wakatonoの戯れメモスマートフォン用の表示で見るwakatonoの戯れメモはてなダイアリーから引っ越してきました。脆弱性情報等に関する情報のエスカレーションプロセスの策定」の後にも考えるべきことが2つあった。それは、「深刻な脆弱性を保有するシステムに対する『システム停止を含む緊急対応』の事前策定と関係者間の合意」と「策定したプロセスが機能す...追記:マネジメント側で出来る最大の対処2017-05-04結び:現場の営みをうまく拾ってエスカレーションを行えるしくみの構築と運用が必要Security脆弱性は、「早期発見&即対処」を行えればベストだが、これはシステムの規模や影響を考えるとかなりの無理筋とも感じる。評価」「迅速な対処」をいかにスムーズに行うか?がカギになる。早期発...結び:現場の営みをうまく拾ってエスカレーションを行えるしくみの構築と運用が必要2017-05-04再発防止は「再発防止策が機能したら、発生したインシデントは発生しなかったか」がカギSecurityこれは私見だが、再発防止策を考えるときには、考えた策を適用することで「発生したインシデントが発生しなかったか」の検証が必須と考える。「今やってること」「今やってないこと」「やるべきこと」「今やるべきこと」「今後やるべきこと」の層別...再発防止は「再発防止策が機能したら、発生したインシデントは発生しなかったか」がカギ2017-05-04再発防止には「入手した脆弱性情報の適切な評価」をプロセスに含めることも対策に含めるべきではないかSecurity脆弱性情報は、早期に入手すればするほど「危険性の評価」が難しくなる傾向にある。これは、公開情報などを契機に「早期に」入手できた情報には「PoCなどが伴わない」ことが多いからだ。脆弱性情報等に関する情報のエスカレーションプロセスの策定」だけでいいのか?という...再発防止策が偏ってるなぁ...と感じるのはオレだけか?2017-05-04「全社的リスク管理の課題」は本当に真の課題か?Security現場に寄り添うべき立場の者として、この課題(の記述)は少し腹立たしい。報告書中、以下のような記述がある。本件事故の原因とも言える「大規模の脆弱性発覚」のリスクは、本来、看過できない重大なリスクであったと考えられるものであるが、経営管理の...「全社的リスク管理の課題」は本当に真の課題か?2017-05-04よくわからない点:脱Struts宣言を出したものの、リスク含みの既存システムへの対応が不十分なあたりSecurity新規開発でStrutsを使わない宣言を出したのは評価出来るけど、既存システムへの対応がない(ように見える)のが不可解。2使用システムの再構築には至らなかった」とあるが、これは正直「システム運用の現場」を理解していない(理...よくわからない点:脱Struts宣言を出したものの、リスク含みの既存システムへの対応が不十分なあたり2017-05-04ヤバさを認識するまでが遅いのがBadSecurityヤバさを知覚してから対応に入るまでの速度が高速なのはいいのだけど、脆弱性が公開された時刻からGMO-PG側で脆弱性情報を確認し、ヤバさを知覚するまでの時刻に開きがありすぎというのがヤバい。18:00にヤバさを認識し、同日21:56にWAFによるブロックを開始したのはGood。2:15にインシデントが発覚し、公表が同日18:22に行われている。関係各所の調整も含めて16時間で公表というのは、個人的な所感では超高速だと感じる。インシデント発覚から公表までの期間の短さはGood2017-05-04再発防止委員会の構成Security専門家アドバイザーが少し偏り気味でないかい?と思ってたり。構成2017-05-04GMO-PGさんに対する不正アクセスの調査報告書を読んで...2ヶ月前にGMO-PGさんが受けた不正アクセスの調査報告書が出てたので、読んでみた。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。