1.0β」が公開された。NPO日本ネットワークセキュリティ協会のCISO支援ワーキンググループのメンバーによって作成されたこのハンドブックは、どのような狙いを持って作成されたのだろうか。中心となった4人のキーパーソンに、このドキュメントに込めた願いを聞いた。});「サイバーセキュリティ経営ガイドライン」は力強い味方、なのだが......皆さんは経済産業省が発行した「サイバーセキュリティ経営ガイドライン」をご存じだろうか。2015年12月に初版が公開され、ビジネスにおいてIT利活用を進める上で、セキュリティ投資をどう判断するかをまとめたものだ。Officer:最高情報セキュリティ責任者)に指示すべき内容がまとめられており、2017年11月にはVer.2.0が発行された。業界内でも評価の高い、貴重な資料といえる。情報セキュリティにおいては、これまでも多くのインシデントが報道され、組織をサイバー攻撃から守るべく、セキュリティ対策を所轄するCISOへの注目がいっそう高まっている。Team)に関する内容にとどまり、実務そのものが記載されているわけではない。そのため、「じゃあ、明日からCISO、よろしく」といわれてしまった責任者は途方に暮れてしまう。1.0β」が2018年5月に公開された。NPO日本ネットワークセキュリティ協会(JNSA)のCISO支援ワーキンググループのメンバーによって作成されたこのハンドブックは、どのような狙いを持って作られたのだろうか。今回は中心となって活動した4人のキーパーソンに、このドキュメントに込めた願いを聞いてみた。ガイドライン」が注目されています。重要な取り組みの一つですが、ポリシー順守を目的としたPDCA(Plan、Do、Check、Act)フレームワークとCSIRTが主要な内容で、CISO業務の執行に必要なビジネスの視点は取り上げられていないように思います。執行役員であり最高セキュリティ責任者の高橋正和氏は、「正直、5カ月位あればちょちょいとまとめられると思ったが、実際2年半かかった」と、その苦労を振り返る。「CISOに向け、サイバーセキュリティ経営ガイドラインには載っていない“業務執行”部分をまとめ、CISOがどう手を動かせばいいのかを示す。意味の広い経営という言葉を業務執行と置き換え、恐らく業務執行を念頭におかずに書いたであろうサイバーセキュリティ経営ガイドラインに残る“穴”を埋めるドキュメントにしたい」と高橋氏は考えていたという。それは、かなりの難作業だったようだ。経営会議に出るために必要な知識、例えば財務諸表の数字の意味やERM(エンタープライズリスクマネジメント)などを知らなければ、会話が成り立たないことが多い。セキュリティプロフェッショナル認定資格制度(CISSP)の知識だけでは足りない。ITの知識があるというだけでCISOになってしまうと、その点で行き詰まってしまうのだ。実際、高橋氏もこれまで在席していた企業で経営会議に参画したことがあり、その時には「怒られまくった」という。「コンサルビジネスを立ち上げたとき、事業責任者として数字を持つことになった。怒られた後、その部分を直して再度話しにいっても、また怒られた」(高橋氏)この時、高橋氏は「これはゲームが分かっていないのだ」と実感したという。「どういう仕組みで経営が成り立ち、経営陣が何のために議論しているかが分からなかった。経営者としてはごく当たり前のことなのだが、技術者の立場では触れる機会はなかった。急に経営陣の中に入ることになったら、私のように慌ててしまうだろう。技術者が経営陣に加わり“業務執行”するときにおさえるべき”前提”をまとめたものを、ずっと作りたいと思っていた」(高橋氏)。タスクを積み上げるな、「アーキテクチャ」を決めよセキュリティ計画を策定する際には、セキュリティから考え始めるのではなく、ビジネスコンセプトから始まる階層構造で考えることが必要です。情報セキュリティマネジメントの基礎知識」より)ワーキンググループにおける最初の打ち合わせでは、そもそもCISOはどのような位置付けなのか、という定義から始まったという。Officer:最高情報責任者)自体が破綻しているところが多く、ピンとこなかった。そもそも組織によって、その位置付けも大きく変わるのではないか、という話からスタートしていた」と述べる。高橋氏は“業務執行”にこだわった。「CxO」という名称から、責任を取る立場であることは明白だが、セキュリティに詳しい人が就任したところで何の業務をすべきなのか、そこがポイントだと考えたという。業務執行をする上でCISOが意識すべきこと、それはビジネスコンセプトに沿ったITコンセプトと、セキュリティコンセプトをCIO、そして他の経営陣と協力して構築するということだ。武田氏は「セキュリティの人たちは同じレイヤーでは話ができるが、例えば経営陣など違うレイヤーの人との会話は下手。これまではお互いが何の話をしているか分からなかった。結果、『あいつら分かってない』で終わってしまう」と述べる。会話がかみ合わないとどうなるか。「そうなると、現場では『どのアンチウイルスソフトにするか?』というようなことを議論し始める。これは“タスク”でしかない。本来はセキュリティアーキテクチャを考え、そのコンセプトに沿った形でセキュリティプランを考え、タスクを作る。階層になっているという考え方が日本では薄いかもしれないと考えた。製品を買ったら何とかなるなどタスクレベルの考え方で止まってしまうため、柔軟性が薄く、経営者と話が合わないのだ」(高橋氏)。CISOハンドブックでは、これを「情報セキュリティ計画フェーズの実施モデル」として三角形の図で表現している(図1)。武田氏は「その時の最新で、これまでと違うぞ、筋が通ってるぞという製品やソリューションだけを見ると、タスクから積み上がってくる。そんな報告が上がると、“これによって我が社のセキュリティレベルはアップしました!”と思い込むしかなく、本来重要なアーキテクチャ、コンセプト不在になる。この図とハンドブックで“自分の仕事”として考えてくれる人が増えるのではないか」とし、本ハンドブックにおいても重要な図だと述べた。エンタープライズ主催のセキュリティセミナーで、アクサ生命のCISOが登場し、CSIRTとサイバーインシデントレスポンスの取り組みを紹介した。同社では情報漏えいなどのシナリオを想定した“本気の”演習を毎年行っているという。脆弱性発見のプロ集団ーーリクルート「レッドチーム」の仕事とは?インシデントを未然に防ぐために、社内のセキュリティリスクを洗い出す「レッドチーム」。日本でいち早く“自前”のレッドチームを立ち上げたリクルートテクノロジーズに、そのミッションと日々の活動を聞いた。「平成生まれのハッカー社長」が考える、働き方改革に潜む“脆弱性”とは?働き方改革のために、セキュリティをどうすべきか——。エンタープライズが開催したセミナー「働き方改革のリアル」で行われた講演では、この難題をクリアするための考え方やさまざまなツールが紹介された。進まないCSIRT、設置予定なしが4割にも世界規模でランサムウェアが猛威をふるったのは記憶に新しいが、そうした有事に指令塔として機能するCSIRTの設置が進んでいないことが分かった。インシデント対応の達人が語ったCSIRTブームに沸く日本企業への至言セキュリティインシデントへ組織的に対応すべくCSIRT構築に取り組む企業が増えているが、その道のりは平たんではないようだ。JPCERT/CC、日本シーサート協議会、ANAグループ、ラックのエキスパートによる議論が行われた。広告に関するお問い合わせメールマガジンSpecialインデックスRSSfacebooktwitter利用規約ITmediaはアイティメディア株式会社の登録商標です。