特定課題研究報告発表会
グローバル組織に求められるＣＳＩＲＴ
ーインシデントマネジメントの観点からー
２０２０年２月２２日（土）後藤研修士課程１年
学籍番号 5595704
氏名 中元 隼

研究成果
背景、課題・海外展開する日本企業に適したCSIRTガイドラインが存在しない。

本研究成果
・CSIRTと信頼の関係について考察した。
・複数の先行研究から海外拠点の組織の問題点を分析して独自に整理した。
・グローバル組織の場合、インシデントマネジメントの各段階で特有の課題が存在することを示した。
・海外拠点での情報セキュリティリスクをケーススタディを用いて分析した。
研究成果の活用者
・グローバル組織でCSIRTを運営・構築している人間。これから海外展開するCSIRT担当者＊：グローバル組織とは日本本社で海外展開する組織を想定する。

1

本発表内容①CSIRTの概要と信頼について②グローバル組織の動向と課題③グローバル組織におけるインシデントマネジメント
上の課題④グローバル組織における、拠点別の情報セキュリ
ティリスク⑤全体のまとめと今後の課題

2

① CSIRTの概要と信頼について

CSIRTCSIRT（シーサート）とは、Computer Security Incident Response Team
＝コンピュータセキュリティインシデント（以降「インシデント」と略）に対応するチームの略

インシデントとは、一般的に「重大な事故に至る可能性がある出来事」を意味しており、コンピュータウイルスやサービス運用妨害攻撃、情報漏えいなど、ＩＴシステムの正常な運用または利害を阻害する（実害のある）事象だけでなく、そのような事象に繋がる可能性のある（まだ実害のない）弱点探索（プローブ、スキャン）なども含まれる。
CSIRTを構築するメリット
・情報セキュリティに関する情報の一元的管理
・窓口の一本化
・外部とのインシデント対応に必要な信頼関係の構築
4

CSIRTに必要な能力■

CSIRTに必要な能力としては信頼が挙げられる

先行調査・研究①
一般社団法人JPCERTコーディネーションセンター「CSIRTガイド」（２０１５年）
・CSIRTにとって最も重要なものは信頼関係。
・CSIRTの活動に大きな効果を生むためには、信頼関係に基づく信頼の輪を形成して共有できる情報を広げる必要がある

引用：ＣＳＩＲＴガイド
URL：https://www.jpcert.or.jp/csirt_material/files/guide_ver1.0_20151126.pdf

引用：ＣＳＩＲＴガイド
https://www.jpcert.or.jp/csirt_material/files/guide_ver1.0_20151126.pdf

5CSIRTに必要な能力
先行調査・研究②
副島恵子、原田要之助「組織の情報セキュリティ向上の取り組みについて-CSIRTとISMSの類似と相違に着目した考察」（２０１７）
・従業員が異常に気付きCSIRTに報告することの重要性を指摘。
・報告の心理的ハードルを下げるために相談しやすい空気、普段から従業員とCSIRT間でコミュニケーションのパイプを持つこと。
先行調査・研究③
萩原健太、杉浦芳樹「CSIRTの最低要件」（２０１７）
・「信頼できる窓口」を構築することが最低要件の一つと言える。
先行調査・研究④
リクルートテクノロジーズ「現場で使えるセキュリティ事後対応」（２０１６）
・現場からの感謝がCSIRTの原動力であり、感謝されることで前向きに次のインシデントに備えることができる。
・感謝されるポイントとしては、インシデントを発生した人を責め、責任追及や批判しないことが重要。
6

② グローバル組織の動向と課題

日本企業の海外展開状況
日本の企業の海外進出が加速
人口減で国内から海外市場への移行する企業が増加している。
・約６割の企業が今後３年で海外進出拡大を図る。
・国外に進出している日系企業の拠点数は７万５,５３１拠点。
（過去１０年間で約３９％増。前年度より約５.２％増）⇒今後も海外進出は広がることが予想される。
広がるのは良いが問題点も存在。

引用：2018年度「日本企業の海外事業展開に関するアンケート調査」（ジェトロ）

引用：海外在留邦人数調査統計（外務省）

8

海外拠点への攻撃事例①三菱電機への不正アクセス事案
・２０１９年３月１８日に中国拠点内にあるウイルス対策管理サーバに対してゼロデイ攻撃
・中国拠点の端末を介して国内複数拠点の端末に侵入を拡大
・同年６月２８日に挙動検知機能により、国内拠点の端末で不審な挙動を検知②WannaCry（日立製作所）
・最初に感染した端末は、欧州拠点にある検査機器（顕微鏡）
・検査機器にパッチ適用が必要だと導入現場が認識できていなかった。
⇒ 海外拠点がセキュリティホール
引用：三菱電機：「不正アクセスによる個人情報と企業機密の流出可能性について（第３報）」になる可能性
URL: https://www.mitsubishielectric.co.jp/news/2020/0212-b.pdf

9

海外拠点を持つ組織の問題点■海外拠点を持つ組織の問題点を分析・整理するにあたって、以下の調査・先行研究を参考にした。
①企業における情報セキュリティ実態調査２０１７（ＮＲＩセキュアテクノロジー）
・NRIセキュアテクノロジーが毎年実施している企業の情報セキュリティに関する取り組みの実態調査。
・質問の一部に海外拠点のセキュリティに関する質問。
②日本企業のグローバルITガバナンス（富士通総研：２０１２年）
・海外で事業を行う一般企業を対象にグローバルITガバナンスの実態についてアンケート調査。
・ITグローバル人材、地域における課題を挙げる。
③淺井達夫「経済活動のグローバル化に伴う情報セキュリティ管理上の人的諸問題」（２０１２年）
・異文化環境下においてセキュリティ・ポリシーを徹底しようとする際
10に、文化の違いによってどのような問題が発生するかを明らかにする。

海外拠点を持つ組織の問題点
分類

具体的な問題人材（ＩＴ担当者） ・専任のIT管理者がいない傾向。存在したとしてもIT・セキュリティに関する知識が少ない。兼任の場合は経営や人事等の業務に忙殺され統制に手が回らない。
・英語力もITもできる人は少ない
・駐在員の計画的ローテーションができていない

人材（現地採用職員）

・言語や文化が異なり、コミュニケーションが困難であり、教育やガイドライン・ポリシーの整備や遵守が困難
・離職率が高く定着率が低い。教育しても離職されるとセキュリティのレベルが下がる。離職した後に以前いた企業の機密情報を使われる

11

海外拠点を持つ組織の問題点
分類
環境・時差

具体的な問題・日本よりもインフラが弱い傾向にあり安定性に欠ける
・回線が細く、電力・通信が遅れており通信障害が発生する可能性
・複数の海外拠点が存在する場合、拠点の規模が異なり標準化が困難
・ＩＴ機器・サービスの調達・仕様の全体最適化が困難
・ＩＴ利活用のモニタリング・資産管理が困難
・法人格が異なることで情報セキュリティガバナンスがきかせにくい・Ｍ＆Ａや合併化等により、情報セキュリティガバナンスがきかせにくい・日本とは時差や距離が存在するため、コミュニケーションに時間がかかる
・地政学的理由によるサイバー脅威（政治状況、国際関係）が存在

12

海外拠点を持つ組織の問題点
分類

具体的な問題地域特性（ＡＳＥＡＮ）①人材流動性の高さ
・人材流動性が顕著であり、様々な背景を持つ人間が存在②セキュリティリテラシーの不足
・欧米では「悪意のある人」が脅威の前提だが、ASEAN地域
ではリテラシー不足の人を脅威の前提とすべき③国と文化の多様性
・国によって経済的格差があり、シンガポールではＰＣやソフトウェアなどの調達は問題ないが、それ以外の国では現地調達が難しい場合がある。
・中国系の社会では、夕食を自宅で食べ、その後で自宅で仕事をする文化が存在

地域特性（欧米）

・既に自社システムが確立されていることも多く、ガバナンスを強化しようとしても日本本社の意思を通しにくい。
・独立性が高く独自の方針で決めたがり、経済合理性がなければ納得しない。
・欧米関連会社のトップダウン方式が日本にあてはまらない
ため、スピードに差が出る。
13

第２章（まとめ）■日本企業の海外進出が加速している一方で海外拠点を狙った攻撃も発生している。
■複数の先行研究・調査から海外拠点の問題点を整理・分析した。
■海外拠点を持つ組織には固有の問題（人材、環境・時差、地域特性）が存在する■これらの問題を踏まえた上でグローバルＣＳＩＲＴは構築・運用されなければならない

14

③ グローバル組織におけるインシデントマネジ
メント上の課題インシデントマネジメント■先ほどの海外拠点での問題点を踏まえて、インシデントマネジメントの観点からグローバル組織の問題点を列挙する
インシデントマネジメント：CSIRTがインシデントに対して行う活動全般

引用：JPCERT「インシデントハンドリングマニュアル」
URL： https://www.jpcert.or.jp/csirt_material/files/manual_ver1.0_20151126.pdf

16

インシデントマネジメントの観点から見た課題
段階

グローバルCSIRTの課題

脆弱性対応

・ＩＴ資産管理ができていないため、脆弱性が把握できない・利用するＩＴ機器やソフトウェアが多様でありパッチの適応に時間がかかる
・海外拠点側ではパッチ適用の重要性を認識してもらえない

事象分析

・特定の地域を狙った脅威にも対応する必要
・標的型攻撃の際、様々な言語に対応する必要

普及啓発・注意喚起

・言語や文化が異なるため、日本式の情報セキュリティ教育や情報セキュリティポリシーの遵守が上手くいかない、また翻訳による本来のニュアンスが変わる可能性

17インシデントマネジメントの観点から見た課題
段階

グローバルCSIRTの課題

インシデントハン 環境
ドリング
・ログ
リアルタイム性、ログの送付漏れ、地域法の拘束・端末調査、フォレンジック
・回線の細さ時差トリアージ、エスカレーション、端末調査
人材ヒアリング（意思疎通、嘘）、トリアージ（判断ミス、注意喚起）
エスカレーション■

各段階においてグローバル組織特有の問題が存在する。

■

現地側からの信頼があれば、特にインシデントハンドリングの段階においてリスクを低減できる。よってグローバル組織のＣＳＩＲＴでも信頼関係の構築が重要である。
18

④ グローバル組織における拠点別の情報セ
キュリティリスク

グローバル組織の仮定
拠点別の情報セキュリティリスクを考える上で、以下のようなグローバル組織のモデルを想定する。
組織のタイプＡ組織本拠地日本（東京）

海外拠点数

１００拠点以上

従業員数２万人

内、現地職員数１万人

資本金

１０００憶円ＣＳＩＲＴのモデル

統合（分散/集中）型ＣＳＩＲＴ

Ｍ＆Ａの有無なし＊拠点別のリスクを具体的に考える上で、以下の８拠点を代表的に選択した。
アメリカ（ニューヨーク、ロサンゼルス）、英国、ロシア、中国、インド、シンガポール、南アフリカ

20

拠点別情報セキュリティリスク
海外拠点

規模

現地職員のリ
環境・文化の影響
テラシー

法律（サイバーセ法律（個人情報保護）
キュリティ）

時差

アメリカ
大（ニューヨーク）高

アメリカ（ロサン小ゼルス）

高

英国（ロンドン） 大

高ネットワーク・情報
ＧＤＰＲ、データ保護法
システム規則-9低包括的なサイバー
セキュリティ法はな 個人情報法
い-6

ロシア（モスクア）

大-14
・日本の思いを通しにくい。 サイバーセキュリ
包括的な個人情報保護
既に自社システムが確立。 ティ情報共有法
法はなし
・経済合理性で納得しないと共通化しない・トップダウン方式が日本に当てはまらないため、スピードに差が出る要調査-17＊拠点の規模を大、中、小に分類。（大が１５０人、中が５０人、小が１０人）
大拠点は日本人の専門のIT担当官が存在、中拠点は日本人がIT業務を他業務と併任。小拠点には現地職員のみ。
GCIの順位を10位以内の場合は、現地職員のリテラシーを高、11以下の場合は低とした。
21

拠点別情報セキュリティリスク
海外拠点

中国（北京）

規模 現地職員のリテラシー 環境・文化の影響

法律（サイバーセキュ 法律（個人情報保護）
リティ）

時差

・自宅で持ち帰って仕事を実施する環境
・現地のセキュリティ意識が低い。
中華人民共・ＩＴ機器・サービスの調達・仕 和国サイ
中華人民共和国サイ様の全体最適化が困難
バーセキュ
バーセキュリティ基本法
・セキュリティルール類の整備 リティ基本
委が困難。
法・ＩＴ利活用のモニタリング、資産管理が困難

大低

インド（デリー） 中

低要調査

シンガポール

中高

東南アジアの中ではＰＣ等の サイバーセ
個人情報保護法（ＰＤＰＡ）
現地調達がしやすい環境
キュリティ法-1南アフリカ小（ケープタウン）

低要調査

-７

ＩＴ法

要調査

包括的な個人情報保護
法はなし

要調査

-1-3.522

代表的なインシデント
情報セキュリティ１０大脅威 ２ 現地採用職員リ IT担当者リテラ 時差シー
０１９（組織）テラシー

言語文化・環境標的型攻撃による被害✓✓

ビジネスメール詐欺による被害✓✓✓

ランサムウェアによる被害✓

サプライチェーンの弱点を悪用した攻撃の高まり
内部不正による情報漏えい✓✓

サービス妨害攻撃によるサービスの停止✓✓

インターネットサービスからの個人情報の摂取✓✓

IoT機器の脆弱性の顕在化✓✓

脆弱性対策情報の公開に伴う悪用増加✓✓

不注意による情報漏えい

✓

✓

✓

23

第４章まとめ■グローバル組織を想定して拠点別の情報セキュリティリスクを整理した。
■想定したグローバル組織で代表的なインシデント（情報セキュリ１０大脅威）が発生した場合を考察した。

■１０大脅威のいずれもが海外拠点で発生する可能性が存在し、日本拠点で発生するよりもリスクことが予想される。海外拠点でも文化・環境、言語、時差、従業員のリテラシーによってリスクが変わることが予想される。これらの問題に適切に対処できるCSIRTが求められる。

24

⑤ 全体のまとめと今後の課題

今後の課題■グローバルCSIRTを構成・運用する際の問題点は整理することができたが、具体的な解決方法、CSIRTの構築・運営方法を提示する必要がある。

■クラウドの活用、AI・機械学習の技術発達など最新動向を踏まえて考える必要がある。

26