

著者名

CSIRT

組織

展開（2）
杉浦芳樹（）

NTT-CERT

吉田尊彦（林1．

）

NTT-CERT郁也（）NTT-CERTした情報セキュリティ対応体制の中核をなす専門チームを一般的に CSIRT と呼ぶ。これは、「どんな3 回にわたって、組織における「ストーリーテに防御策を講じても、事故を完全に防ぐことはできリ ン グ（storytelling）」の研究を紹介する連載のない」という「事故前提」の考えに基づき、あらか2 回目となる今回は、その実践フィールドである

じめ事故が発生した場合に備えて準備され、訓練さCSIRT（シ ー サ ー ト、Computer Security Incidentれた専門組織である。たとえて言えば、企業内に設Response Team）の概要となぜこうした情報セキュ置された「消防団」のような組織である。この専門

リティの最先端の場において、ストーリーテリング組織である CSIRT を中心に全社的な対応体制（対が必要なのかを紹介する。

応プロセス、エスカレーションパス、権限委譲など）を整備しておくことが必要なのである。

2．CSIRT

これは、事故が起きてから慌てて対応体制を用意するのではなく、あらかじめ用意しておけば、対応

我 々 が 所 属 す る NTT-CERT（www.ntt-cert.org）

が速やかに行われ、それゆえに 2 次被害を防ぎ、被は NTT グループの CSIRT である。この「CSIRT」

害を最小限に抑えることが可能となるという「当たが一般的にどのような組織であるかを最初に紹介すり前のこと」を実現するためのものとも言える。
こ の CSIRT は 米 国 で 生 ま れ た も の だ が、 既 にる。
近年の情報システムの高度化と複雑化に伴い、情日 本 で も い く つ か の 企 業（ま た は 団 体 な ど） が報システムなどをターゲットとした攻撃の手法も複CSIRT を設置している。日本国内の CSIRT のコ

雑かつ巧妙化してきている。そのため、ウイルス検

ミュニティである日本シーサート協議会（www.

知ソフトやファイアウォールの導入といった既存のnca.gr.jp）には 2011 年 4 月現在、19 チームが加盟

情報セキュリティ対策では防ぎきれなくなってきてしている。

いる。そのような中、企業の情報セキュリティ担当者は同じような問題を抱えている。具体的には、以下のような点が挙げられる。
（1）同じようなウイルス感染や情報漏えいなどの事故がさまざまな部署で同じように繰り返されている。
（2）事故への対応がその場限りの付け焼刃であり、包括的な対策が取れない。
（3）情報セキュリティ対策の社内周知が徹底されない。
このような問題を解決するための社内全体を見渡Vol. 20 No. 1, June 2011

図1

事故

起57

経営情報

3．CSIRT 歴史

は 2003 年 7 月 1 日に活動を開始し、2005 年 1 月にFIRST に加盟した。
CSIRT が生まれる直接のきっかけとなったのは、1988 年 11 月 2 日に発生し、インターネット上で感

4．CSIRT 実際染を広めた「モリスワーム」と呼ばれる自己増殖型の悪性プログラムである。当時のインターネットにCSIRT と一言で言っても、その体制や活動内容接続していたのは、一部の学術研究機関などに限は千差万別である。極端に言ってしまえば、2 つとられていたが、それでも世界中の約 6,000 台のコンして同じ CSIRT は存在しない。つまり「インシデピュータに感染し、当時のインターネットシステントに対応する」という基本的な目的は同じでも、ムの約 10% を停止させたと言われている。しかし、その「対応の仕方」が CSIRT によって大きく異な

当時はこのような事態をほとんど誰も想定していなるのである。

かったため、対応する体制もなく、被害の実態がつJPCERT/CC の「CSIRT ガ イ ド」 に よ れ ば、 一

かめないうえに、原因はおろか、「何が起こってい般的に CSIRT は次の 6 つのタイプに分類される。

るのか」すら、知ることができなった。そのため被・組織内 CSIRT害は拡大する一方となったのである。

・国際連携 CSIRT

この事態を重く見た米国は、国防総省の資金援・コーディネーションセンター

助 の 下、 世 界 で 最 初 の CSIRT と な る CERT/CC・分析センター（CERT Coordination Center, www.cert.org）を同年・ベンダチーム

11 月 17 日（モリスワーム発生から約 2 週間後）に・インシデントレスポンスプロバイダ

米国カーネギーメロン大学ソフトウェア工学研究所

こ の 中 で「組 織 内 CSIRT」 が、 一 般 的 に 企 業に設置した。CERT/CC は現在でも最も権威のあるに 設 置 さ れ る「企 業 内 CSIRT」 と 呼 ば れ る も のCSIRT の 1 つである。

で、社内および顧客に関連したインシデントに対その後、さまざまな国や企業、組織に CSIRT が応する。「国際連携 CSIRT」とは、前述の日本初の作られるようになった。そして 1989 年 10 月に発生

CSIRT である JPCERT/CC のように、インシデンした「ワンクワーム」をきっかけに、国境のないイトに関して海外と情報交換する際の国際的な「窓ンターネット上で情報セキュリティ事故（以降、「イ口」として機能する CSIRT である。「コーディネーンシデント」と呼ぶ）に対応するには国境を越えたションセンター」は、インシデントに関係している

CSIRT 同士の情報交換が重要との考えから、1990

企業や部署、他の CSIRT などとの情報連携、調整

年に当時の主だった CSIRT を中心に CSIRT の国を行う。ここにはグループ企業間の連携が含まれ際フォーラム FIRST（Forum of Incident Responseる。「分析センター」はインシデントの傾向分析やand Security Teams, www.first.org） が 設 立 さ れ た。

ウイルスなどの悪性プログラムの解析、攻撃の痕

2011 年 4 月現在、FIRST には世界中から 200 を超跡分析などを行い、必要に応じて注意喚起を行う。

える CSIRT が加盟している。加盟している CSIRT「ベンダチーム」は自社製品のセキュリティ上の欠は、いわゆる「IT 関連企業」の CSIRT だけではな陥（一般的に「脆弱性」と呼ぶ）に対応し、修正プ

い。大学をはじめ、銀行やカード会社、航空会社なログラムの作成や利用者への注意喚起などを行う。

ど、IT を利用する立場の企業や団体などの CSIRT「インシデントレスポンスプロバイダ」は、組織内も数多く加盟している。
一 方、 日 本 で は、1992 年 に ボ ラ ン テ ィ ア ベ ース で 日 本 最 初 の CSIRT で あ る JPCERT が 活 動 を開始した。その後体制を整備し、1996 年 10 月にCSIRT の機能（の一部）を有償で請け負うサービスプロバイダであり、監視サービスなどを行っている「セキュリティベンダ」のことである。
多くの CSIRT はこれらの 6 つのタイプのうち複JPCERT/CC（www.jpcert.or.jp）として本格的に活数の「機能」を有している。例えば、JPCERT/CC動を開始し、1998 年 8 月に日本で最初に FISRT には「国際連携 CSIRT」であるが、同時に国内外の加盟した。ちなみに、我々が所属する NTT-CERT関連企業や組織との情報連携や調整を行う「コー58

経営情報学会誌

著者名

ディネーションセンター」でもあり、さらに「分析基づき、他の社員に対して教育や演習を実施したりセンター」としての機能も有している。

する。しかし現実にはこのような「抽象化」はきわ

また、我々 NTT-CERT は NTT グループの「組めて難しい。それは、日々発生するインシデントが織内 CSIRT」であるが、同時に NTT グループ企業複雑多岐に亘っており、また CSIRT がサービスを間の連携を行う「コーディネーションセンター」で提供する相手（Constituency ＝社員、顧客など）がもある。他にも「分析センター」としての機能も有（特に大企業の場合）きわめて多様だからである。

している。

また手順書にこだわることで、手順書に依存し過ぎ

ここで NTT-CERT の、NTT グループの「コーてしまい、イレギュラーな事態に対応できなかったディネーションセンター」としての業務を簡単に紹り、「言われたからやる」という意識で実質的な対介する。

応ができなかったりする危険性もある。つまり、手NTT-CERT は NTT グループが何らかの形で関わっているインシデントに対応する。そのために対順書などの「決まり」だけでは対応しきれないのがCSIRT の活動なのである。

外的な窓口を用意している。例えば、NTT グルー

事実、インシデントの発生（または予兆）の検知

プのある企業のあるサイトが改ざんされ、ウイルスや被害規模の見込み（リスク予想）は、経験に基づなどの悪性プログラムを配布するサイトにされていく「想像力とそこからの連想」に依存する場合が多たとする。それを外部の第三者（主に他の CSIRT）く、これは手順書やマニュアルには記載されないが発見した場合、サイトの停止や復旧の依頼を当該（できない）ものなのである。

サイトの管理者に直接連絡するのが難しいケースがこのように CSIRT の活動に求められる「抽象化ある。特に発見者が海外の方の場合は、個別サイトできない部分」の補足や「暗黙知」の発見、更にはの管理者（問い合わせ先）を見つけることはほと「想像力とそこからの連想」には、「物語」「ナラティんど不可能に近い。しかし NTT グループのサイトブ」を通して「価値観や “ マインド ” を共有」するであることさえわかっていれば、その情報を NTT-ことが有効だと考えたのである。

CERT に提供してくれるだけで、NTT-CERT で適切な問い合わせ先を見つけて連絡し、対応（サイト6．CSIRT Modeling Architecture（CMA）の停止や復旧など）を依頼することができるのである。

本研究は、我々が数年前から研究を進めている

こ の よ う な「窓 口」 お よ び「調 整」 が NTT-

CERT の「コーディネーションセンター」としての業務の中心となっている。

「CSIRT Modeling Architecture（CMA）」を支える

2 本の柱の 1 つとして実施されている。
CMA とは、（1）既に運用を始めている CSIRT が、その運用の過程で、攻撃の複雑化などの技術的な要

5．

“”

因や、CSIRT の親組織内での位置づけといった組織的な要因など、さまざまな要因により CSIRT の本 研 究 は、NTT-CERT に 限 ら ず、 一 般 的 に機能の追加、拡張、変更を実施する際に利用可能な

CSIRT が抱えている業務上の課題を解決するにはモデル化の手法（モデリング）を検討分析し、（2）どうすれば良いかという問題意識から始まっていその検討分析結果に基づき、組織化の視点も考慮しる。CSIRT の必要性を何とか経営層に理解させ、た上で、これら「モデリングのためのアーキテク

CSIRT 設立にまで至っても、その活動を継続するチャ（モデリングアーキテクチャ）」の可能性の検にはさまざまな課題があるのだ。

討、提案を行うことを目的としている。

CSIRT の活動は CSIRT（の属する企業）ごとに

ここでモデリングアーキテクチャとは、CSIRT大きく異なるが、多くの CSIRT は「発生したインの機能の追加、拡張、変更を必要とさせる個々の要シデント」に対応する。そのため、想定されるイン件、要因をモデリングし得るか否かを判定するためシデントを洗い出し、それぞれのインシデントに対の材料となる。またモデリング可能な場合は、それする対応マニュアルや手順書を整備したり、それにぞれのモデリングの関連、関係、相関、影響を考慮

Vol. 20 No. 1, June 201159経営情報

さまざまな成果が得られている。特に「組織化」のアプローチでは興味深い点がいくつか見出されている。そこで次回は、研究の中で見出された具体的な事例と知見について紹介する。
注
本稿は、2009 年に京都で開催された FIRST の年次会
合「21st Annual FIRST Conference」で発表した『CSIRTModeling Architecture（発表者：吉田尊彦など）』の内容を含んでいる。

図 2 CSIRT Modeling Architecture

概要

参考文献
した設計概念を提供するものである。

CMA の研究の 2 本の柱（アプローチ手法）は「モデリング」と「組織化」である。
「モデリング」については、CSIRT 構築に関する既存のさまざまな文献（CERT/CC の教育プログラ
ムやヨーロッパの TF-CSIRT による TRANSITS など）を参考に、CSIRT の新規構築のためではなく、運用中の CSIRT のサービスの追加や見直し、評価などに利用できるサービステンプレートを作成するところから始めている。既にいくつかのサービスに［ 1 ］JPCERT/CC『CSIRT ガイド』
，2008 年，6 ページ .

http://www.jpcert.or.jp/csirt_material/files/guide_ver1.0.pdf［ 2 ］CERT/CC 教育プログラム，Creating a Computer
Security Incident Response Team. http://www.sei.
cmu.edu/training/P25.cfm［ 3 ］Managing Computer Security Incident Response
Teams.http://www.sei.cmu.edu/training/p28.cfm［ 4 ］TF-CSIRT “TRANSITS (Training of Network Security Incident Teams Staff”. http://www.ist-transits.
org/

ついてテンプレートを作成し、複数の CSIRT に適用することで完成度を高める段階に来ている。
一 方、「組 織 化」 に つ い て は、 特 定 の CSIRT略歴（NTT-CERT）を対象にして、その CSIRT を特徴杉浦づけるファクターを抽出することから始めている。
そのために、まず NTT-CERT がこれまでに経験したインシデント対応の事例を基にいくつかの「物語」を作成した。中には 1 つの事例を対象に、現場担当者の視点で作成した物語とマネージャ視点で作成した物語をそれぞれ別に作成したものもある。これらの「物語」は既存の手順書やマニュアルを補完し、「価値観や“マインド”を共有する」ための資料として有効に使えることが期待できる。また、研究の主目的ではないが、副次的な成果として、新人教育の教材としての利用も可能であることがわかっている。

芳樹（）NTT-CERT リサーチスペシャリスト。平成 10 年よりセキュリティおよび CSIRT の活動に携わる。平成 16
年に NTT に入社、NTT-CERT の設立を行い、現在はNTT-CERT のインシデントハンドリングチームおよびCSIRT 構築 / 運用支援に携わっている。NCA 運営委員。
吉田尊彦（）

NTT-CERT シニアメンバ。インシデントハンドリン
グ運用の中核に携わり、NTT グループ内外を問わずCSIRT 啓発・運用支援活動を行う。
林郁也（）NTT–CERT シニアメンバ。インシデントハンドリン
グ運用に携わり、NTT グループ内外を問わず CSIRT啓発・セキュリティ教育活動を行う。

7．
CMA の研究全体としては本来の目的に向けてまだまだ途上の段階であるが、研究を進める過程で、60

経営情報学会誌