情報セキュリティ対策マップ検討
WG最終活動報告―目的の島、彼岸の川。究極のセキュリティ対策地図を追い続けた者たちが最後に見たものは―
奥原 雅之
JNSA 情報セキュリティ対策マップ検討WG

2014 年 6 月10日

最終目的
• 「情報セキュリティ対策マップ」を作る– 組織全体の情報セキュリティ対策の状況を確認することができる「情報セキュリティ対策マップ」のコンセプト– これを作成するための手法や記述モデル– 実例としての汎用的な標準情報セキュリティ
対策マップ案

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1大まかな流れ対策の収集

2009/4

対策構造図

2009/7

標準構文

2009/12

標準辞書
「分県図」

2010/8
2011/5

2009/122010/4

対策オブジェクトモデル

2010/8

メソッド関連図

2010/12

対策ツリー
三途の川図法

対策×メソッド図2013/6

機能要素マップ

2014/3

マップ試作

2011/1

今ここCopyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

2セキュリティ対策の収集•••••••••••
•
•
•
•
•
•
•

ISO/IEC 27002
ISO/IEC 27001
その他ISO/IEC27000シリーズ
ISO/IEC 15408
NIST SP800-53
PCI DSS
COBIT
COBIT for SOX
BS25999-1
ITIL
ISO20000
情報セキュリティ管理基準
システム管理基準システム管理基準追補版
個人情報の保護に関するガイドライン
政府機関の情報セキュリティ対策のための統一基準
安全なウェブサイトの作り方
安心して無線LANを利用するために（総務省）

•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•

小規模企業のための情報セキュリティ対策
金融機関等コンピュータシステムの安全対策基準
中小企業の情報セキュリティ対策チェックシート
不正プログラム対策ガイドライン
Webシステム セキュリティ要求仕様
セキュリティ・可用性チェックシート
データベースセキュリティガイドライン
HIPAA
中小企業の情報セキュリティ対策ガイドライン（IPA）
SAS70
IPAのリンク集にあるガイドライン
NIST SP800の53以外（64他）
FIPS
COSO
共通フレーム2007（SLCP-JCF）／ISO/IEC 12207
高等教育機関の情報セキュリティ対策のためのサン
プル規程集
RFC2196 サイトセキュリティハンドブック
地方公共団体における情報セキュリティポリシーに関するガイドライン

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

3対策構造図

↓開発時の注意？？

8. 開発環境(システム開発者)

8. 開発(システム開発者)？

コントロール

マネジメント
1. 目標

コントロールの支援（情報セキュリティ最高責任者）（情報セキュリティ責任者）

5. メカニズム

技術的(メカニズム)

8. 開発環境

3. 要求事項(システム開発者)(セキュリティ管理者)(システム開発者)

直接コントロール

9. 支援機能

2. リスク管理(セキュリティ管理者)

8. セキュア開発(セキュリティ推進者)

実
現

16. 文書化(セキュリティ推進者)

援

10. システム管理・保守（システム管理者）(セキュリティ推進者)

17. 改善11. 管理対支

13. リソース確保

12. 教育(セキュリティ管理者)(セキュリティ推進者)(セキュリティ管理者)

14. コミュニケーション(セキュリティ推進者)

18. 監査8. セキュア開発(システム開発者)

抗6. 手順（システム管理者）（システム開発者）(システム操作者)(システム利用者)

ルール

15. 計画・推進

脅威

4. 対策方針(セキュリティ管理者)

7. インシデント対応(インシデントレスポンスチーム)（システム管理者）（セキュリティ監査者）

19. 方針に対する要求事項

20. その他

ITシステム・設備

21.分類用メタ箱候補

守るべき情報資産情報

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

4

三途の川モデル
目的→手段分解
分解

これがオブジェクト

マルウェア感染を報告させる

報告ルールの確立

マルウェアを取り除く

ワクチンソフトの導入

プロパティ
メソッド

マルウェア感染から回復させる

マルウェアの被害から回復する

具体化・選択

データおよびソフトウェアの回復を行う

データおよびソフトウェアのバックアップを行う

バックアップソフトの導入

B社製品の導入
バックアップの実施

データおよびソフトウェアのリストアを行う

目的界

ここが対策の主系列

A社製品の導入

富士通製品の導入

リストア手順の整備

リストアの実施

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

手段界
5

対策オブジェクトモデルの提言

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

6集めれば何とかなる？
• はじめはとにかく対策をたくさん集めて分類すれば地図が書けるに違いないと考えた• 対策をたくさん集めてみた• 全部違う…orz– 用語が違う– 細かい表現が違う– 粒度（抽象度）が違う– 色々なものが混じっている（右図）– …そもそもセキュリティ対策って何？

製品
技術心得
規則

慣行

プロセス
組織

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

7アプローチ• 対策の正規化– あらゆる対策を同じ表現で書けるようにする• 対策の原子化– 対策を互いに比較できるように「極限まで具体化されたレベル」を定義する• 対策のリポジトリの作成– 構造が正規化された対策の集合を一種の「データベース」としてまとめる
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

8対策の正規化Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

9

標準辞書
標準用語よみ同義語（is）

含まれる概念（has）

概要

対策マップ上の対策毎に登場する単語

よみかた

標準用語と同じ意味の用語

標準用語に含まれる次レベルの用語

標準用語の意味するところ

モバイルコード

もばいるこーど

悪意のモバイルコード

モバイルなコード

そふとうぇあマルウェア
モバイルコード
プログラム

まるうえあ

ウイルス
ワーム
スパイウェア
トロイの木馬
悪意のモバイルコード
混合攻撃
攻撃ツール

被害者のデータ、アプリケーション、またはオペレーティングシステムの機密性、完全性、可用性を損なう目的や、被害者を困らせたり混乱させたりする目的で、通常は気づかれないようにシステムに挿入されるプログ
ラム

コンパイル型ウイルス
インタプリタ型ウイル
ス

自己複製、つまり、自分自身のコピーを作成し、そのコピーをほかのファイルやプログラム、またはコンピュータに配布するように設計されている

ソフトウェア

マルウエア

ウイルス

ういるす

悪意のコード（SP800）
悪意のあるコード（27002）
悪意のソフトウェア
不正プログラム（FISC）

コンピュータウイルス（FISC）

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

10標準構文
プロパティ【目的・脅威】のために

【実施者】

は

【条件】のときに【場所】

で【動詞】する

オブジェクト

【対策】
修飾

メソッド

を【副詞】
管理策の実施に関する修飾。
例：「もれなく」、「早く」【結句】
管理策の要求の強度など。
例：「ことがのぞましい」、「べきである」

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

11

対策オブジェクトモデル
オブジェクト「管理策」する。

静的

上位ルール（方針）
要求事項
責任者
時間

目的
機能
管理者
場所

（期待する）効果
条件
利用者

動的

リソース
（実施の）手順
対象領域

責任者名
手段・技術
対象者

実施者名
コスト

計画

検討する
計画する

コストを算定する文書化する方針を確立する
有効性の測定方法を決める

準備責任者を明確化する
利用者を明確化する
実施者を明確化する機能を明確化する
要求事項を明確化する 導入場所を明確化する
導入条件を明確化する 導入する時を明確化する
リソースを確保する
導入する
手順を明確化する手順を確立する
手順を文書化する
利用者を教育（訓練）する

実施

実施する
レビューする

実施時に注意を払う
実施を記録する

保守（維持）する

実施状況を監査する

有効性を測定する

見直す

プロパ
ティ

メソッド

レビュー
改善

改善する
廃止する
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

12

プロパティの構造
How much
要求するコスト上位ルール（方針）実現する（期待する）効果

実施を可能にする

Why
目的実現する

方法を決める

How

要求事項

機能持つ

（管理策の）責任者名（管理策の）実施者名

達成する

What

（実施のための）リソース「管理策」する（実施の）手順“メカニズム” または“ルール”

選択肢となる手段・技術対象者として実施させられている人々
場合分けする

Where

実施する

対象領域

実施者の種類（システムの）責任者

条件

場所

Who
When
時間
（システムの）管理者：static（静的定数）（システムの）利用者：auto（動的変数）；初期化メソッドが必要
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

13対策の原子化Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会14

セキュリティ対策の全体構造
一般にセキュリティ対策と思われるもの全体

P

フレームワーク

A

D
C

ポリシー

対策オブジェクト

メソッド

条文（スタンダード）

プロパ
ティ

機能要素

支援

ルール

メソッド

C

プロパ
ティ

D

メカニズム
条文（スタンダード）

メソッド

メソッド
メソッド
メソッド

A

ルール
プロパティ

プロパ
プィ
ロパ
テ
プ
ロパ
ティ
ティ

P

機能要素
機能要素
機能要素

メカニズム

脅威や資産に直接作用しない対策

対抗

対抗

脅威
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

15対策の原子化１．対策らしいものを持ってくる

例：ログを取るメソッド
２．対策の付随プロセスを「メソッド」として分離する
プロパティ
３．リスクに直接対抗するものを選定する

フレームワークなど
例：ISMS

対策オブジェクト
４．対策を「ルール」と「メカニズム」に分ける

ルール
例：利用規則メカニズム

５．「本質的な機能」を可能な限り機能に分解する
ここがゴール（原子）機能要素
例：カード認証

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

16

対策リポジトリの作成

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

17

標的型攻撃対策リポジトリ
2012年度セキュリティ市 大分類場調査報告書P57
http://www.jnsa.org/res
情報セキュリティツール

中分類

仮№ 機能

仮№ バリエーション

機能要素表現一般化されたオブジェクト表現

機能オブジェクト表現[メカニズムにより]ルールに基づ [メカニズムにより]ルールに基づきパきパケットをフィルタリングする。 ケットをフィルタリングする。

製品例

【参考】
昨今、FWの定義として、パケットフィルタのみではなく、UTMの要素も含まれる。

ファイアウォールアプライアンス

1 ファイアウォール（狭義）

ルールに基づくパケットフィルタ機能（必要な通信のみ通す、「すべてを拒否」）

同上

2 ステートフルインスペクション

動的パケットフィルタ機能（セッションと セッションと紐付けて動的にパ紐付け）ケットをフィルタリングする。

セッションと紐付けて動的にパケットを Ciscoフィルタリングする。
iMPERVA
Juniper

同上

3 NAT機能

NAT機能NATする。

NATする。

同上

4 データベースファイア
ウォール

Webサーバ、DBサーバ間において特定のルールに基づきDBMSへの通信を遮断する機能

Webサーバ、DBサーバ間におい Webサーバ、DBサーバ間において特て特定のルールに基づきDBMS 定のルールに基づきDBMSへの通信への通信を遮断する。
を遮断する。

VPNアプライアンス／ソフトウェ
ア
同上

5 VPN

1伝送路を暗号化する。

2 SSL-VPN

カプセリング技術によるパケットの暗号化機能
SSLによる伝送路暗号化機能

（なし）

5 VPN

（なし）

SSLにより伝送路を暗号化する。

IPCOM（富士通）
SSLアクセラレータ（一般）3 IPSec-VPN[利点]IPSecより普及率が高い。様々なプロトコルにも対応。リモートアクセ
スだけに絞って考えると、特定のクライアントソフト等のインストールが必要なく、ファイアウォール越しでの接続性が高い為、IPsecよりも幅広い環境で利用可能。
（なし）
IPSecによる伝送路暗号化機能

IPSecにより伝送路を暗号化する。

IPCOM（富士通）

4 PPTP-VPN[利点]ハードウェア制御なので、トネリングではSSLより早い。企業間（専用線等）の暗号化通信のみでは、SSLよ
り優れている。
PPTPによる伝送路暗号化機能（なし）

PPTPにより伝送路を暗号化する。

IPCOM（富士通）

ネットワーク脅威対策
製品

同上

5 VPN

http://www.hitachisolutions.co.jp/paloalto/sp/history/history1.html

既出Imperva SecureSphere
Database Firewall
Oracle Audit Vault andDatabase Firewall

同上

5 VPN

IDS/IPSアプライアンス／ソフト
ウェア

6 IPS（狭義）

シグネチャあるいは挙動判断による不 （なし）
正／異常パケットの遮断・防御機能（パケット破棄、アラート、リセットパケット送信によるコネクション切断）

シグネチャあるいは挙動判断により不 IPCOM（富士通）
正／異常パケットを遮断する。
Proventia（IBM）
Juniper

同上

7 シグネチャ型IDS

同上

8 アノマリ型IDS

同上

9 振る舞い検知型IDS

シグネチャによる不正／異常パケット （なし）の検知機能
RFCに準拠しないパケットなど不正／ （なし）
異常パケットの検知機能
挙動判断による不正プログラムの検知 （なし）機能

シグネチャにより不正／異常パケット IDS/IPS製品一般を検知する。
パケットの異常な特性・性質により不 IDS/IPS製品一般正／異常パケットを検知する。
挙動判断により不正プログラムを検知 FireEyeする。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

備考

ほぼWindows環境のみ

最近の傾向としては、両方の利点を活かした製品が多い。

18

セキュリティ対策マップの試作

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

19アプローチ• 標的型攻撃の対策を対象領域に、小さなリポジトリを作ってみた• そのリポジトリから、メンバーの独創性に基づいた「地図作成コンテスト」を実施• 上位作品を地図としてブラッシュアップ

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

20

マップ作成例 その１（１）• セキュリティ対策を、それが配置される空間に配置したわかりやすい「地図」• 家庭、自動車、オンラインストレージ、IaaSなどさまざまな「場面」で地図を描いてみた

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

21

マップ作成例 その１（１）Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

22

マップ作成例 その１（２）Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

23

マップ作成例 その２• セキュリティ対策の目的を図の中心に配置し、宝がある「島」に見立ててみた• そこからセキュリティ対策の「手段」をマインドマップのように展開し、「海」に見立てる• 冒険心をくすぐる詩的な一枚

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

24

マップ作成例 その２

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

25

マップ作成例 その３• ISOの技術文書「GMITS」の絵をリアルに描いてみた• 真ん中に資産があり、それを対策が壁となって周りの脅威から守っている• 壁１枚１枚が具体的な対策を示している

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

26

マップ作成例 その３

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

27

評価

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会28

評価• 客観的に対策の最小単位を記述できる「対策オブジェクト」のモデルを提言した。
• 「対策オブジェクト」に基づいた地図の作成が可能であることを、作成例を用いて示した。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

29

目的の達成• 組織全体の情報セキュリティ対策の状況を確認することができる「情報セキュリティ対策マップ」のコンセプト• これを作成するための手法や記述モデル• 実例としての汎用的な標準情報セキュリ
ティ対策マップ案
いずれも達成 か？
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会30

今後の課題• すべての対策を系統的に記録した情報セキュリティ対策リポジトリの整備とライブラリ化。
• すべての対策を網羅した情報セキュリティ対策のマップ、いわば「世界地図」の完成。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

31そんなわけで• 本WGは本報告を持って活動終了します。
– ご支援、ご声援ありがとうございました。
m(_ _)m• 次は「情報セキュリティ対策マップ完成WG」
か？

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

32

WGメンバー
ワーキンググループリーダー
奥原雅之
ワーキンググループサブリーダー
長谷川 喜也
メンバー（登録順）
塚田孝則
渡邊浩一
田中建次郎
本川祐治
松井康宏
大谷尚通
藤井裕一
佐藤一章
菊地正人
戸田勝之
土屋日路親
西谷健二

富士通株式会社
富士通株式会社
株式会社日立ソリューションズ
株式会社日立ソリューションズ
ドコモ・システムズ株式会社
株式会社日立システムズ
日本アイ・ビー・エム株式会社
株式会社NTTデータ
富士ゼロックス株式会社
富士ゼロックス情報システム株式会社
日本オラクル株式会社
NTTデータ先端技術株式会社（サブスクライバ）
株式会社インテリジェントウェイブ（公表の許可をいただいた方のみ。載っていない方はご一報を）Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

33

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

34