情報を守り、未来を創造するパイオニアとしての信頼と自信で、もっと先へ最高峰のセキュリティサービスと、ITトータルソリューションを提供します。:サイバー救急センター®セキュリティに係るお客様の緊急事態に際し迅速にお客様をご支援する緊急対応サービスです。緊急事態が発生したら今すぐ「サイバー救急センター」にご相談ください。標的型攻撃インスペクター(セキュリティ診断員)新しい年との区切りで用いられる「ゆく年くる年」。ラックのセキュリティ診断は、人間でいう成人となる約20歳となったことから、この区切りで「行く診断来る診断」として、これまでの診断サービスと、これからの診断サービスを語り合う企画。前回の「行く診断」では、日本で最初にセキュリティ診断サービスを始めたきっかけや、診断事業の難しさ、うまい活用の仕方について語り合った。これからの診断を語り合う「来る診断」は、どんな流れになるのか。:前回の「行く診断」は20周年を振り返るということで、回想も含め、割とライトな内容でした。今回の「来る診断」では、診断サービスを取り巻く脅威や技術的な変化はもちろんですが、お客様や社会的な要請の変化を踏まえ、今後の診断サービスが向う先について考えたいですね。:情報システムを取り巻く環境としては、クラウド活用の進展やスマートフォンなどモバイル端末の利用、はたまたIoTといったことが真っ先に思いつきます。した情報システムの変化は、診断サービスにどのような影響があるのでしょうか?まずは、クラウド環境におけるセキュリティ診断についてはいかがでしょうか。:私はサーバやネットワーク機器などのセキュリティ診断を行うプラットフォーム診断を担当しています。AWSやAzureなどのクラウドに構築されたシステムは増えていますが、IaaSのようなクラウド環境で動いているUNIXやWindowsといったプラットフォームに対するセキュリティ診断の必要性は変わりません。:私はWebアプリケーション診断を担当していますが、Webアプリケーション診断についても同様です。クラウド環境であれオンプレミス環境であれ、Webアプリケーションのセキュリティ診断を実施し、脆弱性がない状態でサイトを公開する必要があります。:クラウドの場合は、クラウド事業者にセキュリティ診断の申請が必要な点は異なりますね。この辺のことはブログでもクラウド環境で稼動するサービスの脆弱性診断として取り上げています。:ユーザーが手を加える箇所はすべてセキュリティ診断を行ったほうがいいと思っています。可変の要素があるので、変更した(された)箇所に関してはすべて脆弱性有無を確認する必要があります。「提供されているイメージを使っているから大丈夫だよ」というお客様もいらっしゃって、何を診断しなければならないかが切り分けられていないようです。実際はほとんどのお客様が何らかのカスタマイズをして、クラウドのインスタンスを使っているはずなのですが。:Webアプリケーションのセキュリティ診断をしていると、CMSやスクリプトのエンジン、ミドルウェアなどが原因で脆弱性が検出される場合があります。アプリケーション開発のご担当に説明しても、利用しているサービス事業者の範疇なので相談しないと直せない、などの理由で対処が進みにくいケースがあります。各担当間で、だれがセキュリティ品質に対してリードしてゆくべきかが明確ではないため、全体を連動させる施策が思うように進まないもどかしさを感じることがあります。Top10」がありますが、この中でも「既知の脆弱性を持つコンポーネントの使用」が掲載されています。実際、既知の脆弱性を持つコンポーネントが利用され続けているWebシステムはかなりの割合を占めているようです。サーバやネットワークなどのプラットフォーム診断とWebアプリケーションの診断を組み合わせて実施し、システム全体のセキュリティについて俯瞰的に判断して行く必要がありますね。:スマートフォンには、個人情報だけでなく、写真やメモなどの重要情報が保存されています。スマートフォンは持ち歩く端末ですので、盗難や紛失などによる機器やデータのロスという脅威はPC以上にあります。PCと同様にスマートフォンがマルウェアに感染し、マルウェアが端末の重要情報にアクセスするといった脅威への対処も考えなければなりません。:これまでセキュリティ診断は、企業が利用する情報システムや、企業が提供するサービスといったもののセキュリティ品質を高めるために活用されていました。ところが、IoTでは、企業が販売する製品がインターネットでつながることになります。なると、IoT機器特有の、新しいサイバー攻撃の脅威が顕在化してきます。近い将来には、人命にかかわるような被害も出てくるかもしれません。:スマートフォンアプリのセキュリティ診断需要はこの一年で倍以上に伸長しています。当社では、2年前にセキュリティ診断部門内に専任チームを作り対応しています。今のところ、多くは一般消費者に向けて提供されるスマホアプリが主体です。:IoT機器の研究開発を行っているのはベンチャーやスタートアップのような小規模な企業が多く、予算面で非常に厳しいのが実情で、セキュリティ対策に費用を捻出するのは困難な現状もあるようです。:スマホアプリの開発においてもセキュリティ対策予算は厳しいのが実情です。セキュリティ対策についての浸透度は高いのか、セキュリティ診断の活用には前向きのようです。サービスや製品の開発を行う場合に、企業のセキュリティポリシーでセキュリティ品質の確保を義務づけている企業があり、そういった会社はスマホアプリも対象のようです。:すべての予算を製品機能の開発に投下せず、セキュリティ品質の向上に寄与する施策にも投下してもらえればと思います。セキュリティ品質というのは、どのレベルまでを担保すれば良いかも明確ではないのが現状ですから、ガイドやツール整備に加え、建築基準法のような法整備といったものが必要かもしれません。:クラウドやモバイルの進展の背景には、ビジネスをより機動的にしたい、というビジネス環境の変化があります。それを支える開発現場でも、アジャイルやスクラム、あるいはDevOpsと言われるような開発スタイルが浸透してきています。利用されながら製品開発を進めてゆく新しい開発スタイルにおいては、より頻繁に製品のリリースが行われています。:開発スタイルが変化しても、これまでのように製品やサービスのリリースに向けて、総合的なセキュリティ品質を検証するのは引き続き大切です。何をもってリリースのハードルを越えさせるかという目標設定として重要だからです。リリース直前に行ったセキュリティ診断で致命的な問題が発見されると、その修正はかなり手戻りが発生するケースがあります。Controls」というドキュメントを公開しています。Top10で示されるような脆弱性を作りこまないようにするために、開発者はどのように取り組むべきか?というドキュメントです。この中で安全なソフトウェアを開発するために最も大事なことは「早期に、繰り返しセキュリティを検証すること」とされています。:Webサービスやスマホアプリのように利用されながら機能を追加し、不具合を修正するといった開発サイクルの場合、リリースのタイミングだけでセキュリティ品質の検証をするというのは、利用者保護の観点で好ましくないと思っています。開発の要所でセキュリティ品質の確認をするのは、DevOpsによる開発においても大変重要になってきます。:システムをリリースする最終局面だけでセキュリティ診断をするのではなく、開発の早い段階から繰り返しセキュリティ診断を行うことで、セキュリティ品質を高めていく。実際、非常に多くのシステムやサービスを提供している場合に、定常的に診断をし続ける、という形で当社の診断サービスをご利用頂いているお客様もいらっしゃいます。:ビジネスやシステム開発の現場はどんどんスピードアップしていくでしょうから、開発スタイルの変化に併せて診断サービスの提供形態も変化していかなければなりません。システムテストの最終局面でセキュリティ診断を行うだけでなく、より上流工程からセキュリティ品質を担保していくための支援を行っていきたいと考えています。:私は営業担当なので、お客様とお話をする機会が多いのですが、セキュリティ診断の自動化に関心を持っている企業は増えています。海外ではコストを下げるために、診断のスピードを高めて回転を上げる取り組みを、積極的に進めているようです。お客様自信がセキュリティ診断を定常的に行い、より高度にカスタマイズしたセキュリティ診断をラックに依頼されるような流れもありそうです。(DARPA)が開催した機械学習システム同士のハッキング大会「サイバーグランドチャレンジ」で、相手のシステムの脆弱性を自動的に発見する取り組みがあったように、当然このような流れは出てくるでしょう。これらコンテストがすぐにマーケットに影響を与えることは無いと思いますが、明らかに機械学習を加速させる動きだと思います。問題を突かれています。プラットフォームやソフトウェアといった製品技術面からセキュリティホールを探し出す手法と共に、脆弱なセキュリティホールがあると仮定して、サイバー攻撃を受けたらそれを防げるか、攻撃された痕跡を手に入れられるか、といった部分を把握できるセキュリティ診断が求められるかもしれません。:これまでの多くの診断は、ブラックボックス検査といって外から見える部分から診断を行ってきました。これに対して、管理者に成り代わって現在の認証設定などの情報を抽出し、設定不備などを洗い出して報告するホワイトボックス検査に当たるのが「認証スキャン」というサービスです。認証スキャンでは、レジストリの内容やハードニングに必要な設定項目を診断できるので、より効果的なセキュリティ診断が可能です。これは小笠原さんのお考えに近いかもしれません。:ITセキュリティ予防接種でも、事故対応訓練の効果を求める企業が増えてきています。疑似標的型攻撃メールを受信した人がそのメールによってマルウェアに感染する人の割合を知る、というニーズから、疑似標的型攻撃メールを受信した方が、その後適切な対応としてCSIRTにエスカレーションできたかとか、周囲の人に相談したかといった行動を評価するようなニーズが増えてきました。実際に不正なメールから疑似マルウェアに感染してしまったら、攻撃者はその後どこまでに被害を広げられるのかを知りたいというニーズも増加しています。:セキュリティ対策の中でも防御箇所を探すためのセキュリティ診断から、被害発生を防げなかった際の被害の実態を知るためのセキュリティ診断という考え方も出てきたということですね。:前から話にあったけれど、ITセキュリティ予防接種とAPT攻撃耐性診断サービス「APT先制攻撃」をつなげると、標的型攻撃メールから侵入後の被害予測まで把握することができるってことですね。それから、今のITセキュリティ予防接種は、何百人に一斉にメールを送り、実施する時期もある程度予測できるようにして実施していますが、たとえば少数に対して、いつ疑似標的型攻撃メールを送るかを伝えずに実施する「抜き打ち診断」のようなサービスも提供してみたいと思っています。:こういう環境だったらこういう被害につながりますよ、とはっきり報告するとお客様は逆にホッとされるようです。問題点が明確になり、得体の知れない不安がなくなるようですね。:ここまで、クラウドやモバイルの進展など、企業の情報システムを取り巻く環境の変化の話から、プロアクティブなセキュリティ診断の活用などに進んできました。「行く診断」で振り返ったとおり、この20年でセキュリティ対策を取り巻く環境は変化してきています。診断だけでなくJSOCやコンサルを始めたとしたセキュリティサービスを提供する会社としての意気込みをお聞かせください。:これまでのセキュリティ診断は、システム毎にそれぞれのご担当者から実施依頼が来ていましたが、徐々に会社や組織単位でのセキュリティ診断が増えてきました。会社全体のシステムのセキュリティ品質の「見える化」や脆弱性管理といった要望が増えてきているのです。セキュリティ診断サービスとしてはこれまでのように単に脆弱性を指摘するだけではなく、リスク管理の一環としてお客様に貢献していかなければならないと思っています。:おかげさまで、ラックの診断は、ものすごくリピート率が高いんです。対応力や技術力などをご評価していただいていると思うのですが、今後必要なのはよりお客様に近づくことかな、と思ってます。各個別のシステムの診断に対応するだけではなく、お客様の「クセ」のようなものを押さえて、先ほどからお話が出ている「被害発生を前提としたペネトレーション診断」や、そこから啓発教育、CSIRT構築・運用支援など、お客様が企業を守るために必要な取り組みを、まとめて提供できることが重要だと考えています。:セキュリティ診断は、急速に需要が高まっていることは間違いありませんが、まだまだ啓発を続けていかなければならない分野です。ハイエンドな企業はセキュリティ診断の先のサービスを期待しているというのもあり、広く深くビジネスを展開しなければならないということが分かりました。ここからは、次の20年間のサービスを意識して、われわれ自身のスキルアップと機械学習を含めた新技術の採用、そして何よりお客様と日本を守るという強い思いを胸に、がんばってゆきたいですね。サービスとの連携の重要性などが理解できました。昨年末に公開した「行く診断」で語られた、ラックのセキュリティ事業の基点はセキュリティ診断という言葉。セキュリティ対策の基点も、現状がどうかを知ることから始まるのかもしれません。