設置のハードルを消防団のような仮想組織とすることで乗り切るQ:官民挙げてCSIRT設置の必要性が叫ばれているものの、いざ社内に構築するにあたりさまざまなご苦労があったかと思います。どのように体制作りやルール作りに取り組まれましたか?A:調査権限を持つCSIRT室を社内で設置するにあたりハードルが高いことは事実です。当社は以前より、組織化されないまでもCSIRT的な取り組みを行っていた実績があったので、テクニカル的な面や実務的なことはあまり大きな問題ではありませんでした。室に参加するリーダーは職位なのか、どのような権限を持つのかを決めるためにさまざまな議論がありました。調査権を持つことなどを決め、職位や管理職を増やさず機能ユニットとして活動するを明確にしました。当初はCSIRTの規程を有事に絞って考えていましたが、調査を進める中で平時の取り組みも重要だということが指摘され、平時での体制作りや改善活動なども規程に追加することになりました。ヶ月半ほど時間がかかりました。していること、また政府一般調達においても契約書の条件にCSIRTを整備し経営責任者の関与と責任の明確化を盛り込むことなどが提言されている旨を説明し、そうした国の施策の流れに乗り遅れてはならない点を強調したことで理解を得ました。役割として、サイバーキルチェーン(※)の断絶と、ログ分析によるサイバー攻撃の見える化、情報セキュリティビッグデータにおける検知可否事象の明確化などについて力説されていました。あり、標的型攻撃対策では「未知の攻撃」や「ゼロディ攻撃」であることが多く、100%守ることは非常に困難です。件の報告を受け付けているほか、監視マシンからエスカレーションされるアラートなどでセキュリティインシデントを発見しています。その基となるのがログです。ログはタイミングを逃すと埋もれてしまうため、複数のログソースを統合して高速に検索し、時系列分析や相関分析を行うことで攻撃者の足跡を追跡する情報セキュリティビッグデータの解析が必要になるのです。数十分もかかっていては攻撃者のスピードに追いつくことができません。そこで巡り会ったのがマクニカネットワークスが提供するマシンデータ分析プラットフォーム「Splunk」でした。選択した理由や、選定の決め手となった技術的優位性について教えてください。ことは以前より知っていましたが、ログ管理製品の一種だと思い込んでいたのであまり注目していませんでした。機能をデモで詳しく紹介され、ログ解析ツールとしても非常に優れていることを初めて知りました。格段に高速検索が可能な上に、ドリルダウンによってさまざまな評価軸で分析できることを発見し、今までやってきたことは何だったのかと衝撃を受けたほどです(笑)。検索機能では、攻撃はどこから来ているのかがグラフで表示され、リアルタイムに可視化できる点に注目しました。検索で捕捉したものから表示してくれるので、目的のログを見つけ次第、次の検索に移行でき、非常に効率的です。側の作業時間や人件費も大幅に削減できるメリットも感じました。春での出会いから導入までのスケジュールと現在の具体的な運用方法について教えてください。独自機能や特徴などをより深く学んでいきました。システムから生成されるデータの収集・検索・分析が可能なことを知ったのも、そのハンズオンセミナーからだったと記憶しています。導入を正式に決定しました。月から本格稼働を開始しています。使いこなせるように整えてもらいました。現在は、ネットワークやセキュリティ機器のログを全て相関分析しています。イベントやインディケーターが発見された時に分析したり、コンテンツフィルターに引っかかった場合に定期的に分析したりしています。活用の効果についてご説明ください。機器のログでも自由に検索をかけられ、ドリルダウンして追跡できる汎用性の高さには改めて驚いています。使いこなせない可能性もあります。最適だと考えています。本格稼働後に、何かのアラートをトリガーに分析した結果発見したケースはありますか?A:幸い、まだ外部からのサイバー攻撃によるインシデントは発生していませんが、社内での間違った使い方については検知し是正するようにしています。アミューズメント施設の建設も手掛けているため、世界中のさまざまな知識や情報を知る上では情報を収集する必要があり、規制することはできないのが現状です。活用しようと考えています。セキュリティインシデント調査以外にも、システムの安定稼働やビジネス活用に向けた調査など何でも簡単にできてしまうため、分析作業にのめり込まないよう、自制する勇気も必要だと感じているところです(笑)。運用予定についてお聞かせください。経営情報を投入して戦略分析するような活用機会も出始めており、従来とは異なる使い方に展開できるのではないかと期待しているところです。)ループ」と呼ばれる事故前提の対応体制です。ループにおける知識が少なかったため、マクニカネットワークスのセキュリティ研究センターの助言を得て、徐々に整備し始めているところです。スタッフに対しては、そうした図解できる運用フレームワークがあるとサイバーキルチェーンへの対処が説明しやすいと考えています。今後もマクニカネットワークスには、マルチベンダーの強みを活かして国内外の最新技術情報を幅広く提案していただきたいと思っています。(ビジネスを推進するための情報セキュリティ)というスローガンは、情報セキュリティこそがビジネスに貢献しているという北村様の信念に通じるように感じますが、この言葉に託した思いをお聞かせください。月に全社員にワンタイムパスワード発生器を配付し、二要素認証を社内で実施することで電子情報を社内の正式文書として活用し始めました。それもセキュリティが確保されていたからこそ実現できたことで、何のためのセキュリティ対策なのかを考えるにあたり、その全てがビジネスや何かを実現するために必要な行動であるべきなのです。情報セキュリティにたずさわる皆様には、ぜひ情報セキュリティこそがビジネスを加速しているのだというプライドを持って日々の業務に取り組んでいただきたいと思っています。北村達也氏は、まだ国内の一般企業では数少ないCSIRTの「T-SIRT」を立ち上げから関与し、現在もリーダーを務めている。2014」では企業事例として講演に登壇。おける情報セキュリティビッグデータに大きく貢献している「Splunk」の導入経緯についても振り返っていただいた。