効果的なセキュリティ対策を目指すための第一歩～ステークホルダー間のギャップとその背景～

JNSA 社会活動部会 CISO支援ワーキンググループ
株式会社Preferred Networks, Security Architect

高橋正和

CISO支援WGの活動と本セッションについて

NSF2024, JNSA CISO支援ワーキンググループ

3

WGの活動概要と本セッション内容• CISOを中心としたセキュリティ対策を具体化するための活動• ドキュメントの公開や書籍の執筆• 公表資料を実践するワークショップの開催• WG活動を通じた気付き• CISO、エンジニア、経営陣、ベンダー間にギャップ• このギャップが、効果的なセキュリティ対策の壁となっている• 本セッションの内容••••

CISO支援WGの活動
セキュリティ施策の有効性評価（机上演習）の概要
CISOに求められる業務執行の視座
組織やプロジェクトの共通のゴールについて考察
NSF2024, JNSA CISO支援ワーキンググループ

4

料理で考える本講演の論点
ソリューションのスキーム
Research
素材と鮮度の探求

Best of breed（最高の材料）
セキュリティ製品・サービス

料理人としてのシェフ
担当責任者としてのシェフ
経営者としてのシェフ

Skilled Operation
熟練の料理人専門家のスキーム

良い素材x良いレシピ＝良い料理

三流シェフ (幻冬舎)

三國清三

素材とレシピがあれば出来る？
Unskilled Operation
非熟練者

ここにフォーカスしすぎてないか？

最高！

オーダーは、この料理なのか？

事業（ユーザー企業）のスキーム

ひどい・・・

良い素材x良いレシピ≠良い料理

Research
器具と調理法の探求

Best Practice（最高の方法論）
セキュリティ規範・規準

CISO

こいつをどうにかしないとダメなんじゃないか？

NSF2024, JNSA CISO支援ワーキンググループ

結果から考えないとダメ？
5書籍の執筆CISOのための情報セキュリティ戦略～危機から逆算して攻略せよ～
高橋 正和（著）
JNSA CISO支援ワーキンググループ（協力）CISOハンドブック―業務執行のための情報セキュリティ実践ガイド
著作： JNSA CISO支援
ワーキンググループ

出版社 : 技術評論社
発売日 : 2023/1/21
単行本（ソフトカバー） : 200ページ
ISBN978-4-297-13294-1 C3055

出版社 : 技術評論社
発売日 : 2021/1/20
単行本（ソフトカバー） : 400ページ
ISBN-13 : 978-4297118358

事業責任者の立場になってみると業務執行に関する資料が見つからない• 経営の書籍≒経営者の成功物語かMethod（手法）• マネジメントの書籍≒庶務管理• 業務を執行する当事者目線の資料がない

ハンドブックは悪くないが実務への展開が難しい
by WGメンバー
ハンドブックを補完する内容として目指したこと• 網羅性から、具体的なシナリオへ• 計画の策定から、計画の検証とコミュニケーションへ• わかるから、出来るへ

NSF2024, JNSA CISO支援ワーキンググループ

6

CISO-PRACTSIE ワークショップ開催実績•

2023/04/15 WGメンバー向け•

2023/04/xx CISO向け•

2023/04/27 JNSA会員向けワークショップ•

2023/09/XX 企業向けワークショップ（非公開）

•
•
•
•
•
•
•
•
•
•
•
•
•

ワークショップ

WGメンバー７名（くらい…）
ディテールの議論に時間がかかった（10分予定のディスカッションに1.5時間）
経営者への報告は、現役CISOが担当したので、概ね期待した内容
模擬記者会見は時間切れで実施できなかった

ショートワークショップ（非公開）

約30名のCISOおよびCISO的な業務を行っている方
概ね期待した内容で少し驚く
具体的な事業を背景としたコメントが多く、様々な視点と企業の文化・哲学を知ることができた

申し込み7名＋WGメンバー4名+1
当然ながら、提供者側からセキュリティにかかわっている方が中心
残念ながら期待した内容にはならなかった…

参加 12名＋α （全員 セキュリティ資格保有者）
社内のセキュリティスペシャリスト
高い専門性を感じると共に、専門領域の外への関心の薄さを感じた

NSF2024, JNSA CISO支援ワーキンググループ

7

CISO-PRACTSIEマテリアルの公表

誰が読むかはともかく、英語版も公開予定！

https://www.jnsa.org/result/act_ciso/2023/index.html

NSF2024, JNSA CISO支援ワーキンググループ

8

CISO BRIDGES• CISO、経営者へのインタビューというのを少しやりました。
• Business and Risk-management Integration for Developing Growing
Enterprise Security• この活動は、今後も継続していく予定です。

NSF2024, JNSA CISO支援ワーキンググループ

9

CISO支援WGの主な成果物
こちらに年度をまたいで、まとめていただいています。
https://www.jnsa.org/result/act_ciso/index.html

NSF2024, JNSA CISO支援ワーキンググループ

10

CISO-PRACTISEの目的とゴール

机上演習による• 技術的な視点だけではなく、社内横断的な有効性評価 事業視点、経営視点から有効性を評価する• 外部視点から、有効性を評価するのアプローチ• セキュリティを全社共通の課題とする
CISO-PRACTSIE• セキュリティが主導的な役割を図る• 遵守性と有効性の視点

CISOのための情報セキュリティ戦略

NSF2024, JNSA CISO支援ワーキンググループ

11

二つの論点：遵守性と有効性
本当の目的は、事業のマネジメントにある。
仮に完璧なセキュリティ対策が実現できても、会社が潰れては意味がない遵守が目的化
していないかマネジメントの有効性（監査的視点）
コントロール可能な領域

お手本

あるべき姿

施策

実状

法律・規準
ガイドライン

ビジョン
計画

マネジメント

遵守性

手法・製品
サービス

本来の目的は脅威への有効性にある
脅威

有効性

現場・インシデント対応の方向
有効性の評価は、フォルトツリー検証をするということかもしれない
NSF2024, JNSA CISO支援ワーキンググループ

12

CISO-PRACTSIE(ワークショップ)の概要

財務的な目標ではなく、合理的な公表内容を目標とする• シナリオをINPUT,公表内容をOUTPUT、インシデント対応をPROCESSと位置付ける• 設定したINPUTに対して、適切なOUTPUTが出せるか、PROCESSという視点から評価する
INPUT

PROCESS

公表内容：ポジションペーパー

セキュリティ事件・事故のケース

影響を
受ける事業

• 標的型攻撃で機密情報が漏れた可能性

事業の概要
影響や被害の概要

影響を受ける被害者数と特徴• ハッカーの侵入を受けて、すべてのメール
がインターネットに公開された

顧客や
取引先への
影響

• WEBページから顧客情報が閲覧可能な状態想定される２次被害
ワークアラウンド（被害の軽減策）
被害者への補償• 弊社にしか登録をしていない「メールアド
レスに広告が入った」とのクレーム

事業の停止・再開の予定と根拠
事業への影響• 顧客から、弊社にしか登録をしていない「クレジットカードが勝手に使われた」

事業レベルの対応（営業停止、継続、縮退など）

事件・事故の原因・要因
事件・事故 （なぜ防げなかったのか）• インターネット上の掲示板に弊社の顧客情報を含むドキュメントが掲載されているの経緯

対応のタイムライン（経営者が認識したタイミング）• 弊社が所有するIPアドレスから攻撃を受けているとのクレームが入った• 弊社のメールアカウントを使った、標的メールが取引先に送信された

OUTPUT

再発防止策

再発防止策の内容と実施時期

責任関係関係者の処分など

CISO-PRACTSIE: PRactical Assessment for Company-wide security measures Through Security Incident Exercise for CISO

NSF2024, JNSA CISO支援ワーキンググループ

13

CISO-PRACTSIEの流れ
P

プロファイル
規程類、施策、計画

イベント

社内ステークホルダー
事業部門
スタッフ部門
法務、広報、人事

CSIRT

E

プロファイル

シナリオの把握• 提示されたイベント（シナリオ）を理解する

ディスカッション• セッションのウォーミングアップ• 提示された議題について、意見を交換します

状況の整理
ステータスレポート

経営陣への報告

CISO

報告書

社外の専門家など
公表内容の作成と経営陣の承認

経営陣/経営者

ポジションペーパー

顧客・世間
メディア
監督官庁などS
公表内容（模擬記者会見）

模擬記者会見の実施
ステートメント, QA

ポストモーテム（振り返り）

F• 会社の状況、セキュリティ施策、経営計画など、対応を行うための基盤となる情報を収集し整理（プロファイル）する

ポストモーテム・計画の承認
改善計画書• 関係者に確認する項目を確認し、事業・経営視点で現状況を把握• この作業を通じて関係者の共通認識を醸成する• 状況が変化したときは、速やかに内容を更新する• ステータスレポートに基づいて、経営陣への報告書を作成する• 単に収集した情報を述べるのではなく、事業や経営への影響を明らかにし、経営陣に求める判断や、依頼事項を明らかにする（費用、リソース、システムの停止など）• 一般的には広報が作成するが、セキュリティ施策の合理性を検証するためにCISOの立場で作成する• 防御・対処・検出などの公表内容の証跡について検証する• ポジションペーパー（≒公表内容）は経営者の承認が必要• 経営者（役）は会見をする立場から検証し公表内容を仕上げる• 模擬会見から客観的で合理的な説明が出来ることを検証する。
• 記者役からの質疑応答を通じて、内々の理屈となっていないか、欠けている視点は無いか、などを検証する。
• 対応や改善が必要な項目と対応計画を明らかにする■社内で実施する場合• 「再発防止策」は「今すぐ実施すべき施策」• 対応や改善は、「実施計画」に落とし込む
NSF2024, JNSA CISO支援ワーキンググループ

14

E1：端末のランサムウエアの感染
JNSAアーキテクトのCSIRTに、WFHで業務を行っている社員からおかしな画面が出たとのメールで連絡がありました。
画面のハードコピーを送ってもらったところ、ランサムウエアに感染していることがわかりました。

当該社員Aにヒアリングを行った内容は以下の通り⚫ 2022/07/23 12:17に業務利用のPCにランサムウ
エアと考えられる脅迫画面が表示された。
⚫ 同日、12:30にCSIRTに連絡を行った⚫ 在宅で勤務しており、会社とのVPN接続は行っていない⚫ オンラインストレージと同期をしているフォルダーがある⚫ 電話による連絡は可能と確認できている

NSF2024, JNSA CISO支援ワーキンググループ

15

E1-a:ディスカッション
CSIRTからの報告を受けて、どのような対応を指示または実施しますか？
以下に対応の例を記載しますので、それぞれの項目に対する判断と、その前提条件や考慮すべき点を記載してください。

対応・対処

判断

原因究明 VS 拡大防止

前提条件、備考など

1 アンチウイルスでフルスキャンを指示する
2 PCの電源を落とす、ネットワークケーブルを抜染する

1

3 当該PCの初期化を指示する
4 代替えのPCを送付し、感染したPCを回収する

2

5 主要なシステムで、当該社員のアカウントを無効化する

3

6 サーバーなどへのアクセスを調査する

4

7 社員が身代金を支払うことをサポートする

5

8 情報セキュリティ委員会・経営陣に報告する
9 セキュリティ企業に調査を依頼する
10 ランサムウエアの種別を特定する

6

11 侵入経路を特定する

12 徹底的に原因を調査する（フォレンジックなど）

判断：A:すぐやる、B:やるかもしれない、C：この段階ではやらない、D:絶対やらない、E：可能ならやりたい
NSF2024, JNSA CISO支援ワーキンググループ

16

E2：システム停止と身代金の要求
社員Aの対応を進めているうちに、GanGanゲームサイトの運用担当者から、システムの継続が難しい状況になったとCSIRTの窓口に連絡が入りました。クラウド上のサーバーのストレージが暗号化をされ、GanGanのサーバーに以
下の内容が表示されたとのことです。
社員AはGanGanの運用者のひとりであり、GanGanサーバーのアクセス情報を持ってことから、セッション１に関連した攻撃かもしれません。

・システムは、ハッカーグループ「Condor」の制御下に置かれている・システムのストレージ上のデータは、「Condor」により暗号化が行われた・暗号を解除するためには、３日以内に2BTC(約600万円)ビットコインで支払う必要がある
・テレグラムの連絡先も表記されている

・GanGanシステムが保有する情報アカウント情報（ID（メールアドレス）、ハッシュ化されたパスワード）
GanGan上でユーザーが入力した情報（チャット、プライベートチャット）
クレジットカード情報など
・データベースのストレージも暗号化されたため、データベースもアクセスできません
・サイバー保険には加入していません
NSF2024, JNSA CISO支援ワーキンググループ

17

E2-a:ディスカッション-2
想定する状況
対応
CSIRTがシステム被害状況の調査を行っています。現段階では、システムが稼働していない事、その原因はランサム⚫
身代金の支払いを選択しますか
ウエアによるファイルなどの暗号化であること、だけがわかっている状況です。
⚫
選択肢を検討するために、何をしますか、何が必要ですか。
バックアップが無い場合
身代金の支払いについて、CISOであるあなたは何をすべきでしょうか。
以下の観点から、チームで議論してください。
⚫
バックアップから復旧が出来る可能性がある⚫
復旧の目途は、５日間と見積もられていますが、⚫
これまで、このような復旧を行ったことが無いため、 ⚫
確実に復旧できるわけではありません。

復旧が出来ない場合に、身代金を支払いますか
他の事例から、暗号鍵を入手しても復号化に１週間はかかると想定されています

身代金を支払ったが、復旧が出来なかった場合はどのように対応しますか（身代金支払いから１週間経過）

指示・報告・届出等はありますか
経営陣にはどのように伝えますか
顧客にはどのように伝えますか
警察には届けますか

⚫
⚫
⚫
⚫
⚫

支払いますか、支払いませんか、判断と理由を述べてくださいコンタクトは行いますか、どのようなコンタクトを行いますか？
指示・報告・届出等はありますか
身代金を支払ったことを公表しますか
メディアから暴露された場合はどのような対応をとりますか⚫
⚫
⚫

指示・報告・届出等はありますか
どのような対応を行いますか
選択肢を検討するために、何をしますか

NSF2024, JNSA CISO支援ワーキンググループ

18

E-b:状況と必要な対応の把握状況と必要な対応・対処についてディスカッションし、結果を「ステータスレポート」にまとめてください。
影響度、深刻度については、「事業視点でのリスク評価項目」に基づいて、顧客、業務、財務の視点から評価し、「原因・要因・背景・課題」を参考に、技術的な原因だけではなく、組織としての背景や課題についても検討してください。
なお、ステータスレポートに正解はありません。各項目を記載するうえで必要な事柄を考慮して作成してください。
事業視点でのリスク評価項目と評価軸（重要度・深刻度）

情報漏洩・流出
代
表
的
な
評
価
項
目

原因・要因・背景・課題で分析する

代表的な評価軸

改竄
業務の停止・縮退
コンプライアンス
社会的な影響

シ
ス
テ
ム

顧
客

業
務
・
事
業

財
務

イ
ベ
ン
ト

原

要

背

因

因

景

課
題

再
発
防
止
策

被害の拡大
想定される事象

NSF2024, JNSA CISO支援ワーキンググループ

19

E-b:関係者の役割と深刻度・可能性
ステータスレポートでは、ステークホルダーの役割をRACIで分類し、深刻度と可能性を５段階で評価します。
RACI: 関係者の役割をRACIで分類する⒮-1対応レベルRACIで記載( - 対象外）
Responsible, Accountable
Consult, Inform

I 経営陣
A 事業担当執行役員等
I 広報

R 情シス
R CSIRT
A CISOC 法務・知財•Responsible（実行責任者）•Accountable（説明責任者）•Consulted（協業先）•Informed（報告先）- 責任者- 外部からの問合せの対応責任者- 意見を求められる者。双方向の対話。
- 進捗を常に把握している者。一方向の通信。

- 人事- 社員全般深刻度と可能性⒮-4 顧客・取引先の被害
深刻度：Critical ,Serious , Moderate Light, 可能性：occure, hIgh,medium,low, -Mo 金銭的な被害
Sm 詐欺行為など
Lm 機密情報の漏洩

深刻度
Critical
深刻な影響がある
Serious
重大な影響がある
Moderate ある程度の影響がある
Light
軽微な影響がある
具体的な影響は考えにくい

可能性
occur
high
mediumlow-

C- 業務停止Mm 脅迫行為□□ その他（不明）

既に起きている起きる可能性が高い
起きる可能性がある
起きる可能性は低い
起きる可能性はない

NSF2024, JNSA CISO支援ワーキンググループ

20

レポート・作成資料の構成
関係者向けの整理 -> 経営者向けの報告 -> 公表内容の整理 -> 公表資料の作成 の手順で資料を作成します•

関係者向けの整理•

ステータスレポート：できるだけ客観的に情報や状況をまとめるための担当者の資料•

経営者向けの報告•

公表資料の整理••••経営者向けの報告：会社・組織としてのインパクトを明らかにし、経営判断を仰ぐための資料
ポジションペーパー：公式な公表を前提とした、社内で情報を共有するための資料
社内向けのFAQ：想定される質問に対する共通した見解を述べるための社内向け資料

公表資料の作成••

ステートメント：報道向けへの配布、ホームページでの公表等に使用する資料
ステートメントは、公表できる内容のみを記載し、憶測や実現できない内容は記載しない
社外向けのFAQ：ステートメントを補完するもので、メディアや顧客などに配布・公表する資料
ステートメント

情報・状況

E-b ステータス
レポート

S2 ポジションペーパー

社外向け FAQ
E-c 経営者向けの報告

社内向けFAQ

NSF2024, JNSA CISO Support Working Group

模擬記者会見の原稿

21

E-b:状況の把握（ステータスレポート1/2）⒝-1 事業の概要

対象 ⒝-2影響を受ける情報の種類
事
業 ⒝-3 システム停止の影響

事業の名称（）担当責任者（） 売上（
事業概要：□個人情報 □クレジットカード情報 □顧客の機密情報 □自社の機密情報□ 公表済みの情報 □ 特定が困難（端末・メール等）□ その他 □ 不明⒮-2 状況・概要

事
業 ⒮-3 事業面の対応
へ ⒮-4 顧客・取引先の被害の影 ⒮-5 自社の被害
響⒮-6 深刻度⒮-7 緊急度⒤-1 影響の概要

顧 ⒤-2 影響の状況
客へ ⒤-4 想定される二次被害の影 ⒞-2 被害者のワークアラウンド
響⒭-5 外部の専門家）⒝-4コンプライアンス⒝-5社会的影響⒮-1対応レベル(RACI)）顧客数（⒝-6その他- 経営陣 - 事業担当執行役員等- 広報 - 情シス – CSIRT – CISO - 法務・知財- 人事- 社員全般イベント・インシデントが事業に与える状況の概要を記載□ 事業の停止
背景□ 事業の縮退（一部停止）□ 事業の継続対応の状況や背景について記載□ 金銭的な被害 □ 詐欺行為など □ 機密情報の漏洩 □ 業務停止 □ 脅迫行為 □ その他□ 金銭的な被害 □ 詐欺行為など□ 機密情報の漏洩 □ 業務停止 □ 脅迫行為（身代金）□ 信用の失墜 □ 社会的責任 □ その他 □なし（軽微）□ 不明□ S:既に深刻な状況□ A:深刻な影響の可能性 □ B:一定の影響がある可能性)□ C:軽微な影響の可能性 □ D:実質的な影響はない □ その他□ S:即時対応 □ A:24時間以内の対応 □ B:3日(72時間)以内の対応 □ C:1週以内の対応□ D:特段の対応は必要ない□ その他

□ なし

□ 不明

影響を受ける情報・データがある場合、その概要を記載

データ量：データ量について記載
被害者数：影響を受ける被害者数⒤-3 影響を受ける被害者の特徴

被害者を特定するための特徴などを記載懸念される二次被害について記載⒞-1 被害の確認方法

影響を確認する方法を記載

すぐに実施できる回避策、軽減策⒞-3 被害者が実施できる対策

被害者が実施できる対策□公認会計士など □ 弁護士 □ 安全保障貿易情報センター □ 労働局□ SIベンダー □ セキュリティ企業 □ 保険会社 □ 特に必要はない
NSF2024, JNSA CISO支援ワーキンググループ

22

E-b:状況の把握（ステータスレポート2/2）(f)-1直接的な損害
財
務
へ (f)-2費用・賠償・制裁金等の影
響(f)-3 無形損害・その他⒭-1 必須の連絡先
外 （監督官庁など）
部
へ ⒭-2 取引先の連 ⒭-3 影響を受ける被害者
絡・報
告 ⒭-4 メディア等の公知⒯-1 システムの名称・概要
当
該 ⒯-3 情報流出の懸念
シス
テ ⒯-5 システム侵害の懸念ム⒯-8 再発防止策■金銭損害
身代金 詐欺被害 搾取■費用損害
事故原因調査・対応、広告・宣伝、
コールセンター、見舞金等■利益損害
直接的的な機会損失■損害賠償
賠償費用、弁護士費用等

間接的な機会損失■行政損害
個人情報保護法、GDPR/CCPAなど■無形損害
ブランド棄損、株価■その他

担当者、報告先、時間的な制約□ 個人情報保護委員会 □ GDPR
□ 監督官庁 □ 警察 □ 不要 □ その他

取引先名、先方担当者、自社担当者
自社担当者：□ 第一報を即時入れる □ ある程度事実関係が分かった段階で報告□ 確実な状況が把握できるまで連絡しない □ 報告の必要はない□ 第一報を即時入れる □ ある程度事実関係が分かった段階で報告□ 確実な状況が把握できるまで連絡しない □外部の被害者はいない

担当者：□ メディア □ ホームページ□ SNS等 □ その他 □ 不要

影響を受けない利用者等■名称、■責任者（事業、技術）■システム概要

情報流出の懸念について記載⒯-4 システム停止の懸念

システム停止の懸念、必要性について記載

攻撃が継続、拡大する懸念⒯-7事故の原因・要因

事件・事故の原因・要因を記載

影響を受けない利用者への対応を記載

再発防止策について記載

NSF2024, JNSA CISO支援ワーキンググループ

23

E-c:CISOから経営者への報告
対応責任者
事件・事故の概要
影響を受ける事業

事業・インフラなど
影響の概要

顧客や取引先への影響影響を受ける被害者数と特徴

ワークアラウンド想定される２次被害被害者への補償

事業への影響事業の停止・再開の予定と根拠

事業レベルの対応（営業停止、継続、縮退など）

財務への影響金銭損害、利益損害
費用・賠償・制裁金など
無形損害・その他
事件・事故の原因・要因（なぜ防げなかったのか）

事件・事故の経緯実施した対処対応のタイムライン
再発防止策

責任関係

関係者の処分など

対応の評価
CISO-PRACTSIEワークショップ用マテリアル
https://www.jnsa.org/result/act_ciso/2023/index.html
NSF2024, JNSA CISO支援ワーキンググループ

24

S2:模擬記者会見・ポジションペーパー
項目
影響を受ける事業

内容

事業の概要

影響や被害の概要
影響を受ける被害者数と特徴
顧客や取引先への影響想定される２次被害（これから起きるかもしれない事）
ワークアラウンド（被害の軽減策）
被害者への対応と補償問合せ窓口など事業の停止・再開の予定と根拠

事業への影響

事件・事故の経緯

事業レベルの対応（営業停止、継続、縮退など）
事件・事故の原因・要因（なぜ防げなかったのか）
対応のタイムライン（経営者が認識したタイミングを含む）

再発防止策

再発防止策の内容と実施時期

責任関係関係者の処分など
NSF2024, JNSA CISO支援ワーキンググループ

25

CISO-PRACTISEでみえてきた

CISOに求められる業務執行の視座
CISOの育成に向けて.

NSF2024, JNSA CISO支援ワーキンググループ

26

ワークショップ参加者からのフィードバック
設問4：ラップアップ
検討項目
学んだ点、参考になった点はありますか
JNSA アーキテクトが事前に準備すべきだった点はありますか（やっとけばよかったこと）
ワークショップで改善すべき点を挙げてください

•
•
•
•
•

参加者からのコメントなど
フォーマットが参考になった「原因・要因・背景・課題」に対する腹落ち感があった
エビデンスがないと答えにくい。（質問されても）回答の仕方が異なる。
今これをやったら将来どういう影響があるかなど、長期的視野が必要と感じた。
（経営者に）助けてもらう、相談するという視点は無かった。

自社にフィードバックしたい点を挙げてください

•

その他

•

世の中の動向やトレンドを掴んでおかないと、経営者に提案ができない
身代金の支払も、動向を知らないと経営者に説明（説得）できない。
広報や法務などのステークホルダーを巻き込む必要がある•••

ワークショップの振り返りとして、ラップアップを丁寧にして欲しい
CISOを育成する視点が欲しい
CISO検定があったら受けてみたい「現役CISO」と「セキュリティ専門家」に大きな「ギャップ」があり、CISO以外の方々から、CISOを育成する視点が欲しい、との要望があった。
NSF2024, JNSA CISO支援ワーキンググループ

27

ワークショップにみる傾向
これまでに実施したワークショップにみられた傾向（あくまでも、個人の感想で、若干誇張しています）
現役CISO•••

セキュリティベンダー

ワークショップの狙いに沿った内容になった会社としての立場で、考える習慣が見られた•

対応は違っていても、意外なほど論点が共通していた（プロトコルがありそう）

•

•
•
•

社内のセキュリティ担当者

会社状況への興味が薄い（当事者感が薄い）
正解を探す傾向にある
報連相に終始する傾向にある企業を代表する立場への認識が薄い•

ある意味、当然の傾向だが、ユーザ
企業とベンダーの溝は、この辺りに要因がありそう•NSF2024, JNSA CISO支援ワーキンググループ•••

自身のロールに求められる範囲で判断をする傾向にある
必ずしも、事業への興味を感じない
報連相に終始する傾向がある
企業を代表する立場への認識が薄い
ある意味、当然の傾向だが、「経営者がセキュリティを理解していない」と感じる要因は、この辺り
にありそう

28

CISOと担当者のありがちな違い• プロファイルをあまり読まない• 自社の事業も知らないのかもしれない• 状況がわからなければ判断はできない• 計画がわからなければ判断はできない• 顧客・事業の視点を忘れがち• 時間的な制約を忘れがち• 誰を巻き込む必要があるを忘れがち
社内ステークホルダ（責任と権限の理解）P

プロファイル
規程類、施策、計画

イベント

CSIRT

ー
事業部門

E

• 報告の目的についての考察がない
スタッフ部門• 単なる連絡になりがち
CISO
法務、広報、人事（部下からの報告としてのレビューも有効）

プロファイル

シナリオの把握• 提示されたイベント（シナリオ）を理解する

ディスカッション• セッションのウォーミングアップ• 提示された議題について、意見を交換します

状況の整理
ステータスレポート

経営陣への報告報告書

社外の専門家など• ポジションペーパー,ステートメントの理解が薄い• 会社として世間に公表する内容を捉えきれない
経営陣/経営者（自身の哲学・考え方を優先しない）• 実施すべきだが、実施できていないことを的確に把握することが難しい• 聞かれるであろう内容を想像することが難しい
顧客・世間

公表内容の作成と経営陣の承認
ポジションペーパー

S

公表内容
メディア
（模擬記者会見）
監督官庁などこれらの（当たり前の）事柄を、適切に実施することがCISOに求められる
ポストモーテム
業務執行のプロトコルではないか（振り返り）

模擬記者会見の実施
ステートメント, QA

F• 会社の状況、セキュリティ施策、経営計画など、対応を行うための基盤となる情報を収集し整理（プロファイル）する

ポストモーテム・計画の承認
改善計画書• 関係者に確認する項目を確認し、事業・経営視点で現状況を把握• この作業を通じて関係者の共通認識を醸成する• 状況が変化したときは、速やかに内容を更新する• ステータスレポートに基づいて、経営陣への報告書を作成する• 単に収集した情報を述べるのではなく、事業や経営への影響を明らかにし、経営陣に求める判断や、依頼事項を明らかにする（費用、リソース、システムの停止など）• 一般的には広報が作成するが、セキュリティ施策の合理性を検証するためにCISOの立場で作成する• 防御・対処・検出などの公表内容の証跡について検証する• ポジションペーパー（≒公表内容）は経営者の承認が必要• 経営者（役）は会見をする立場から検証し公表内容を仕上げる• 模擬会見から客観的で合理的な説明が出来ることを検証する。
• 記者役からの質疑応答を通じて、内々の理屈となっていないか、欠けている視点は無いか、などを検証する。
• 対応や改善が必要な項目と対応計画を明らかにする■社内で実施する場合• 「再発防止策」は「今すぐ実施すべき施策」• 対応や改善は、「実施計画」に落とし込む
NSF2024, JNSA CISO支援ワーキンググループ

29

CISOの育成はできるのか？
• テンプレートを用意すれば、自動的に解決すると思っていたが...
• どうも、そうでもないようだ• 本を読んでも自転車に乗れるようにならない*• もしかして、CISOに就くまではCISOになれないのではないか• しかし、何の準備もなしにCISOを担えるものでもない• CISOになればよいという物でもないけれど…
筋がわかるようになれば、少し幸せに近づくんじゃないか？

• ワークショップでの気づきから、提言としてまとめると…
*「経営」の目線ができないのは「お金」と紐づきすぎているから デザイナーが起業してわかった、本当にお金をかけるべきこと - ログミーBiz (logmi.jp)
https://logmi.jp/business/articles/329245
NSF2024, JNSA CISO支援ワーキンググループ

30

CISOに対する提言• コミュニケーション：巻き込み方が重要• 全役員と一斉に情報共有する仕組みが必要• 上司が先に知っていると厄介なので、報告が早くなり、対応も早くなる• 具体的な情報を確認しておこう• 演習で言うところのプロファイリングは重要• CSF*などでいうインベントリの一部に相当する作業

•

•

•

ワークショップの狙いに沿った内容になった会社としての立場で、考える習慣が見られた

対応は違っていても、意外なほど論点が共通していた（プロトコルがありそう）• オープンな場を心がけよう• むやみに怒ると、状況が上がってこなくなる• 会社の代表としての視点を持とう• 経営者の視点を持って考えることが必要• セキュリティを成功要因（Business Enabler）として位置づける

CSF*: NIST Cyber Security Framework
NSF2024, JNSA CISO支援ワーキンググループ

31

社内のセキュリティ担当者に対する提言•• 自社の事業に興味を持とう• 自分の会社の売上も知らないのはどうだろう• どんな事業を行っているか、どんな人が事業をしているかに興味を持とう• 上司の上司の視点を持とう• 上司の上司に報告できるような報告を心がけよう
•
•

•
•
•
•

「報連相」から「報連相＋提案」に提案が入らない報告を受けるとつらいよ

自身のロールに求められる範囲で判断をする傾向にある
必ずしも、事業への興味を感じない
報連相に終始する傾向がある
企業を代表する立場への認識が薄い
ある意味、当然の傾向だが、「経営者がセキュリティを理解していない」と感じる要因は、この辺りにありそう• 「正しい」ことより望ましい結果を目指すことが重要• ステークホルダーとのコミュニケーションに注意しよう• だれがステークホルダーかを知ろう• 相手に何をして欲しいか（要望や判断）を明確にしよう• 専門用語を使わないで説明を心がけよう••相手にとってのインパクトが伝わるか
相手の立場を考慮した説明が出来るか

NSF2024, JNSA CISO支援ワーキンググループ

32

セキュリティベンダーに対する提言• 顧客の状況に対して興味を持とう• 契約形態にもよるけど、事業概要くらいは調べよう• ソリューションに期待される事、期待に応えていない事を知ろう• 単にソリューションの説明に終始していない？
•

•

•
•
•
•

会社状況への興味が薄い（当事者感が薄い）
正解を探す傾向にある
報連相に終始する傾向にある企業を代表する立場への認識が薄い
ある意味、当然の傾向だが、ユーザ
企業とベンダーの溝は、この辺りに要因がありそう

本社のプレゼンそのまま使ってない？

• ソリューションの位置づけをきちんと伝えよう•出来ること、出来ないこと、必要なオペレーション• 正解を求めるのではなく…
• 適切さを求めるのが良さそう• 担当者目線だけでなく、CISO目線で対応しよう• 担当者がCISOや上司に説明できる資料を心がける
NSF2024, JNSA CISO支援ワーキンググループ

33

CISO支援WG
次のステップNSF2024, JNSA CISO支援ワーキンググループ

34

次のステップ• CISO-PRACTSIEマテリアルの英語版を出す！
• 誰が読むか分からないけど

まもなく公開、協力者絶賛募集中！

• シナリオを増やす• ランサムだけでは物足りない• 海外を含めた類似の資料との比較を試みる• CISO BRIDGESの継続• 対応いただける経営者、CISO、CTOなど募集してます!!

• ゆる～～～いWGですが、メンバー募集中です•

sec@jnsa.org までご連絡ください。
NSF2024, JNSA CISO支援ワーキンググループ

35

Security Days W4-01

緊急告知！

Security DaysでCISO-PRATSIEワークショップ開催します！

• CISO-PRACTSIE
セキュリティ施策の有効性評価のためのワークショップ• 高橋 正和、池上 美千代、唐沢 勇輔 、桐本 直樹、
田中 朗、戸田 勝之、中村匡秀、深谷 貴宣• W4-01 : 3.15(金) 10:40-11:20•

https://f2ff.jp/introduction/8757?event_id=secd-2024-01-Tokyo

NSF2024, JNSA CISO支援ワーキンググループ

36

Thank you