日本セキュリティオペレーション事業者協議会「セキュリティ対応組織（SOC/CSIRT）の教科書」ハンドブック化と情報共有の「5W1H」改版について
日本セキュリティオペレーション事業者協議会（ＩＳＯＧ－Ｊ）
副代表

ＮＴＴセキュリティ・ジャパン株式会社
アナリストチームリーダー兼マネージャー / セキュリティプリンシパル

阿部 慎司
1

© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織の教科書
ハンドブックと成熟度セルフチェックシート
ISOMM(ISOG-J SOC/CSIRT Maturity Model)のご紹介
2© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応3© 2019 ISOG-J日本セキュリティオペレーション事業者協議会• 経営者の思うセキュリティ対応• セキュリティ責任者が思うセキュリティ対応• 現場が思うセキュリティ対応
立場によって考えることが異なることを理解しつつそれぞれに合った考え方（ガイドライン）を把握する

4© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織の教科書 v2.1
セキュリティ対応する組織が持つべき9の機能とその機能が担うべき54の役割を定義

5© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

A. セキュリティ対応組織運営
A-1. 全体方針管理
A-2. トリアージ基準管理
A-3. アクション方針管理
A-4. 品質管理
A-5. セキュリティ対応効果測定
A-6. リソース管理

D. インシデント対応
D-1. インシデント受付
D-2. インシデント管理
D-3. インシデント分析
D-4. リモート対処
D-5. オンサイト対処
D-6. インシデント対応内部連携
D-7. インシデント対応外部連携
B. リアルタイムアナリシス（即時分析） D-8. インシデント対応報告
B-1. リアルタイム基本分析
B-2. リアルタイム高度分析
E. セキュリティ対応状況の診断と評価
B-3. トリアージ情報収集
E-1. ネットワーク情報収集
B-4. リアルタイム分析報告
E-2. アセット情報収集
B-5. 分析結果問合受付
E-3. 脆弱性管理・対応
E-4. 自動脆弱性診断
C. ディープアナリシス（深掘分析）
E-5. 手動脆弱性診断
C-1. ネットワークフォレンジック
E-6. 標的型攻撃耐性評価
C-2. デジタルフォレンジック
E-7. サイバー攻撃対応力評価
C-3. 検体解析
C-4. 攻撃全容解析
F. 脅威情報の収集および分析と評価
C-5. 証拠保全
F-1. 内部脅威情報の整理・分析
F-2. 外部脅威情報の収集・評価
F-3. 脅威情報報告
F-4. 脅威情報の活用

6

G. セキュリティ対応システム運用・開発
G-1. ネットワークセキュリティ製品基本運用
G-2. ネットワークセキュリティ製品高度運用
G-3. エンドポイントセキュリティ製品基本運用
G-4. エンドポイントセキュリティ製品高度運用
G-5. ディープアナリシス(深掘分析)ツール運用
G-6. 分析基盤基本運用
G-7. 分析基盤高度運用
G-8. 既設セキュリティ対応ツール検証
G-9. 新規セキュリティ対応ツール調査、開発
G-10. 業務基盤運用
H. 内部統制・内部不正対応支援
H-1. 内部統制監査データの収集と管理
H-2. 内部不正対応の調査・分析支援
H-3. 内部不正検知・防止支援
I. 外部組織との積極的連携
I-1. 社員のセキュリティ対する意識啓発
I-2. 社内研修・勉強会の実施や支援
I-3. 社内セキュリティアドバイザーとしての活動
I-4. セキュリティ人材の確保
I-5. セキュリティベンダーとの連携
I-6. セキュリティ関連団体との連携© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

上司は読んでくれるだろうか…

暑今い日ねも！

7© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

もっと簡単に「セキュリティ対応組織の教科書」を理解したい（してもらいたい）

セキュリティ
対応組織の教科書
ハンドブック v1.0
8© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

読みやすい概要版。

A3 8up両面で印刷にちょうどいい16ページ+1枚
9© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

https://isog-j.org/output/2017/Textbook_soccsirt_handbook_v1.0.pdf
10© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

https://isog-j.org/output/2017/Textbook_soccsirt_handbook_v1.0_appendix.pdf
11© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

やったぜ！

ハンドブック読んだよ！
ではまずは自組織の状況を把握してから組織づくりしなきゃね！！

12© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織力それぞれの機能と役割が実行できているか
13© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

自組織の力をどう把握するか？
セキュリティ対応組織
成熟度セルフチェックシート
ISOMM(ISOG-J SOC/CSIRT MaturityModel)

14© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

https://isog-j.org/output/2017/Textbook_soccsirt_v2.1_maturity-checklist.xlsx
15© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

ISOMMの使い方

16© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

ISOMMの使い方概要
1.セキュリティの対応の全体を知る
2.自組織でどこを対応するか決める
3.自組織の現在のパターンを知る
4.今後どんなパターンになりたいかを決める
5.現在の範囲でどこまでできているかをする
6.チェック結果を見て、どこを強化するかを決める

17© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織パターンを自覚する（教科書を参考）

役割を専門性や組織の内外で四象限に整理

18© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織パターンを自覚する（教科書を参考）

ミニマムインソース

ハイブリッドII.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

II.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

フルインソース

ミニマムアウトソース
II.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

II.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

アウトソース19

インソース© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

将来的にはミニマムアウトソースを目指すぞ！！

現在と将来的なモデルとするパターンを選択。
20© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

インソースとアウトソース、それぞれの観点において、6段階で評価。
21© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

スコアの付け方
インソース

アウトソース

0 インソースでの実装を検討したものの、結果として実施しないと判断した

アウトソースでの実装を検討したものの、結果として実施しないと判断した

1 実施できていない

結果や報告を確認できていない

2 運用が明文化されておらず、担当者が業務を実施できるサービス内容と得られる結果を理解できていない

3 運用が明文化されておらず、担当者に代わりに他者が臨時で一部の業務を代行できる

サービス内容、得られる結果のいずれかが理解できていない

4 運用が明文化されており、担当者と交代して他者が業務を実施できるサービス内容と得られる結果を理解できているが、想定未満

5 明文化された運用はCSIOなど権限ある組織長に承認されているサービス内容と得られる結果を理解でき、想定通り

22© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

機能別レーダーチャート

レーダーチャートの数値一覧

現在の「強み」：成熟度高

現在の「弱み」：成熟度低23© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

役割別成熟度グラフ

将来に向けての改善点
24© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

チェック時のFAQ• 判断も何もせずに、「何もしていない」場合は1点• 現状が把握できておらず、わからない場合も1点• チェックする立場により評価が変わります。
立場の違いによる認識の差を可視化できますので、気にせずチェックしましょう• 最近できた組織では「わからない」や「できていない」のは当然です。ありのままをチェックして見ましょう25© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織における、現状の把握と今後の方針策定にご活用ください。

26© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織(SOC,CSIRT)強化に向けた
サイバーセキュリティ情報共有の「5W1H」

27© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

情報共有を出発点としたセキュリティ対応をしっかり考えておく必要がある
情報共有

対応不要

初動対応要否判断

対応が必要
検知およ び分析
検知あり

検知なし

準備（ 予防）事
件
後の対応

封じ 込め/根絶/復旧

参照：ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P4
28© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

情報共有を出発点としたセキュリティ対応
情報共有

初動対応要否判断

発見する目線で欲しい情報の例• 攻撃の特徴• 攻撃に関する具体的なインジケーター
対応不要

対応が必要
検知およ び分析
検知あり

封じ 込め/根絶/復旧

29

検知なし

同じ事象への対応でも目的の違いにより、事件
後欲しい情報は異なる。
準備（ 予防）の対処する目線でほしい情報の例• 攻撃を無効化する方法• 安全だと確認する方法

対応© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

情報の受け渡しにおいてお互いに明確にすべき点
サイバーセキュリティ情報共有における 5W1H

発信側

受信側

Why

何を目的に何を目的にWhen

どのようなタイミングでどのようなタイミングで

What

何の情報を何の情報をWhere

どの情報共有の場においてどの情報共有の場から得てWho

誰が誰がHow

どのようにどのように発信するのか？

活用するのか？

参照：ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P230© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

5W1H 文書、英語版をリリースしました！

•

リリース後、各所からの要望を受け…
英語版を作成！
– ISOG-J 初の英語文書リリース•

Six Ws on cybersecurity
information sharing for enhancing
SOC/CSIRT– 英語では “6W” になるんですね…
– 「セキュリティ対応組織」の部分はいい感じにならず… SOC/CSIRT としました•

翻訳: Ryu Hiyoshi (NTT Security)

31© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

第2版のアップデート内容（予定）
対応の流れを理解しやすいよう、情報共有を発端としたセキュリティ対応のフローを作成。
脆弱性情報をキャッチした場合など、具体的な事例を用いた要点のまとめなども掲載予定。

32© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

インシデント対応に活躍する９つの機能（Who）

A. セキュリティ対応組織運営 D. インシデント対応

G. セキュリティ対応システム
運用・開発

B. リアルタイムアナリシス E. セキュリティ対応状況の H. 内部統制・内部不正診断と評価（即時分析）
対応支援

C. ディープアナリシス
F. 脅威情報の収集および I. 外部組織との積極的連携（深堀分析）
分析と評価

33© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

共有情報を用いたセキュリティ対応の流れ（Why&When）
情報共有

初動対応要否判断対応不要

対応が必要
検知およ び分析
検知あり

検知なし

準備（ 予防）事
件
後の対応

封じ 込め/根絶/復旧
参照：ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P434© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

初動対応
Who
F. 脅威情報の収集および分析と評価

E. セキュリティ対応状況の診断と評価

D. インシデント対応

35© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

共有情報を用いたセキュリティ対応の流れ（Why&When）
情報共有

初動対応要否判断

対応不要

対応が必要
検知およ び分析
検知あり

検知なし

準備（ 予防）事
件
後の対応

封じ 込め/根絶/復旧
参照：ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P436© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

検知および分析
Who
D. インシデント対応

Ｘ. 事業部門・システム運用部門

B. リアルタイムアナリシス（即時分析）

37© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

共有情報を用いたセキュリティ対応の流れ（Why&When）
情報共有

初動対応要否判断

対応不要

対応が必要
検知およ び分析
検知あり

検知なし

準備（ 予防）事
件
後の対応

封じ 込め/根絶/復旧
参照：ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P438© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

準備（予防）Who
G. セキュリティ対応システム
運用・開発

Ｘ. 事業部門・システム運用部門

39© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

共有情報を用いたセキュリティ対応の流れ（Why&When）
情報共有

初動対応要否判断

対応不要

対応が必要
検知およ び分析
検知あり

検知なし

準備（ 予防）事
件
後の対応

封じ 込め/根絶/復旧
参照：ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P440© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

封じ込め/根絶/復旧
Who
C. ディープアナリシス（深堀分析）

Ｘ. 事業部門・システム運用部門

41© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

共有情報を用いたセキュリティ対応の流れ（Why&When）
情報共有

初動対応要否判断

対応不要

対応が必要
検知およ び分析
検知あり

検知なし

準備（ 予防）事件
後の対応

封じ 込め/根絶/復旧
参照：ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P442© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

事件後の対応Who
F. 脅威情報の収集および分析と評価

I. 外部組織との積極的連携

43© 2019 ISOG-J日本セキュリティオペレーション事業者協議会

各種資料はISOG-J ホームページ
https://isog-j.org
よりダウンロード可能です。

https://isog-j.org/activities/result.html
44© 2019 ISOG-J日本セキュリティオペレーション事業者協議会(アイコン提供)
いらすとや•

https://www.irasutoya.com/

本資料は クリエイティブ・コモンズ 表示 4.0 国際 ライセンスの下に提供されています。
•

https://creativecommons.org/licenses/by/4.0/legalcode.ja•

本資料に登場する会社名、製品、サービス名は、一般に各社の登録商標または商標です。本資料内では「®」や「™」は明記しておりません。

•

本資料に関し、利用実態を把握するため、ご利用の際にはISOG-Jの窓口（info (at) isog-j.org）までご一報いただけますと幸いです。

•

本資料に関するご意見、ご要望などは下記よりご連絡ください。
•45

https://jp.surveymonkey.com/r/W9HCMFP© 2019 ISOG-J