概要

NCA（国家サイバーセキュリティ庁）のフレームワークは、サウジアラビアの国家資産および重要システムを保護するための、基本的なサイバーセキュリティ制御および運用要件を規定しています。エンドポイントフリート（Windows、macOS）の場合、コンプライアンスには、アイデンティティ、エンドポイントの強化、脆弱性管理、ロギング/フォレンジック、ネットワークセグメンテーション、サプライチェーンリスク管理、インシデント対応にわたる統合された制御が必要です。Trioのエンドポイント管理スタック（エージェント、ポリシーエンジン、テレメトリパイプライン、リモートサポート、および統合アダプター）は、NCAに準拠した制御を実装、証拠化、および運用するために構成できます。

サポートされているプラットフォームと主なユースケース

サポートされているエンドポイント：Windows、macOS（エージェントベースの管理）。
主なユースケース：国家安全保障、政府、防衛請負業者、金融、公益事業、および規制の確実性と実証可能なサイバーレジリエンスを必要とするその他の重要なインフラストラクチャ事業者。
地域範囲：サウジアラビア（主要）、GCC / MENA（二次）。規制対象のエンティティの場合、ローカルデータレジデンシーおよび地域ホスティングオプションを検討する必要があります。

ハイレベルアーキテクチャと安全なデータフロー

コアコンポーネント

Trioエージェント：構成を強制し、インベントリ/テレメトリを収集し、パッチ適用を管理するmacOS/Windows用のエンドポイントバイナリ。
コントロールプレーン：集中型ポリシーおよびテレメトリプラットフォーム（データレジデンシー用の専用テナントまたはプライベートホストオプションを備えたSaaS）。
アイデンティティ＆アクセスファブリック：SSO/MFAおよびライフサイクル管理のためのAD、Entra ID、SCIM、およびTrio IdPとの統合。
テレメトリ＆SIEM：安全なログ転送、構造化イベント、およびオプションのSIEM/SOARへのコネクター。
パッチ＆脆弱性オーケストレーター：ベンダーパッチソースおよび脆弱性スキャナーへのコネクター。修復と証拠のキャプチャを自動化します。
キー管理＆PKI：SCEP/EST、内部CA統合、重要な証明書のキーストレージ。

データフロー（安全、監査可能）

デバイスは、ゼロタッチ、自動登録、または手動オンボーディングを介して登録されます。デバイスIDは、証明書またはOAuthトークンによってバックアップされます。
エージェントは、インベントリ、構成状態、セキュリティポスチャ、およびコントロールチェックの結果を、相互TLSまたはHTTPSを介してコントロールプレーンに報告します。
コントロールプレーンは、ポリシーコンプライアンスを評価し、修復タスク（パッチジョブ、構成プッシュ、ポリシーの再割り当て）を発行します。
テレメトリ/イベントは、相関、エンリッチメント、および長期保持のためにSIEMに転送されます（必要に応じてWORMまたは追記のみ）。
証拠バンドル（コントロールチェックの出力、ポリシー割り当て履歴、ログ）は、監査のためにエクスポート可能です。

主要なNCA制御ドメインとTrioマッピング（選択的）

NCAフレームワークは、ガバナンス、技術的な強化、検出と対応、および継続性にわたる基本的な制御を重視しています。以下は、重要な制御ドメインと、Trioがそれらをどのように実装またはサポートするかを示しています。

1. ガバナンスとポリシー

NCAの意図：ポリシー、役割、および説明責任を正式化します。
Trioマッピング：集中型ポリシー作成、役割ベースの管理者制御、ポリシー割り当て監査証跡、ポリシーバージョニング、およびエクスポート可能なポリシー証拠（タイムスタンプ付き）。TrioのRBACを使用して、職務を分離します（管理者、監査人、オペレーター）。

2. アイデンティティ、認証、およびアクセス

NCAの意図：強力な認証、最小特権、およびアクセスレビューを強制します。
Trioマッピング：IdP（SAML/OIDC/Entra）と統合し、管理者コンソールおよびリモートセッションにMFAを強制し、条件付きアクセス（デバイスポスチャ+ネットワーク）を強制し、特権アクセスログと時間制限付きの特権昇格を維持します。管理されたサービスアカウントおよび非個人特権の処理をサポートします。

3. エンドポイントの強化と構成管理

NCAの意図：基本的な強化、安全な構成、および安全なサービスを適用します。
Trioマッピング：ディスク暗号化（FileVault/BitLocker）、安全なローカル管理者削除、安全なファイアウォールデフォルト、OSレベルの構成、およびDDMのような（宣言的な）強制をサポートされている場所で強制するためのポリシーテンプレート。ドリフト検出と自動修復。

4. 脆弱性とパッチ管理

NCAの意図：定期的なスキャン、優先順位付け、タイムリーなパッチ適用。
Trioマッピング：脆弱性スキャナーの取り込みを調整し、検出結果をアセットレコードにマッピングし、段階的なパッチロールアウトをスケジュールし、パッチウィンドウを強制し、更新前/後の証拠（パッケージハッシュ、更新ログ）を収集します。

5. ロギング、監視、および検出

NCAの意図：集中型ロギング、保持、検出機能、およびフォレンジックの準備。
Trioマッピング：エージェントからの構造化イベント（ポリシー変更、認証イベント、エージェントの健全性、リモートセッションメタデータ）、安全なTLSでSIEMに転送、署名付きログエクスポートのサポート、コントロールチェックトレンドの組み込みダッシュボード、および非準拠のドリフトまたは疑わしいテレメトリのアラート。

6. インシデント対応と脅威管理

NCAの意図：検出ワークフロー、プレイブック、封じ込め、およびフォレンジック。
Trioマッピング：SIEM統合、自動検疫およびリモートワイプアクション、フォレンジックレビュー用のセッション記録メタデータ（ポリシーで許可されていない限り、生の画面は表示されません）、およびプレイブックトリガー（デバイスの隔離、資格情報の取り消し、証拠スナップショットの収集）。

7. サプライチェーンとソフトウェアの整合性

NCAの意図：ソフトウェアの出所と整合性を検証します。
Trioマッピング：アプリケーションソース（署名付きパッケージ、ベンダーリポジトリ）を追跡し、許可リスト/拒否リストポリシーを強制し、可能な場合はコード署名を検証し、監査のためにインストールの出所を記録します。

8. レジリエンスと継続性

NCAの意図：運用継続性と復旧プロセスを確保します。
Trioマッピング：エージェントのオフライン機能（キャッシュされたポリシー）、段階的な更新ウィンドウ、HAコントロールプレーンオプション、およびパッチジョブの自動ロールバックマーカー。

NCA – 必須サイバーセキュリティ制御（ECC）フレームワーク

国家サイバーセキュリティ庁（NCA）が発行する必須サイバーセキュリティ制御（ECC）は、サウジアラビアのすべての政府機関および重要な国家インフラストラクチャに必要な基本的なサイバーセキュリティ対策を確立します。

各ECC要素は、X1.X2.X3.X4の構造に従います。ここで：

X1 → メインドメイン
X2 → サブドメイン
X3 → メインコントロール
X4 → サブコントロール

これらの制御により、セクター全体で一貫したサイバーセキュリティの準備、運用ガバナンス、およびデータ保護が保証されます。
以下は、エンドポイント、アイデンティティ、およびネットワーク保護に関連する最も関連性の高いECCドメインと、Trioがそれぞれをどのようにサポートするかを示しています。

1-9：人的資源におけるサイバーセキュリティ（2つの制御）
Trioは、アクセス取り消しを自動化し、従業員アカウントにMFAを強制し、オフボーディング検証の監査ログを提供します。
2-1：資産管理（2つの制御）
Trioは、リアルタイムのデバイスインベントリを維持し、所有権メタデータを割り当て、アセットデータをディレクトリおよびCMDBと同期します。
2-2：アイデンティティおよびアクセス管理（4つの制御）
Trioは、AD、Entra ID、およびSSOプロバイダーと統合して、MFAを強制し、SCIMを介したプロビジョニングを自動化し、監査のためにアクセス変更を記録します。
2-3：情報システムおよび処理施設の保護（4つの制御）
Trioは、エンドポイントの暗号化、ファイアウォールベースライン、安全な構成ポリシー、および継続的なコンプライアンス監視を強制します。
2-5：ネットワークセキュリティ管理（4つの制御）
Trioは、ファイアウォール構成プロファイル、安全なプロキシ強制、およびVPNおよびネットワーク使用状況のコンプライアンスチェックを提供します。
2-6：モバイルデバイスセキュリティ（1つの制御）
Trioは、MDMベースの暗号化、リモートワイプ、アプリポリシー強制、およびBYODおよび企業デバイスのデータ分離を適用します。
2-10：脆弱性管理（3つの制御）
Trioは、脆弱性スキャンを調整し、重大度別にパッチの優先順位を付け、重要な更新の展開を自動化します。
2-12：サイバーセキュリティイベントログおよび監視管理（2つの制御）
Trioエージェントは、構造化ログをSIEMシステムに転送し、不変のイベントストレージを維持し、継続的なポスチャ監視をサポートします。
2-15：Webアプリケーションセキュリティ（5つの制御）
Trioは、アプリケーションパッチ管理、ポリシーベースの更新、およびブラウザーおよびランタイム環境のシステムコンプライアンスを強制します。

これらのドメインは、NCAコンプライアンスの運用基盤を形成し、エンドポイントフリート、ユーザーアクセス、および組織インフラストラクチャがセキュリティレジリエンスと監査の準備を維持することを保証します。Trioは、WindowsおよびmacOSシステム全体で自動化されたポリシー強制、継続的なテレメトリ、および検証可能な証拠収集を通じてこれを実現します。

証拠と監査可能性 – 収集するもの

NCA監査の場合、不変のタイムスタンプ付きアーティファクトに焦点を当てます。

ポリシー割り当て履歴とバージョン（誰が、いつ、ターゲット範囲を割り当てたか）。
デバイス登録の証拠（証明書のサムプリント、登録タイムスタンプ）。
MFAイベントと特権セッションログ（ユーザー、デバイス、時間、期間）。
パッチジョブログと更新前/後のハッシュ。
脆弱性スキャンの結果と修復タイムライン。
リモートセッションメタデータ（イニシエーター、開始/終了、アクションの概要）、および記録が許可されている場合は保存された証拠ポインター。
アセットレジスタースナップショットと調整レポート。

証拠を署名付きのエクスポート可能なバンドル（PDF + JSONマニフェスト）に保存し、監査人がコントロールチェックの結果を照会するためのAPIを提供します。

運用ランブック（推奨されるシーケンス）

範囲と分類：規制対象のアセットを特定し、NCA制御ドメイン（CI/CD、ICS、管理者エンドポイント）にマッピングします。
プロビジョニングベースライン：企業デバイスのゼロタッチ登録を強制します。BYODフローには、条件付きアクセスのみがあります。
アイデンティティの強化：IdPを統合し、MFAを強制し、デバイスポスチャに基づいて条件付きアクセスを有効にします。
ベースラインの強化：暗号化、エンドポイントファイアウォールをプッシュし、ローカル管理者アカウントを削除し、DDM/MDMプロファイルを適用します。
脆弱性ベースライン：脆弱性スキャンをオンボードし、定義されたウィンドウ内で重要な項目を修復します。
監視とアラート：SIEMの取り込みを構成し、イベントスキーマを標準化し、上位インシデントのランブックを作成します。
監査の準備：定期的な証拠バンドルのエクスポートをスケジュールし、監査プレイブックをテストします。

展開とデータレジデンシーに関する考慮事項

地域ホスティング：NCA規制対象のエンティティの場合、プライベートテナンシーまたはKSA常駐のコントロールプレーンとローカルログストレージを推奨します。
データフロー：規制対象クラスの国境を越えたテレメトリを最小限に抑えます。国境を越えたエクスポートが必要な場合は、明示的な制御とデータ処理契約を提供します。
高可用性と整合性：重要なログのWORMまたは署名付き追記のみのストア。アーティファクトの署名にHSMを使用。災害復旧計画。

ユースケースと実践的なシナリオ

政府機関のラップトップフリート：ベースラインの強化、集中型パッチ適用、および記録されたアクセス監査による厳格な特権アクセスポリシーを強制します。
重要なインフラストラクチャベンダー：ツールのサプライチェーンチェックを強制し、制御システムで使用されるエンドポイントをロックダウンし、パッチ適用をメンテナンスウィンドウと統合します。
金融機関：支払い端末のエンドポイントポスチャゲーティングと、MFA +デバイスポスチャによって制限された特権ユーザーセッションを保証します。