：NIST SP 800-53 コントロールの選択
- 実装：コントロールの展開と文書化
- 評価：意図通りに機能しているか検証
- 承認：CISO によるリスクベースの運用承認
- 監視：継続的なリスク評価
資産インベントリはSPN（サービスプリンシパル名）・IPアドレス・場所・説明・システム種別・プロダクトオーナー・コントロール・脅威の8カラムで管理することが推奨されています。SPNを実際のサービス名と切り離すことで、攻撃者が標的を特定しにくくする工夫も紹介されています。
リスク計算式は リスク = 発生可能性 × 影響度 というシンプルなものですが、「影響度を金銭換算する」視点（データ1MBあたりの価値 × 保有データ量 × リスクレベル）が現実的で参考になります。
リスク管理の責任者として CISO・SAO（セキュリティ意識向上担当）・CRO（最高リスク管理責任者）の三役が整理されており、組織のガバナンス設計に役立ちます。
第4章：ブルーチームオペレーション
ブルーチームが実際に何をしているかを「インフラ・アプリケーション・システム・エンドポイント・クラウド・インサイダー対策」の6領域に分けて解説します。
インフラでは、脆弱性評価・ネットワークセグメンテーション・ログ監視の三本柱が中心です。レッドチームとの連携による侵入テストを通じて「攻撃者に必要なスキルレベルを引き上げる」という防御思想が印象的です。
アプリケーションでは、開発サイクルへのセキュリティ統合（InfoSec チャンピオン制・スプリントごとの脆弱性評価・カンバン方式でのバグ管理）が紹介されます。DevSecOps の実践的な手順として参考になります。
エンドポイントでは、リモートワーク環境における課題が現実的に描かれており、VPN・最小権限原則・マルウェア対策・安全なブラウジング環境の組み合わせが推奨されています。
クラウドでは IaaS・PaaS・SaaS のセキュリティ責任範囲の違いを整理した上で、テレメトリ監視と異常なインスタンスの強制終了権限をチームに付与することの重要性が説かれます。
インサイダー対策では、「大辞職」後に顕在化した内部脅威問題を背景に、DLP・ゼロトラスト原則・内部専門チームの設置・一貫したポリシー適用が求められています。内部脅威の24%が人為的ミスまたは認証情報漏洩に起因するというデータが示されており、外部脅威だけに注目することの危険性が強調されます。
第5章：脅威
SIEM を活用した脅威の可視化と、脅威ハンティングのプロセスが中心テーマです。各種脅威インテリジェンスプラットフォーム（IBM X-Force・AlienVault OTX・VirusTotal 等）の活用方法や、IOC（侵害の指標）の収集・分析についても触れられています。
第6章：ガバナンス・コンプライアンス・規制・ベストプラクティス
GDPR・HIPAA・PCI-DSS などの主要規制への対応と、NIST・ISO 27001・CIS Controls といったフレームワークの比較が整理されます。規制対応は「コンプライアンスのための作業」ではなく、セキュリティ成熟度向上のドライバーとして位置付けられている点が実践的です。
第7章：予防管理
攻撃を「起こしにくくする」コントロールの実装について解説します。ファイアウォール・IPS・WAF・多要素認証・最小権限の原則といった予防的制御の設計・運用が中心です。
第8章：検出制御
SOC での検知ルール設計・SIEM の活用・アラートの優先順位付けといったテーマが扱われます。誤検知（False Positive）の削減が実務上の大きな課題として繰り返し言及されており、ルールの精緻化とチューニングの重要性が説かれます。
第9章：サイバー脅威インテリジェンス
戦略的・運用的・戦術的の3層に分けて脅威インテリジェンスを整理します。ダークウェブや IRC フォーラムを含む多様な情報源からの情報収集と、それを組織防衛に活かすプロセスが具体的に示されます。
第10章：インシデント対応と復旧
インシデント対応の全フェーズ（準備・検知・封じ込め・根絶・復旧・事後対応）を体系的に解説します。プレイブック・ランブックの整備と定期的な訓練（タブレットップ演習等）の必要性が強調されており、「起きてから考える」組織からの脱却が本章の主題です。
第11章：ブルーチーム戦略の優先順位付けと実装
これまでの章で扱った各施策を、組織の成熟度・リソース・リスクプロファイルに応じて どう優先順位付けして実装するか を論じます。全部一度にはできない。だから何から始めるかの判断基準が整理されています。
第12章：専門家の洞察
実務経験を持つ複数の専門家によるインタビューやコメントを収録した章です。金融・医療・行政など異なるセクターの現場から見たブルーチーム運用の課題と成功パターンが語られており、抽象論ではなく生の知見として参考になります。
総評
よかった点
- ロールと責任の整理が明快。SOC アナリスト・IR・脅威ハンター・IAM 管理者といった職能の違いが明確に定義されており、チーム設計の参考になります。
- KRI・リスク計算など「測定」の視点が一貫しています。「セキュリティは感覚でやるものではない」という姿勢が全章を通じて貫かれています。
- インサイダー脅威の扱いが丁寧。外部脅威に比べて軽視されがちな内部リスクについて、現実的な事例と対策がまとめられています。
- 城と病院のアナロジーが繰り返し使われており、難解な概念を具体的に理解しやすくなっています。
注意点
- 章によって情報密度のばらつきがあります。後半はやや薄めの章もあります。
- NIST ベースの方法論が中心であるため、日本固有の規制（個人情報保護法・サイバーセキュリティ基本法等）との対応付けは別途必要です。
- 翻訳版は存在せず、英語での読了が必要です。
対象読者
- セキュリティ運用チームの立ち上げや体制整備に関わるエンジニア・マネージャー
- SIEM・SOC・インシデント対応の全体像を把握したい方
- 開発組織でセキュリティ施策を推進する立場の方
- NIST RMF や CIS Controls を実務に活用したい方
おわりに
本書はブルーチームの「何を・なぜ・どう」やるかを一通り整理してくれる良書です。O'Reilly サブスクがあれば追加コストなしで読めるので、セキュリティに関心のあるエンジニアにはまず手にとってほしい一冊です。