セキュリティ製品「第三者評価」の読み解き方、AV-Test や MITRE Engenuity など

　トレンドマイクロ株式会社は6月20日、セキュリティ製品の第三者評価の読み解き方について発表した。

　セキュリティ製品の導入において、複数のセキュリティ会社を比較し、自社に適したセキュリティ製品を導入する際に参考にすべき、AV-Test、AV-Comparatives、IDC、ガートナー 、Forrester、MITRE Engenuityなどが行うセキュリティ製品の第三者評価の読み解き方を解説している。

　AV-Test、AV-Comparativesなどセキュリティの研究機関では、マルウェアや脆弱性の検知率については、今現在のサイバー攻撃で実際に使用されるマルウェアを検知できるかで評価しており、マルウェアや脆弱性の検知率を評価するようなレポートを参考にする場合は、あるタイミングを切り取った検知率や「業界No.1」という表現に惑わされず、継続的に高い評価を得られているか否かを確認することが重要であるとしている。

　Forresterを代表する調査会社は、エンドポイントセキュリティ、クラウドセキュリティ、XDR（Extended Detection and Response）など複数のカテゴリを設け、それらのカテゴリに含まれるセキュリティ会社が提供する製品の機能やビジョンを評価しており、そのカテゴリの複数の項目を評価した上で、製品を提供するセキュリティ会社がリーダーのポジションに位置するか、チャレンジャーなのかといった評価を行っている。

　またMITRE Engenuityが実施するサイバー攻撃に対する評価テスト「ATT&CK Evaluations」では、実在するサイバー攻撃者グループの攻撃手法に則り、模擬的なサイバー攻撃で製品やセキュリティオペレーションの評価を行っている。実際にサイバー攻撃者グループが行う手法を模倣して攻撃を行うこと、セキュリティ会社が提供する製品が実装される模擬環境にサイバー攻撃を行うこと、製品による防御だけではなくセキュリティオペレーションの能力も評価される等で、近年セキュリティ業界ではMITRE Engenuityが実施するテストで高評価を得られることが大きなアドバンテージとなっている。