エンタープライズICT総合誌 月刊ビジネスコミューニケーション(Webサイトへ)

マネージドセキュマネージリティ
ドセキュサー
リティ
ビス サービス
第7回 − 実例ベースで考える
第7回 − 実例ベースで考える−−〜誰もが必要と感じながらも、実現が難しいと考える脆弱性マネジメント〜

セキュリティ・リスク・マネジメント・フレームワークのベストプラクティス
NTT コミュニケーションズ㈱ 経営企画部
マネージドセキュリティサービス推進室長

与沢 和紀

主査

岩瀬 岳彦

今年度になってから重大なアプリケーション脆弱性が相次いで公表された。一方、脆弱性が公開されてから攻撃が行われるまで数時間と言われている。企業はどうすれば迅速に、保有する数多の ICT システムにおいて公表された脆弱性が該当するのかを把握し、攻撃される前に対応策を打てるのか。今回は、ベストプラクティスと自負する弊社の取組みを紹介したい。

のぼっている。弊社においても例外でなく、保有する企業を取り巻く環境

システム数は大小あわせて 3 ケタを優に数える。そのような状況の中で、残念ながら弊社でも昨年夏に、シここ最近、アプリケーションやその土台となる OS

ステムの脆弱性への対応が遅れ、サービス提供に影響やミドルウェアの重大な脆弱性情報が相次いで発表さを及ぼす重大なインシデントが発生した。弊社ではこれ、各メディアによってその都度、大きく報じられた。

れを契機に、インシデントが発生した特定システムだ

一般の方には馴染みのない名前のアプリケーションでけの問題と捉えるのではなく、会社全体の経営課題とあるのに、一般紙やテレビでも重大ニュースとして取して捉えて、セキュリティ対策を総点検・改善する取り上げられたのは、社会やビジネスに与える影響が大組みに着手した。その結果、前述の OpenSSL の脆弱きかったからであろう。表 1 に今年 4 月以降に公表さ性対応に際して、現場のシステム管理者やセキュリれた脆弱性情報を示しているが、OpenSSL の事例ではティ管理者、セキュリティ技術者が素早く連携、影響暗号化通信で通常やりとりされるクレジットカード情調査や対策検討を行い、数日間で該当する全てのシス報やパスワードが盗み取られる事態が引き起こされテムの対応を完了するに至った。

る。Apache Struts の事例では
Web サイトが改ざんされたり、アクセスしてきた PC に感染拡大するような悪性プログラムを脆弱性
報告日

ゼロデイ脆弱性が確認されたアプリケーショ ン

これらのアプリケーショ ンは元々何をするもの？

4月7日

Open SSL（暗号サーバの正当性の証明と共に、 暗号化通信時の重要情報
鍵やユーザが入力したクレジッ
端末とサーバ間の通信を暗号トカード情報など）
がWebサー
化するためのアプリケーション
バ上で盗み取られる

4月21日

Apache Struts

Webアプリを作ってサーバ上で動かすためのアプリケー
ション

Webアプリへの攻撃により、Webサーバに不正プログラムが感染したり、最終的にWebサイトが改ざんされる

4月26日

Internet Explorer

パソコンでWebを閲覧するためのアプリケーション（=ブラウザ）Internet Explorerを使用してWebを閲覧しただけで端末が不正プログラムに感染する(Heart Bleed 脆弱性）

仕込まれたり、Web サーバ内の重要情報が漏えいしたりする。
いずれにも、社会インフラ化しているインターネットの根幹を揺るがすような事件としてメディアは捉えている。
一つの企業が運用・管理しているシステムも膨大な数に

14

表1

この脆弱性が攻撃されるとどうなる？

アプリケーションの脆弱性関連ニュース（2014 年 4 月以降）

ビジネスコミュニケーション

2014 Vol.51 No.8

エンタープライズICT総合誌 月刊ビジネスコミューニケーション(Webサイトへ)

セキュリティ・リスク・マネジメント・
フレームワーク
弊社のセキュリティ対策の総点検では、運用中のシステムの脆弱性診断に留まらず、新サービス提供等に伴い次々と開発される新し実施
選択ガバナンス/リスク/コンプライアンスの観点によるリスクアセスメント

いシステムの企画段階からセキュリティ分類チェックを行うフレームワークを生み出した（図 2）。ICT システムの企画段階から我々セキュリティチームがプロジェクトに加わるこ

評価

企画／
設計

開発／構築

ICTシステムのライフサイクル管理

改善結果の脆弱性診断

改善

運用とで、初めに適切なセキュリティ対策製品および運用方法の実装や継続的なセキュリティ・リスクの管理方法をアドバイスすることができ、後の効率的な運用管理（PDCA）やセキュリティ機能検討の後戻り防止に繋げている。
このフレームワークは、ICT システムのライフサイクルである「企画／設計」「開発／構築」「運用」「改善」のフェーズごとに施すべきセキュリティチェックを整理することで、本来の目的であるサービス提供とセキュリティ実装の融和を達成している。社内ルールや規定を実務レベルで確認／適正化を図り、個々の取組み状況を一元的に集約することで、全社開発内容のアセスメント
脆弱性診断

認可
最新の脆弱性情報に基づく迅速なセキュリティマネジメント

監視図2

ICT システムのライフサイクル管理はあるか？
・当該システムの所属組織やシステム管理者は？
・当該システムでは、既に問題の脆弱性を認識済みか？
・当該システムでは、既に対策済みか？未対策ならば対策予定時期はいつか？
・当該システムが導入しているセキュリティ製品はなにか？また、運用方法は？

的なリスク可視化や有事の際の打ち手に繋げることができる。弊社では新システムを本番稼働させる前ここでヒヤリと感じた方の会社では、恐らくこんに必ず、我々のリスクアセスメントを受けることがな状況が起きているのではないだろうか。「特定の個義務化されており、一元的なセキュリティ管理を徹人／担当者が管理しているシステムが存在する」「脆底するようにした。

弱性対策はシステム管理者任せである」「システム管理台帳が信頼できない。または、もぐりのシステムが存在する」「特に外部から指摘がないから大丈夫だ想像してみようと思う」など。特に脆弱性管理について顕著な例と（CIO/CISO からのコメント）

して、「セキュリティパッチ当て」は基本となるセキュ

Ａシステムで Apache の既知の脆弱性を攻撃されてリティ対策であることは誰でも理解し、「社内規定」インシデントが発生した！

でも適切に実践することになっていると知っているＡシステムの早期対応が当然だが、Ａシステム以にも関わらず、OS やミドルウェアの製品ベンダ等が外の影響はどうなっているのか確認して報告して公表する脆弱性情報を日常的に収集／確認し、自シくれ！

ステムの影響有無を判断、対策計画を策定、実施す（あなたがすべきこと）る作業はシステム管理者にとって負担が大きいこと

・Ａシステム以外に Apache を利用しているシステムである。多忙なシステム管理者やスキルレベルの低ビジネスコミュニケーション

2014 Vol.51 No.8

15

エンタープライズICT総合誌 月刊ビジネスコミューニケーション(Webサイトへ)

マネージドセキュリティサービス
第7回 − 実例ベースで考える −いシステム管理者であると「（インシデントが起きていないから）大丈夫だろう・・・」と思い込むことで各サービス主幹
ICTシステム
パッチ等

外部機関等の脆弱性情報関連の自動配信、アドバイザリー

対処完了をISMPへ登録

情報セキュリティ管理プラット
フォーム（ISMP）「I SM P」（I n f or m a t i o n S e c ur i t y

ICTシステム情報のDB化

脆弱性情報の自動配信
必要に応じたアドバイスケースが発生することである。

前述の対応策として、弊社ではInformation Security Management
Platform対策が必要なICTシステムにおいて、改善が実行されたかの自動照会・注意喚起

パッチ適用等適切な対処後の脆弱性診断
警報配信、問合対応

診断結果と脆弱性情報に基づく対策実施

総合プロセス管理

脆弱性情報の収集から実践されない

ISMP

ISMPにシステム情報登録脆弱性診断の自動実行（Webアプリケーションは手動診断）

個々のシステム管理者

Management Platform）という脆弱性マネジメント（PDCA）を実現す

図3

情報セキュリティ管理プラットフォームの利用イメージ

るプラットフォームサービスを開発／展開して、すべてのシステム管理者からセキュリティ管理者まで関係するプレイヤーが利用・連携して活用している（図 3）。ISMP では、システムの脆弱性情報を自動的に収集し、各システムに必要な情報だけを抽出し、その管理者に自動通知する。
その後、セキュリティパッチ適用等の必要な措置を完了するまでトラッキングし続けるため、脆弱性対応を徹底できる。併せて専門家により構成されるアドバイザリーチームがシステム管理者からの質問・相談に応CSIRT※2

CSO※3

総合コンサル
ティング
バーチャル
CSO

GRC
ソリューション

インシデント
レスポンス

拡張／最適化

グローバルビジネス環境における様々なICTシステム
企画/設計
リスク評価/
分析
総合コンサルティング▲提供判断

セキュリティ
機器導入

脆弱性管理
体制整備

MSS

脆弱性マネジメント
ISMP※1※1：脆弱性管理システム※2：Computer Security Incident Response Team
※3：Chief Security Oﬃcer

図4

脆弱性診断
総合コンサル
ティング

開発/構築
▲開発判断

非常勤
エキスパート

運用

MSS
脆弱性対策

連携

インシデントレスキューサービス

プロアクティブ
ヘルプデスク

セキュリティ・リスク・マネジメント・フレームワークと WideAngle サービスえる体制を整備している。弊社のように、システムが活用方法の改善に活かせる源となっている。

多大で、システム毎に管理者を設置する状況では、こ同じ課題認識を持つグループ会社のいくつかは既のような一元的な管理が大変有効である。OpenSSL 対に、弊社の ISMP を導入しており、年内へは SaaS 型サー応時の例では、その脆弱性の影響を受けるシステムやビスとして顧客への導入も計画している。図 4 に前出対応状況の把握にかかる時間は 15 分以下であった。のセキュリティ・リスク・マネジメント・フレームワー

脆弱性マネジメント（PDCA）の実現には、「ISMP」

クに WideAngle の豊富なセキュリティサービスにマッの機能提供以上に、活用方法を関係者が役割認識してピングしているが、今一度、自社の ICT システムの導相互協力して取り組むことがポイントになる。個人、入や運用時のセキュリティチェックを見直し、このよ組織毎の従来のやり方を変更することを余儀なくされうな仕組みの導入を検討されたら如何かと思う。

るケースもあることから、サービス／システム主幹組織に地道な説明や協力依頼が必要になることもある。
この苦労こそがノウハウとなり、より良いサービス・

16

NTT コミュニケーションズ㈱お問い合わせ先 経営企画部 マネージドセキュリティサービス推進室
E-mail：mss-sp-cp@ntt.com

ビジネスコミュニケーション

2014 Vol.51 No.8