将来の脅威に対処するためのロードマップ
強力なセキュリティポスチャを構築することは、将来の脅威に備えるとともに、新たな要件にも対応できるようになることです。一部の Linux ディストリビューションでは、ユーザーがこれを自力で行わなければならない場合もあり、コミュニティで解決策を探しながら手探りで対応することになります。
Red Hat Enterprise Linux は、新たな脅威の監視とその脅威に備えるアプローチの開発を積極的に行っている製品開発チームによって支えられています。そうした Red Hat エキスパートはセキュリティ・コミュニティでメンバーとして精力的に活動しており、その多くが、Linux システムのセキュリティとコンプライアンスを監視するためのオープンソース・フレームワークである OpenSCAP プロジェクトに関わっています。
各地域のコンプライアンス準拠に関する世界的な要求の高まりに対応
Linux ディストリビューションの選択におけるもう 1 つの重要な検討事項は、チームや顧客が求めるさまざまなコンプライアンス要件をサポートできるかどうかです。そのディストリビューションは、一般的なサイバーセキュリティの検証と認定を幅広くサポートしていますか？それとも、そうしたサポートの実装方法を後で調べる必要がありますか？
Red Hat は長年にわたり、Red Hat Enterprise Linux に多大な投資を行ってきました。その目的は、この OS をお客様が地域の厳格なグローバルセキュリティ要件を満たし、セキュリティのベストプラクティスを可能な限り効率的に活用するために最大限に役立つものとすることです。40 以上の国に 100 を超えるオフィスを有する Red Hat のチームは、国によって異なるコンプライアンス規制が多数存在することを理解しています。
各地域のコンプライアンス要件に対応するために、Red Hat Enterprise Linux をはじめとする Red Hat の製品およびソリューションはさまざまな検証と認定を受けています。
効率的なデプロイ方法
セキュリティ要件を満たし、必要なベストプラクティスに従うことは、セキュリティチームにとって負担となる場合があります。検査、検証、証明には時間がかかることもあるうえ、複数のチームによる高度な取り組みが必要になります。
Red Hat Enterprise Linux には、コンテナネイティブのアプローチを使用して OS のビルド、デプロイ、管理を行うためのデプロイ手法として、イメージモードが用意されています。これによってセキュリティチームは、検査や検証から、暗号化やオペレーティングシステムの基本要素のアテステーションに至るまで、コンテナセキュリティ・ツールを使用して実行できるようになるため、作業の複雑さが大幅に軽減されます。このアプローチにより、リスクが軽減されるだけでなく、効率も向上します。
プロアクティブなリスク管理
オペレーティングシステムは、潜在的な脅威やセキュリティ関連の問題に対する継続的な監視を維持する取り組みを、シンプルかつ効率的に行えるようにするものであるべきです。
Red Hat Enterprise Linux に統合されたエンドツーエンドのシステム管理ソリューションである Red Hat Lightspeed は、Red Hat Enterprise Linux ユーザーが問題を自己識別して報告し、ビジネスへの潜在的な影響に基づいてリスクの対応優先度を判断し、さらに自動化ツールチェーンを使用して次のアクションをトリガーできるよう支援します。Red Hat Lightspeed は共通脆弱性識別子 (CVE) をスキャンし、リスクの種類、重大度、影響に基づいて修正アクションの優先度を判断できるようにします。
チームが OpenSCAP ポリシーに対する規制コンプライアンスを監査したり、遵守できていないシステムを修正したり、コンプライアンスレポートを作成したりして、プロアクティブな対処を行うことができるよう支援します。また、Red Hat Lightspeed は、ハイブリッドクラウド環境全体のシステムにおいてアクティブなマルウェアのシグネチャを迅速に検出することもできます。
継続的なセキュリティサポート
標準化に使用する Linux プラットフォームの選択は、その後何年にもわたって組織に影響を及ぼす決断です。したがって、デプロイした後やその後の将来にわたって、どのようなサポートが受けられるかを確認することが不可欠です。
Red Hat Enterprise Linux では 10 年間のアップデートとメジャーリリースサポートだけでなく、継続的なセキュリティ脆弱性やその影響を緩和するための重要な対策の情報を提供する Red Hat カスタマーポータルへのアクセスが提供されるため、ユーザーは安心して運用できます。Red Hat の製品セキュリティインシデント対応チーム (PSIRT) は、ユーザーが新たな CVE のリスクと影響を理解できるよう支援し、修正のためのガイダンスを提供します。
信頼できるパートナーシップ、およびコラボレーションの歴史
Red Hat は、業界が主導し、協調して取り組んでいる数多くの責任ある情報開示プログラムに参加しています。Forum of incident Response and Security Teams (FIRST)、Open Source Security Foundation (OpenSSF)、Oasis など、数々のセキュリティ関連組織への参加において長年にわたり実績を積み重ねている Red Hat は、セキュリティ分野のコラボレーションにおけるグローバルパートナーです。
CVE Root 参加者として特別な役割を担っている世界中の 6 社のうちの 1 社として、Red Hat は CVE.org とともに、一般公開されているサイバーセキュリティの脆弱性を特定、定義、カタログ化するという使命に取り組んでいます。Red Hat は Root のロールを持つのに加えて、CVE 採番機関 (CNA) でもあるため、CVE ID を脆弱性に割り当てて CVE レコードを公開する権限を有しています。これは、新たな CVE に関する通知が Red Hat Enterprise Linux ユーザーに届いたときにはすでに、プラットフォームに精通しているセキュリティ・エキスパートのチームが、必要な修正手順の検索、評価、調査を精力的に進めているということを意味します。
コミュニティでの共有
他の Linux ディストリビューションを使用しているユーザーも、Red Hat のセキュリティ・プラクティスからメリットを得られます。高度なセキュリティを重視した OS としての Linux の評判を維持できるよう、Red Hat はオープンソースの理念に則り、Linux システムに影響を与える脆弱性に対する迅速な対応、パッチ適用、軽減の戦略においてコミュニティとのコラボレーションを重視しています。
Red Hat チームは、世界中のチームと連携してオープンソースのセキュリティ・プラクティスを開発しています。その例としては、OpenSCAP の作成、OpenSSF のメンバーシップ、OSV.dev への貢献などが挙げられます。
このコラボレーションの対象には Red Hat のコードも含まれ、コミュニティのメンバーは Red Hat のコードに対して検査、監査、レビュー、および貢献を行うことができます。
