CISOハンドブック
業務執行として考える情報セキュリティ

JNSA 社会活動部会 CISO支援ワーキンググループ
リーダー / JNSA 副会長

高橋 正和

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

CISOハンドブックの構成
・CISOハンドブック v1.0β [4.70MB]・CISOダッシュボードv09 [1.94MB]※CISO が経営会議で報告し了承を得るための内容を「CISO ダッシュボード」と呼称し考察しました。

・インシデント対応ワークショップVer01 [1.58MB]※「インシデント対応手順」の策定を通じて、組織のセキュリティ在り方やステークホルダーを明らかにし、事故が発生した際には、手順に従ったインシデント対応を適切かつ遅滞なく実施できることを目指すものです。

・インシデント対応ワークショップ-表v02 [47KB]※上記ワークショップを行う場合に使う表です。

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

CISOハンドブック作成の背景

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

業務執行にフォーカスしたCISOハンドブックの使い方

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

CISOハンドブックの使い方• 経営会議で資料を作る際のひな型として• 技術担当からCISOになった人がビジネスを理解するための参考として• セキュリティ経験の少ないCISOがセキュリティ業務を理解するための参考として• 経営会議で話される業務執行（CISOの役割と責任、業務）の概
要を理解する参考として• ビジネスに関連付けた計測項目と判断基準の例として• ビジネスに沿ったセキュリティ計画や、事業継続計画の策定の資料として

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

情報セキュリティ
マネジメントの基礎知識

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

ビジネスリスクとセキュリティリスクの関係
Confidentiality（機密性）

経営への影響

事象・事件・事故想定されるセキュリティ侵害

情報資産・ITセキュリティ

Integrity（完全性）

Availability（可用性）

競合優位性の低下：競合の躍進、評判の低下
費用的な損失：損害賠償、営業機会損失
事業への影響：営業停止
ストーキング
秘密の暴露
スパイ行為

システム誤作動
偽の発注・契約
紛争の誘発システムの停止
社員間の連絡できない
社外との連絡できない
売上が立たない

利用状況の漏洩
画像・音声の漏洩
踏み台による漏洩

プログラム等の改ざん
データの改ざんプログラム等の改ざん制御データの改ざん
通信経路の遮断ソフトウェアの脆弱性
設定の不備
プロトコルや暗号の不備
ネットワークや通信の不備
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

運用上の不備
利用者による改造
認証の不備
ワーム・ウィルス

情報セキュリティ計画フェーズの実施モデル
ビジネスコンセプト（経営理念、方針）
ITコンセプト

情報セキュリティコンセプト（理念、方針）情報セキュリティプログラム（アーキテクチャ、戦略、長期計画）
情報セキュリティプロジェクト（実施のフレームワーク）
情報セキュリティプラン（実行計画）
アクティビティ（目標と活動計画）
タスク（実施項目）
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

情報セキュリティ・マネジメントサイクル

Plan

Act

Plan

Do

See

Do

Check

プログラム・プロジェクト指向
定期的：決算発表などに近い

タスク・アクティビティ指向
逐次的：仮説・実験・検証に近い

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

OODA Loop

航空戦の洞察に基づいた、指揮官の意思決定プロセスとして構築Observe（監視）, Orient（情勢判断）, Decide（意思決定）, Act（行動）の４つのフェーズで構成
出典：ウィキペディアの執筆者，2018，「OODAループ」『ウィキペディア日本語版』，（2018年4月19日取得）
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

サイバーセキュリティフレームワーク-1
平常時

リスク管理

特定

活動範囲の広い CSIRTは全てをカバー

防御
これまでのIT的管理

いわゆるSOCやCSIRT

検知

非常時

対応
危機管理

復旧

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

出典: 鎌田敬介「サイバーセキュリティマネジメント入門」

サイバーセキュリティフレームワーク-2

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

経営サイクルの加速
Waterfall
Requirements
要件定義

Design
設計

Verification
検査

Implementation

実装

Release
出荷

Response
対応・対処

Years

DevOpsRelease

Release

Release

Release

Release

ReleaseCheck inCheck inCheck inCheck in

Check inCheck in

Build

Test

Build

Test

Build

Test

Build

Test

Build

Test

Build

Test
DeployDeployDeployDeployDeployDeployWeeks/Month

Weeks/Month

Weeks/Month

Weeks/Month

Weeks/Month

Weeks/Month

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

DevOpsの要素
アーキテクチャ継続的なリリース

Release
モジュール化Check in

Build

Test

計測

Deploy

自動化
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

基本となる経営指標

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

基本となる経営指標

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

財務会計と管理会計（飛行機のメタファー）
財務会計

管理会計

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

BSにみるセキュリティの変化②ビジネス基盤としてのITにおけるリスクと貢献

売上原価①-3 セキュリティ施策に対する投資対効果

売上①-2 売上減少等につながるリスク(ビジネスインパクト)

販管費および一般管理費

売上総利益②ビジネス基盤としてのITのリスクと貢献

営業外損益等
営業利益

特別損益
経営利益
純利益

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会①-1 特別損失を発生させるリスク

情報セキュリティの指標化～バランス・スコアカードの活用～

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

戦略テーマ、戦略目標、目標値、実施項目

戦略テーマ、戦略目標、目標値、実施項目
出典：わが国の公的機関における効率性と有効性の必要

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

戦略マップ
財務の視点

YoY 売上の増大 25%

新製品からの売上 30%

売上高増大
顧客の定着率 80%
顧客のシェア 40%

顧客の視点
新規顧客の獲得

革新的製品多くの新製品を投入
市場への投入率 75%
市販の時期 9か月

内部の視点
新製品開発

見本市での出展

専門職の利用可能性 100%

BPRの実施関係管理の実施

優秀な職員の保持率 95%

学習の視点
能力の高い従業員

教育・訓練

給与制度の改革Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

成果給の導入戦略マップ：テレワーク導入
財務の視点

YoY 売上の増大 25%

新製品からの売上 30%

売上高増大
顧客の定着率 80%
顧客のシェア 40%

顧客の視点
新規顧客の獲得

革新的製品
多くの新製品を投入
市場への投入率 75%
市販の時期 9か月

内部の視点
新製品開発

見本市での出展

専門職の利用可能性 100%

BPRの実施関係管理の実施

成果給の導入優秀な職員の保持率 95%

学習の視点
能力の高い従業員

教育・訓練

給与制度の改革
テレワークの導入

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

テレワーク導入の数値目標化

戦略目標
財務

売上高増大

顧客(従業員)
業務プロセス
学習

革新的製品
新製品開発

能力の高い従業員

重要成功要因重要評価指標
年々の売上伸び率
新製品からの売上
顧客の定着率
顧客シェア
市場への投入率
市販の時期
専門職の利用可能性
優秀な社員の保持率
テレワーク環境の構築

ターゲット+25%
30%
80%
40%
75%
9ヶ月
100%
95%
-50% (平均処理時間)

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

アクション

関係管理の実施
成果給の導入見本市での出展
BPRの実施教育・訓練
給与制度の改革バランスト・スコアカードを参考にした指標と業務づくりの例

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

情報セキュリティの評価とモニタリング
ディスカッションテーマ

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

計測項目の考察：CISOダッシュボード
一般的なPROTECT=ポリシー遵守状況

CISOダッシュボードの指標

ポリシー等

ポリシー等

設
計
・
実
装

攻撃

各種規準

監査

セキュリティ
施策(PROTECT)し検た知攻・
撃防
御設
計・
実
装

IDENTIFYPROTECT

侵入

攻撃

監査

セキュリティ
施策(PROTECT)

みなし攻撃状況PROTECT

各種規準

し検た知攻・
撃防
御CISOダッシュボード
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

IDENTIFY

侵入DETECTRESPONDRECOVER

侵入＝攻撃 - みなし攻撃状況（直接的な計測が不能な指標）

CSIRT等CISO ダッシュボード：業務執行としてのセキュリティ
CSIRTではなく、業務執行としてのセキュリティ
Governance

CISOが果たすべきガバナンス＝経営会議で報告すべき、業務執行にかかわる事項

Risk

Risk = Security and Risk condition≒f(Attack condition, Protect condition, suspicious
activity, Indirect activity)

経営会議で何を報告すべきなのか
どのように決済を仰ぐべきなのか

Security and Risk condition

Attack

① Attack condition
攻撃検出状況に関するKPI② Protect condition
対策状況に関するKPI

AV/IDS等による検出
セキュリティ製品のアラート等
攻撃などに関する情報

ウィルス対策, システムバー
ジョン、パッチ、コンフィ
グレーション等、セキュリ
ティ対策として実施すべき項目の適用率等
脆弱性情報③ Suspicious activity
侵入が疑われる状況のKPI④Indirect activity
人事的、物理的等、直接ITとは関係しない状況のKPI

SIEM/ATA/WDATP等による検出や、その他の侵入が疑われるもの
内部犯行を含んだ、疑わしいイベント

退職者、PCやデバイスの紛
失・盗難
外部からのインテリジェンス
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

セキュリティのためのIT基盤設計
ディスカッションテーマ

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

MOF と COBIT/Val IT の比較および クロスインプリメンテーション
MOF:Microsoft® Operations Framework
http://www.itgi.jp/pdfdata/MOF%20to%20COVIT,Val%20IT.pdf

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

セキュリティを内包したIT基盤設計の方針
リスク分析
アクセス制御情報分類
権限管理
ネットワークアクセス制御

統制基盤
統合ログ管理Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

経営陣としてのCISOへの期待
ディスカッションテーマ

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

主要な社内のステークフォルダー
経営会議
CEO/CFO/COO

CIO/CRO
総務・人事部門
法務部門
監査部門
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

想定されるインシデント
インシデント想定される発表内容
事故の概要
影響を受ける顧客数と特徴想定される二次被害
顧客などに推奨する対策
事故の原因・要因
事業への影響の有無
再発防止策担当などの確認責任者（CEO, CIO, CTO, CSO, CISO等)

報道対応
事故調査、まとめ
法的な検討
顧客対応
その他

1

標的型攻撃で機密情報が漏れた可能性があることが、外部からの連絡で判明した

2

ハッカーの侵入を受けて、すべてのメールがインターネットに公開されたと連絡が入った

3

WEBページから顧客情報が閲覧可能な状態にあると連絡

情報元/受付部門
JPCERT/CC
CSIRT
メディア
広報
個人（匿名）
広報
顧客

4

自社にしか登録をしていない「メールアドレスに広告が入った」とのクレームが、今日になって入った顧客から、弊社にしか登録をしていない「クレジットカードが勝手に使われた」とのクレームが入った

顧客

5
6

インターネット上の掲示板に弊社の顧客情報を含むドキュメントが掲載されている

7

自社が所有するIPアドレスから攻撃を受けているとのクレームが入っ
た

取引先
担当営業
取引のない
海外企業

ユーザサポート
ユーザサポート

ユーザサポート
官公庁

８

自社のメールアカウントを使った、標的メールが取引先に送信された

9

業務システムから、機密情報が社外に持ち出された

大代表→広報官公庁

10

サービスで提供をしているWebサーバが、ミドルウエアの脆弱性を悪用され、改ざんをされた

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

大代表→広報官公庁
大代表→広報インシデント・シミュレーション
ある日、「事件発覚」の中のひとつの項目が報告された。事件を公表するかどうかを、至急判断しなくてはならない。
公表するものとして、「想定される発表内容」をまとめる事は可能か、また、どの程度の時間が必要か。

想定される発表内容

事件発覚•

標的型攻撃で機密情報が漏れた可能性があることが、警察とJPCERT/CCからの連絡で判明した•ハッカーの侵入を受けて、すべてのメールがインターネットに公開された•

WEBページから顧客情報が閲覧可能な状態にある•

弊社にしか登録をしていない「メールアドレスに広告が入った」とのクレームが、今日になって３件目入った•顧客から、弊社にしか登録をしていない「クレジットカードが勝手に使われた」とのクレームが入った•

インターネット上の掲示板に弊社の顧客情報を含むドキュメントが掲載されている•弊社が所有するIPアドレスから攻撃を受けているとのクレームが入った•

弊社のメールアカウントを使った、標的メールが取引先に送信された

•
•
•
•
•
•
•

漏えいした情報の種類、影響を受ける顧客数と特徴想定される二次被害推奨する対策
事故の原因・要因
事業への影響の有無
再発防止策

担当者などの整理
••
•
•
•
•

責任者（CEO, CIO, CTO, CSO, CISO?)
報道対応
事故調査、まとめ
法的な検討
顧客対応
その他

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

むすび

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

CISOの孤独
インシデント（アクシデント）によって経営上重大な被害が生じたときに、CISOが任命されることがあります。インシデント（アクシデント）によって経営上重大な被害が生じたときは、CISOが罷免・解雇されるときでもあります。
1994年に初めてのCISOが米Citigroupで任命され、セキュリティが経営課題の1つであるという認識が広まってから十数年になりますが、セキュリティを経営戦略的にとらえ、CISOに何を求めるのか責任範囲を明確にしたうえで、適切な人材を任命するというプロセスはまだ一般的とはいえません。
いきなり抜擢され、セキュリティ強化を頑張ろうとすれば、現場からは余計な仕事を増やしたと冷ややかな目で見られ、経営層・株主からはセキュリティ・コストの妥当性を追求され、問題が起きれば、メディアの激しいフラッシュに目をしばたたかせながら、インシデントは絶対起きないはずではなかったのかとステー
クホルダーに詰め寄られる、かくのごとく、CISOは社内外で孤独な立場に陥りやすい役職です。
とあるCISOは20年のキャリアを振り返って「よく頑張ったし、いくつかの戦闘では勝利もしたが、戦争には負けた。一人きりで感謝されることもない、終わりの見えない辛い仕事だった」という言葉を残しています。
こうした満身創痍・四面楚歌のCISOにしか分からない孤独と苦悩をわかち合い、解決のヒントと心の平安を求めて、業界を超えたCISO同士のラウンド・テーブルでの情報交換、ネットワーキングが、世界中で活発に行われています。
本書もこうしたCISO業務に取り組む方々の手助けとなることを願っています。
CISOs' Cyber War: How Did We Get Here?
https://www.darkreading.com/vulnerabilities---threats/cisos-cyber-war-how-did-we-get-here/a/d-id/1330737

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

CISOハンドブックの構成
・CISOハンドブック v1.0β [4.70MB]・CISOダッシュボードv09 [1.94MB]※CISO が経営会議で報告し了承を得るための内容を「CISO ダッシュボード」と呼称し考察しました。

・インシデント対応ワークショップVer01 [1.58MB]※「インシデント対応手順」の策定を通じて、組織のセキュリティ在り方やステークホルダーを明らかにし、事故が発生した際には、手順に従ったインシデント対応を適切かつ遅滞なく実施できることを目指すものです。

・インシデント対応ワークショップ-表v02 [47KB]※上記ワークショップを行う場合に使う表です。

Copyright (c) 2018 NPO日本ネットワークセキュリティ協会

社会活動部会
CISO支援ワーキンググループ
Copyright (c) 2018 NPO日本ネットワークセキュリティ協会