２０１３年１０月２６日ISACA CISMカンファレンス

日本クラウドセキュリティアライアンス
理事 山崎英人
ISO27000,CRISC

CSA-JC All Rights Reserved.

1/45

 SEから法務部、情報セキュリティ、コンプライアンス、内部統制、危機管理、監査を経験してきました。
監査の独立性
アセンブラー

ルーター

ハッカー逮捕偽計業務妨害Fire wallOracle
IT全般統制

ISMS
震災対策
金融商品取引法

SQL

Audit

Linux
Sybase

資金決済法

本プレゼンテーションは山崎の個人的な見解によるものでBCP
プライバシーマーク
業務処理統制あり、所属する企業や団体の見解を反映したものでは無BlackHat
MVS
い事を御承知置き下さい。
CSA-JC All Rights Reserved.

2/45

クラウドセキュリティに関するベストプラクティスの作成と調査研究世界規模の非営利団体
35,678名以上の個人会員
123社の法人会員
64の支部CSA-JC All Rights Reserved.

3/45

Security, Trust& AssuranceRegistry

クラウドコンピュー
ティングのためのセキュリティガイダンス
コントロールマトリクス

ISO27001/HIPAA/HITECH Act/AICPA/COBIT4.1/ ENISA IAF/
他のFedRAMP/ PCI
基準との連結DSS v2.0

WGや研究活動
その他、ヘルスケア等
CSA-JC All Rights Reserved.

4/45

名称：日本クラウドセキュリティアライアンス
 英文：Cloud Security Alliance Japan Chapter 会員：約290名（LinkedIn JC Subgroup登録人数）
 Board of Directors：（50音順）◦ 勝見 勉 加藤雅彦 上村竜也 笹原英司
◦ 佐藤元彦 塩崎哲夫 須崎有康 高橋郁夫
◦ 塚田栄作 二木真明 原田要之助 丸山満彦
◦ 諸角昌宏 山崎英人 吉井和明
 全員がボランティアとして活動
 設立：2010年6月（世界で2番目の公認支部）
CSA-JC All Rights Reserved.

5/45

2012/9/28 CSA-KPMG（あずさ監査法人）合同セミナ
 2012/11/8-10 CSA Congress参加&発表
 クラウドコンピューティングのためのセキュリティガイダンスV3
翻訳 ２０１３年４月リリース
◦ https://chapters.cloudsecurityalliance.org/japan/files/2011/05/csaguide.v3.0.1_J.pdf
CCM日本語版の作成

２０１３年６月 CCM1.4Jリリース◦ https://chapters.cloudsecurityalliance.org/japan/files/2011/05/CSA_CCM_v1.4-J.pdf
 CCSK試験問題の翻訳by あずさ監査法人


事務局体制の整備への取組み


CSA-JC All Rights Reserved.

6/45

まもなく会員募集開始
WGによる特定分野に特化した、問題の検討や意見交換

ガイダンスやコント
ロールマトリクスなどのレビュー参加やβ版等の早期入手

定例会/セミナー等での最新情報入手と情報交換

メーリングリストや意見交換掲示版での交流

詳しくはinfo@jp.chapters.cloudsecurityalliance.orgにお問い合わせください
CSA-JC All Rights Reserved.

7/45

本プレゼンテーションでお話する事◎クラウドの基礎知識や脅威◎企業の義務(ガバナンス)◎クラウドセキュリティ◎クラウドセキュリティのガバナンス

CSA-JC All Rights Reserved.

8/45

クラウドの基礎知識
や脅威

CSA-JC All Rights Reserved.

9/45

クラウドの基礎知識
や脅威
プロ
セッ
サ

VM VM VM
OS OS OS
仮想化ソフト
ホストOS
ハード

NW

メモ
リスト
レー
ジ

VM VM VM
OS OS OSVM VM VM
OS OS OS

ハイパーバイザー

ハイパーバイザー

ハードハード ハード

仮想化ソフト≒ハイパーバイザー
CSA-JC All Rights Reserved.

10/45

クラウドの基礎知識
や脅威Saa
SPaa
SSaa
S
Iaa
S

APAPAPW D W
W DDBEB B EB
EB B

OS

OS

OS

ハイパーバイザー
ハード

ハード
CSA-JC All Rights Reserved.

11/45

クラウドの基礎知識
デディケ
や脅威
イティドプ
ライベート
パブリッククラウド
パブリッククラウド

プライベートクラウド

クラウド

A事業部

A社
A社

B事業部

B社
B社

C社

プライベート⇒内部・パブリック⇒外部という区分は成立しなくなってきている。

A
P

VMD

W
E
B

B

OS

A
P

A
P

A
P

A
P

A
P

W
E
B

W
E
B

W
E
B

VMD

W
E
B

W
E
B

VMD
OS

B

VMD
B

OS

B

OS

VMD
OS

B

VMD
B

VM
VM

VM
VM

VM

VM
VM VM
VM

VM
VM

OS

次々と新しいサービス形態、技術が登場し、変化がハイパーバイザー
ハイパーバイザー
ハイパーバイザー
ハイパーバイザー
ハイパーバイザー
ハードハードハード速くなってきている。
ハードハードハード
ハード
ハード
ハード
ハード
ハード
ハード
ハイパーバイザー

CSA-JC All Rights Reserved.

12/45

クラウドの基礎知識
や脅威

A社

VM

B社

VM

C社

VM

業界特化型SaaSCSA-JC All Rights Reserved.

13/45

クラウドの基礎知識
や脅威
IPA 2013年版１０大脅威 身近に忍び寄る脅威

http://www.ipa.go.jp/security/vuln/10threats2013.html

CSA-JC All Rights Reserved.

14/45

クラウドの基礎知識
や脅威
http://www.ipa.go.jp/security/vuln/10threats2013.html

 システムのクラウド化が進む中、2012年は、レンタルサーバー事業者において人為的ミスによる大規模障害が発生した。また、２０１１年の東日本大震災によって、自然災害が原因となりシステムが停止するリスクが浮き彫りとなったように、不測の事態に備える必要性が組織に求められる。
CSA-JC All Rights Reserved.

15/45

３章：今後注目すべき脅威

クラウドの基礎知識
や脅威

http://www.ipa.go.jp/security/vuln/10threats2013.html

 クラウドサービスは、業務システム、個人向けストレージ、災害時の代替システムなど様々な用途で活用されている。一方で、個人によるクラウド利用の拡大に伴い、内部データをクラウド上の無料ストレージへ複製されるなど、システム管理者にとって新たな課題が出てきている。システム管理の責任者は、情報システムを自身の完全な管理下に置けないことを前提に、インシデント発生時の対応を検討しておく必要がある。
CSA-JC All Rights Reserved.

16/45

クラウドの基礎知識
や脅威

CSA-JC All Rights Reserved.

17/45

企業の義務(ガバナンス)

CSA-JC All Rights Reserved.

18/45

企業の義務(ガバナンス)

如何に経営陣を巻き込むか!

他社・他組織に自社と同等以上の取り組みをお願いする/選ぶ!

本セッションでは、自組織内に対するガバナンスを内部ガバナンス
他組織に対するガバナンスを外部ガバナンスと表現します
CSA-JC All Rights Reserved.

19/45

企業の義務(ガバナンス)
ISACAのCobit5では◦ 原則 5：ガバナンスとマネジメントの分離 ― COBIT 5 フレームワークは、ガバナンスとマネジメントの間に明確な区別を設けている。この 2つの分野は、それぞれ異なる種類のアクティビティを含み、異なる組織構造を必要とし、異なる目的を持つ。COBIT 5 におけるガバナンスとマネジメントの主要な区別は以下のとおりである。

ガバナンスとマネジメントを明確に区別

CISMレビューマニュアルではガバナンスは経営幹部の責任◦ 情報セキュリティガバナンスは取締役会と経営幹部の責任であり、企業ガバナンスの不可欠な、または透明な一部分では無くてはならない。
CSAのガイダンス3.0では◦効果的なガバナンスとエンタープライズリスクマネジメントのクラウドコンピューティング計画は、組織の総合的なコーポレートガバナンスにおける注意義務の一部としての良く考えられた情報セキュリティガバナンスのプロセスから得られる。良く考えられた情報セキュリティガバナンスのプロセスは、(ビジネス上の拡張性があり、組織を超えて繰り返すことができ、測定でき、持続可能、正当と認められ、継続的に改善し、継続的に費用対効果に優れた)情報セキュリティ管理プログラムをもたらす。

ガバナンスとエンタープライズリスクマネージメン◦ 多くのクラウド開発では、ガバナンスの大部分の要素はプロバイダと利用者との契約になる。カスタマイズされた環境では、各プロビジョニング毎に詳細な注意を払い、交渉する。大規模な利用者やプトにより組織を超え、費用対効果に優れたセキュロバイダでは、必要事項と拡張性に対する考慮とをトレードオフするかどうかを決定する。こうした配慮は、重大な場面または特定のワークロードでのリスク値に基づき優先づけられることがある。(例えリティ管理プログラムをもたらす。

ば、メールでは、稼働時間と可用性は人事システムよりも重要となるかも知れない)。成熟するにつれ、Cloud AuditやSTARのようなプロジェクトは、より標準化されたガバナンス方法、(よって、より大きな拡張性)を提供する

CSA-JC All Rights Reserved.

20/45

企業の義務(ガバナンス)
ITガバナンスは、コーポレート・ガバナンス (企業統治) から派生した概念です。コー
ポレート・ガバナンスに関する議論では、「誰が誰を統治するのか」「誰の利益を守るのか」「誰が意思決定し、誰が執行し、誰が 監査するのか」「誰が誰に対して説明責任を果たすのか」といった疑問文の「誰」の部分に、株主、取締役会、執行役員、監査役会など様々な利害関係者を、どう当てはめるかが、たびたび争点となってきました。では、この議論を企業のITガバナンスに当てはめると、どうなるのでしょうか。
簡単に答えを出せるものばかりでないことがお分かりになるでしょう。世の中には、ITガバナンスを「IT部門の復権を狙ったスローガン」と位置付ける向きもあるようですが、そのような安易な取り組みは、かえって自分たちの首を絞めることになりかねません。
ITガバナンス確立に向けた具体的な取り組みを始める前に、まずはこの「誰」という問題と真剣に向き合ってみると良いでしょう。そうすると、ITガバナンスという概念がいかに大きく深いテーマであるかが理解できるはずです。実際、これらの「誰」に、組織や人を明確に当てはめて説明できる企業は、そう多くないのが現状です。

明確に当てはめて説明できる企業は、そう多くないのが現状です。

経済産業省 IT経営ポータルより
www.meti.go.jp/policy/it_policy/it_keiei/action/keyword/governance/
CSA-JC All Rights Reserved.

21/45

企業の義務(ガバナンス)
 2.1

CSAガイダンス3.0Jより

コーポレートガバナンス
 コーポレートガバナンスは、企業が指示、管理、または統制される方法に影響を及ぼすプロセス、技術、習慣、ポリシー、法律、および制度の集合である。
また、コーポレートガバナンスは、多くの利害関係者と会社の目標の間の関係を含む。良いガバナンス
は、会社の真の所有者である株主の権利と、受託者としての経営幹部の役割の承認に基づいている。コーポレートガバナンスの多くのモデルがあるが、すべて5つの基本原理に従う:

CSA-JC All Rights Reserved.

22/45

企業の義務(ガバナンス)
5つの基本原理 監査のサプライチェーン
 取締役会、経営組織、および手続き
 企業の責任とコンプライアンス
 財政的透明性と情報公開
 統制権の所有構造と行使把握の取り組み報告を受け対策を案を承認

外部基準に則した
判断

エンジニアでも難解なセキュリティ事象を、経営幹部(CxO)に理解させ、対策に関する資源の割当・社内承認を得る事が最大の目的
CSA-JC All Rights Reserved.

23/45

クラウドのセキュリティ

CSA-JC All Rights Reserved.

24/45

クラウドのセキュリティ
 クラウドコンピューティングにおけるセキュリティコント

ロールは、IT環境におけるセキュリティコントロールとほとんど変わらない。
 利用する技術は今迄の物とは大きく異なる。

 クラウドコンピューティングは従来のITソリューションと異なったリスクをもたらす可能性がある。

CSA-JC All Rights Reserved.

25/45

クラウドのセキュリティ

VM
利用企業の管理者
ハイパー
バイザー

ハイパーバイザー管理者
CSA-JC All Rights Reserved.

26/45

クラウドのセキュリティ

CSA-JC All Rights Reserved.

27/45

クラウドのセキュリティ

内部の基準・基準作成・実施計画作成・作成指示・承認・実施指示・状況把握・改善指示・順守
・報告
CSA-JC All Rights Reserved.

28/45

クラウドのセキュリティ

クラウド
サービス
利用ガイ
ド
クラウド化に伴う見直し

ハイパー
バイザー
管理

仮想ネットワーク管理

既存のセキュリティ管理策

CSA-JC All Rights Reserved.

29/45

クラウドのセキュリティ

委託管理基準・基準作成
・周知徹底
約款/SLA・作成指示・承認・実施指示・状況把握・改善指示・順守
・報告
CSA-JC All Rights Reserved.

30/45

クラウドのセキュリティ

委託先監査
委
託管理
基
準SLA

契約

約款

申込

定期報告/モニタリング

内部の基準
CSA-JC All Rights Reserved.

31/45

クラウドのセキュリティ
 10.3.4

監査／コンプライアンス
 現在のクラウドの展開手法では、企業利用者
はクラウドサービスプロバイダの監査情報の閲覧をきわめて制限される。企業は事業運営上の遵守事項に合致しているかだけでなく、業界標準への適合と不正使用の疑念を持って監査情報にアクセスする必要がある。

CSAガイダンス3.0Jより

CSA-JC All Rights Reserved.

32/45

クラウドのセキュリティ
 脆弱性情報の入手が難しい。
 入手した脆弱性情報の判断が難しい。
 古いプログラムの改修が難しい。
 コストが払えない。

こんな事になって居ない事を確認するのが「目利き」です
CSA-JC All Rights Reserved.

33/45

クラウドのセキュリティ

 事業者側に重大な過失が無い場合、約款などに定められた額が賠償限度額となる。

CSA-JC All Rights Reserved.

34/45

クラウドのセキュリティ
 プライベートクラウドの場合はSLA(Service LevelAgreement)により、要求事項を業者に提示し合意(契約に含む)する事。
 パブリッククラウドの場合はサービスメニューと約款が全て◦ 自社の要求事項・期待しているサービスを提供して居る事業者を探す事

約款を熟読して比較する事

 パブリッククラウドは外部組織に対するガバナンスで有り、安全対策は全て委託先に委ねる事になる。
実務は委ねられても法的責任は逃れられない。
CSA-JC All Rights Reserved.

35/45

クラウドのセキュリティ
 バックアップ取得について◦ 自分で取るのか、契約領域内に取るのか等を確認する◦ オフサイトバックアップが必要か?
 データやプログラムの保管場所について◦ 国内か?
 ペネトレーションテストについて◦ SaaSの場合テストをさせてもらえない事が有る。
 賠償額について◦ 支払金額を上限としている所が多い

こういったリスクの有無等を判り易く経営に報告し、承認を得て行く事からガバナンスは始まる。
CSA-JC All Rights Reserved.

36/45



JPCERT/CC Alert: Microsoft Internet Explorer の脆弱性 (MS13-008) に関する注意喚起
https://www.jpcert.or.jp/at/2013/at130005.html
I. 概要
マイクロソフト社から Internet Explorer の脆弱性情報が2013年1月15日に緊急公開されました。本情報には、深刻度が「緊急」のセキュリティ更新プログラムが 1 件含まれています。
マイクロソフト社によると、本脆弱性を悪用する標的型攻撃が確認されているとのことです。

訪問監査した時に、担当者にぜい弱性管理の一環で対応についてサンプル的に聞いてみる
あまりマイナーな事例は、「使っていないので無関係です」と、空振りしまうのでネタの選定が大切です。
相手先から「MS13-008」をリリース後直ちに適用致しました というのが一番正しい回答です、 「MS12-036」とか適当な番号でうなづくと返り討ちにあいますので要注
意!

質問により事業者に緊張感を持たせる事も外部ガバナンスの1つのテクニックです。
CSA-JC All Rights Reserved.

37/45

https://chapters.cloudsecurityalliance.org/japan/
 info@jp.chapters.cloudsecurityalliance.org


CSA-JC All Rights Reserved.

38/45