日本セキュリティオペレーション事業者協議会

SOC/CSIRT「セキュリティ対応組織の教科書 v1.0」の公開

阿部 慎司（ISOG-J / NTTセキュリティ・ジャパン株式会社）1© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

ISOG-Jについて
セキュリティオペレーション技術向上、オペレータ人材育成、および関係する組織・団体間の連携を推進することによって、セキュリティオペレーションサービスの普及とサービスレベルの向上を促し、安全で安心して利用できるIT環境実現に寄与することを目的として設立。現在3３社が加盟。
•セキュリティオペレー

•セキュリティオペレー

•セキュリティオペレー

•セキュリティオペレー

ションガイドラインWG

ション技術WG

ション関連法調査WG

ション認知向上・普及啓•脆弱性診断士のスキルマッ•定期的な技術者交流会•セキュリティ関連法規につ

発WG

いて整理

•セミナー等の企画

WG3

WG4

プ＆シラバス

WG1

WG2•情報利用関連WG•セキュリティオペレー

•グローバル動静情報共有•サイバーセキュリティ関連

ション連携WG

プロジェクト

情報の利活用について検討•セキュリティオペレーショ•セキュリティを取り巻くグンに関する共通課題の議論、ローバルな変化を読み解く

解決の検討

WG5
2

WG6

いまグロPJ© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

SOC/CSIRT

セキュリティ対応組織の教科書について
SOCの役割と人材のスキル v1.0
(2016年07月)

セキュリティ対応組織の教科書 v1.0
(2016年11月)

ISOG-J内外で議論を深め、各項の内容がより明確に、より汎用的になるよう全面的に見直し。

3© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

主な内容

セキュリティ対応組織に関し• 必要となる機能（9個の機能）• 各機能が持つべき役割（54個の役割）• 体制/役割分担• 人材スキル/育成
を体系的に整理4© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

作成のモチベーション“セキュリティ対応”とは…？

セキュリティ対応の範囲は広がりサービス範囲の拡大
その区分、役割分担も多様化▼
MDR*
整理が必要•••

Private SOC* MDR： Managed Detection & Response services

5

人材育成
情報収集
情報連携などなど…

業務範囲の拡大

出典：
JPCERT/CC「CSIRTガイド」
p27 インシデントマネジメント、ハンドリング、レスポンスの関係© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

本書を通じて…
1.

セキュリティ対応としてどのような機能が求められるのかを把握する


全体を把握せず組み立てると、必ず「穴」が生まれ、そこで破綻する

2.

自組織が何ができて何ができてなくて、どこまでやるべきなのかを考える

どこまでやるのか決まっていないと、「やるやらない」「やれるやれない」で揉めて、そこから進めなくなる6© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

本書を通じて…
1.

セキュリティ対応としてどのような機能が求められるのかを把握する


全体を把握せず組み立てると、必ず「穴」が生まれ、そこで破綻する

2.

自組織が何ができて何ができてなくて、どこまでやるべきなのかを考える

どこまでやるのか決まっていないと、「やるやらない」「やれるやれない」で揉めて、そこから進めなくなる

7© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織に求められる９つの機能
A. セキュリティ対応組織運営
C. ディープアナリシス (深掘分析)
セキュリティ対応するに当たって、取り被害を受けたシステムの調査や、漏えい扱うべき事象や対応範囲、トリアージしたデータの確認、攻撃に利用された（対応優先度）基準などの、セキュリツールや手法の分析など、インシデントティ対応における全体方針を管理したり、 に関連するより深い分析を行う機能であ必要となるリソース計画を行ったりするる。インシデントの全容解明と影響の特機能である。セキュリティ対応の安定的定を目的とする。
な運営を目的とする。
B. リアルタイムアナリシス (即時分析)
NW装置やサーバ、セキュリティ製品など、各種システムからのログやデータを常時監視し、分析を行う機能である。リアルタイムに脅威を発見し、迅速で適切なインシデント対応へ繋げることを目的とする。
8

D. インシデント対応
リアルタイム分析結果や脅威情報を元に、脅威の拡散抑止、排除のための具体的な対応を行う機能である。関係者との調整、報告なども含め、システムおよびビジネスへの影響最小化を目的とする。

© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

E. セキュリティ対応状況の診断と評価
G. セキュリティ対応システム運用/開発
守るべきシステムに対する脆弱性診断や、 セキュリティ対応するにあたって必要とインシデント対応訓練およびその評価行なるシステム（セキュリティ製品、ログう機能。セキュリティレベルの向上など収集DB、運用システムなど）の管理、を目的とする。
改善や新規開発を行う機能。他の機能が円滑かつ持続的に活動可能な状態を実現することを目的とする。
F. 脅威情報の収集および分析と評価
ネット上に公開されている、脆弱性や攻撃に関する脅威情報（外部インテリジェンス）を収集したり、リアルタイム分析やインシデント対応時の情報（内部インテリジェンス）を取り扱ったりする機能である。リアルタイム分析の精度向上やインシデント対応、セキュリティツールの改善へ繋げることを目的とする。

9

H. 内部統制・内部不正対応支援
内部統制の営みで必要となる監査データの収集や、内部不正に関する対応支援を行う機能。内部統制そのものや、内部不正捜査の支援を行うことを目的とする。
I. 外部組織との積極的連携
セキュリティ対応組織ではない組織（社外、社内問わず）との連携を行う機能。
波及的なセキュリティレベル向上を目指すとともに、セキュリティ対応組織の存在価値を高め、自組織のさらなる発展、強化を目的とする。
© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応実行サイクル
実行

長期サイクルActivation
セキュリティ対応システム運用・開発

セキュリティ対応組織
運営 導入

Installation

短期サイクルリアルタイムアナリシス（即時分析）

運用

インシデント対応
対応
内部統制・内部不正Response
対応支援

ディープアナリシス
Operation（深掘分析）
脅威情報の収集および分析と評価

セキュリティ対応状況の診断と評価
見直し
Feedback

10© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織に求められる５４の役割
A. セキュリティ対応組織運営
A-1. 全体方針管理
A-2. トリアージ基準管理
A-3. アクション方針管理
A-4. 品質管理
A-5. セキュリティ対応効果測定
A-6. リソース管理
B. リアルタイムアナリシス（即時分析）
B-1. リアルタイム基本分析
B-2. リアルタイム高度分析
B-3. トリアージ情報収集
B-4. リアルタイム分析報告
B-5. 分析結果問合受付
C. ディープアナリシス（深掘分析）
C-1. ネットワークフォレンジック
C-2. デジタルフォレンジック
C-3. 検体解析
C-4. 攻撃全容解析
C-5. 証拠保全

11

D. インシデント対応
D-1. インシデント受付
D-2. インシデント管理
D-3. インシデント分析
D-4. リモート対処
D-5. オンサイト対処
D-6. インシデント対応内部連携
D-7. インシデント対応外部連携
D-8. インシデント対応報告
E. セキュリティ対応状況の診断と評価
E-1. ネットワーク情報収集
E-2. アセット情報収集
E-3. 脆弱性管理・対応
E-4. 自動脆弱性診断
E-5. 手動脆弱性診断
E-6. 標的型攻撃耐性評価
E-7. サイバー攻撃対応力評価
F. 脅威情報の収集および分析と評価
F-1. 内部脅威情報の整理・分析
F-2. 外部脅威情報の収集・評価
F-3. 脅威情報報告
F-4. 脅威情報の活用

G. セキュリティ対応システム運用・開発
G-1. ネットワークセキュリティ製品基本運用
G-2. ネットワークセキュリティ製品高度運用
G-3. エンドポイントセキュリティ製品基本運用
G-4. エンドポイントセキュリティ製品高度運用
G-5. ディープアナリシス(深掘分析)ツール運用
G-6. 分析基盤基本運用
G-7. 分析基盤高度運用
G-8. 既設セキュリティ対応ツール検証
G-9. 新規セキュリティ対応ツール調査、開発
G-10. 業務基盤運用
H. 内部統制・内部不正対応支援
H-1. 内部統制監査データの収集と管理
H-2. 内部不正対応の調査・分析支援
H-3. 内部不正検知・防止支援
I. 外部組織との積極的連携
I-1. 社員のセキュリティ対する意識啓発
I-2. 社内研修・勉強会の実施や支援
I-3. 社内セキュリティアドバイザーとしての活動
I-4. セキュリティ人材の確保
I-5. セキュリティベンダーとの連携
I-6. セキュリティ関連団体との連携© 2016 ISOG-J日本セキュリティオペレーション事業者協議会「失敗」を少しでも遠ざけるために…
1.

セキュリティ対応としてどのような機能が求められるのかを把握する


全体を把握せず組み立てると、必ず「穴」が生まれ、そこで破綻する

2.

自組織で何ができて何ができてなくて、どこまでやるべきなのかを考える

どこまでやるのか決まっていないと、「やるやらない」「やれるやれない」で揉めて、そこから進めなくなる12© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応における役割分担の考え方
どこまでを自組織で担い、どこからを専門組織に頼るべきなのかという役割分担を考えるために、以下の２つの指標を導入する。

① 取り扱う情報の性質
取り扱う情報が、組織内部のものなのか、組織外部のものなのか。インシデントについては、攻撃の被害・影響に関連する情報は「内部」、攻撃そのものに関連する情報は「外部」というように考える。

② セキュリティ専門スキルの必要性
役割を実行する際に、セキュリティ分野における専門性の高いスキルがどの程度必要とされるか。「セキュリティ専門スキル」は、どのような組織においても活用可能なセキュリティ関連スキルのことを指している。ちなみに、その対となるスキルは「社内スキル」で、これは異なる組織へそのまま転用しても通用しにくいスキルを指す。

13© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ専門スキルの必要性
低
II. 自組織を中心に連携すべき領域
組
織外部の情報or攻撃者
側の情報

I. 自組織で実施すべき領域

組織外部に関する情報ではあるものの、組織内部の情報の取り扱いにおいて、専求められる専門性がそれほど高くなく、門性がそれほど高く求められない、あるい
主に社内スキルが求められる場合、実は通用しない（裏を返せば、社内スキルが行・管理は自組織を中心に、専門組織は重要となる）ものは、自組織内にて実施すその支援を行う。
る必要がある。外部の組織に頼ることが困難な領域。

組
織内部の情報orIV. 専門組織を中心に連携すべき領域 被害
組織内部に関する情報ではあるものの、 組織外部の情報、つまり攻撃に関する情者報について、専門的スキルをもって対応す専門スキルが必要となるため、実行面で側るため、専門組織にて実施することとなる。
は専門組織を中心に、自組織はその管の専門的スキルを持ったメンバーが自組織内理・支援を行う。
情にいない限り、自組織での対応は困難な領 報
III.専門組織で実施すべき領域

域。

高14

© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織のパターン
ミニマムインソース

ハイブリッドII.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

II.

自組織を中心に連携すべき領域

自組織が
III.

専門組織で実施すべき領域

I.

自組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

どのパターンを目指しているのか、フルインソース

ミニマムアウトソース
II.

現状、どのパターンとなっているか考えるIII.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

II.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

アウトソース
15インソース© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

参考：
５４役割の分類16© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

人材育成/スキルについて• JNSA「セキュリティ知識分野（SecBoK）人材スキルマップ2016年版」をベースに整理17© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

SecBokでカバーされていない役割▼
NIST ”NICE Cybersecurity
Workforce Framework”とマッピング

18© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

IT型人材育成という考え方

組織内の人材をセキュリティ人材化する育成方針の一つの例

19© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

今後についてみなさまのご意見や、取り巻く環境の実態•に合わせ、随時更新予定
本書をより使いやすくするため、機能や役•割の充足度を見える化できるようなチェックリストや成熟度モデルについても模索中

20© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

ドキュメント作成における参考文献• SOCの役割と人材のスキル v1.0 (ISOG-J)
http://isog-j.org/output/2016/SOC_skill_v1.0.pdf•• Ten Strategies of a World-Class Cybersecurity Operations Center (MITRE)
https://www.mitre.org/publications/all/ten-strategies-of-a-world-class-cybersecurity-operations-center• 翻訳版発行の実現に向け、ISOG-J WG6にて活動中• セキュリティ知識分野（SecBoK）人材スキルマップ2016年版 (JNSA)
http://www.jnsa.org/result/2016/skillmap/•• CSIRT 人材の定義と確保 Ver.1.0 (NCA)
http://www.nca.gr.jp/imgs/recruit-hr20151116.pdf•• National Cybersecurity Workforce Framework (NIST)
http://csrc.nist.gov/nice/framework/•21© 2016 ISOG-J日本セキュリティオペレーション事業者協議会

・本資料の著作権は日本セキュリティオペレーション事業者協議会(以下、ISOG-J)に帰属します。
・引用については、著作権法で引用の目的上正当な範囲内で行われることを認めます。引用部分を明確にし、出典が明記されるなどです。
・なお、引用の範囲を超えると思われる場合もISOG-Jへご相談ください(info (at) isog-j.org まで)。
・本文書に登場する会社名、製品、サービス名は、一般に各社の登録商標または商標です。®やTM、©マークは明記しておりません。
・ISOG-Jならびに執筆関係者は、このガイド文書にいかなる責任を負うものではありません。全ては自己責任にてご活用ください。

22© 2016 ISOG-J