Tokyo」が開催された。~」というタイトルの下、講演を行った。日本国内のほか、世界42都市に就航するANAグループのITインフラはどのようにして、守られているのだろうか。阿部氏の講演から重要インフラを提供する企業が考える情報セキュリティ対策の在り方を明らかにしてみたい。Team)の啓発活動を推進する阿部氏は、セキュリティ業界において著名人である。強化」「防御基盤の強化」について、説明した。できる情報」に分けて示した。阿部氏は、それぞれの情報には、「鮮度」「どう活用するか」「信頼関係」というパラメーターがあると語った。鮮度とは、情報のフレッシュさでを意味する。予防として内容の確実性よりも即時対応が必要な場合は早期情報として1次情報を、対応内容の再確認や点検を目的とし、確実性を重視した対応が必要な場合は公的機関などが発表する2次情報を利用すべきとのことだ。「活用」については、受け取る側のレベルに応じて、要・不要も含めて、伝えないと意味がないという。Faceの付き合い」を挙げた。情報共有のレイヤーは共有の目的や内容によって異なり、日本シーサート協議会では3層に定義していることが紹介された。Manual(以下、CMM)」を紹介した。対策本部の設置、危機対応の実施内容などが定められており、ITシステムのセキュリティもここに含まれる。ANAグループの情報セキュリティセンターでは、人的分野、情報システム分野に分けて、スコープを分けている。続けて、阿部氏は、システム障害時、セキュリティインシデント発生時の障害対策本部を紹介した。重大なセキュリティインシデントが発生した時は、「ASY-CSIRT」と障害対策本部が連携して、障害復旧に努めるという。ANAグループのCSIRTでは、「脆弱性情報を入手した場合」「DoS、DDoSなどのサービス妨害を受けた場合」などの8種類のケースを想定して、実際に訓練を行っているという。阿部氏は、障害対応体制を強化する上で、リスクアセスメントが重要であり、それには資産管理がきちんと行われている必要があると指摘した。加えて、インテリジェンスの利用にも触れた。インテリジェンスを利用する目的としては、「攻撃キャンペーンなどの動向を監視し、ターゲットや攻撃手法を入手することにより、防衛体制を整備する」「規模に発生しているサイバー攻撃の内容を分析し、自社に降りかからないように防衛体制を整備する」「アンダーグラウンドに流通している自社に関する情報を入手して、それらを悪用した攻撃に対抗する防衛策を整える」の3つがある。「防御基盤の強化」においては、セキュリティオペレーションの自動化・効率化がカギとなる。Center:SoC)は疲弊してしまうという。阿部氏は自動化できる情報として、各種インディケーター情報の対応や脆弱性関連の情報を挙げた。単純作業を自動化した結果、SoCには、共有された情報やインテリジェンスを活用することで、高度な攻撃に対する高度な分析に専念させることが可能になる。阿部氏はインテリジェンスを活用する上での課題として、「米国やEUに関する情報は多いが、アジアの情報は乏しい。データを集めることは可能だが、そこから先の"人による分析"が今後の課題。分析内容は、ベンダーによって差が出てしまう」と話した。取得したインテリジェンスは経営層にも共有することが重要となる。これにより、経営者との信頼関係も良好になり、必要な対策に対して、経営判断が早くなるという。阿部氏は、人材育成においては「セキュリティ専門ではない一般企業だからこそ、セキュリティ担当の「評価とスキルパスが重要」と述べた。ANAグループでは、役割とスキルを掛け合わせて、セキュリティ人材のモデルを設定している。加えて、ジョブローテーションも踏まえ、社内の人事制度とのすり合わせも必要だという。飛行機という重要インフラを担うANAグループだけあって、重厚かつ堅牢な体制が構築されており、一朝一夕で真似できるものではないだろう。昨今、セキュリティ人材の不足は深刻であり、人材育成については特に力を入れたいところだ。参考になる部分から取り入れていくことで、情報セキュリティのための体制の強化を図っていかれてはいかがだろうか。※本記事は掲載時点の情報であり、最新のものとは異なる場合があります。Corporation。