日本セキュリティオペレーション事業者協議会

各種成果物で実現する、これからの国際標準レベルのセキュリティ組織
JNSA全国サイバーセキュリティセミナー2021
ISOG-J1© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

自己紹介• 武井 滋紀 です。
• JNSAのISOG-Jの方から来ました– ISOG-J 副代表、セキュリティオペレーション連携WG(WG6)リーダー• NTTテクノクロス株式会社– セキュアシステム事業部 アソシエイトエバンジェリスト– 2016年度までは社名が「NTTソフトウェア株式会社」でした– NTTグループ セキュリティプリンシパル– ITU-T SG17 WP3 Q3 X.1060 Editor– CISSP、情報処理安全確保支援士
2© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

ISOG-J とは• 日本セキュリティオペレーション事業者協議会– the Information Security Operation providers Group Japan– 2008年創立、2021年11月現在 56組織が加盟– プロのセキュリティオペレーター、事業者の集まり– 業界の発展のために課題を議論したり、互いに情報を出し合うことで外部へ成果を発表する団体です– 親団体は日本ネットワークセキュリティ協会(JNSA)• http://isog-j.org/– Facebook ページ: /isogj– ISOG-J の読み方: いそぐじぇい
3© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

X.1060とは• 2021年6月29日にITU-T(国際電気通信連合の電気通信標準化部門)で国際勧告になった、サイバーリスク対応のための組織のフレームワーク
タイトル：“Framework for the creation and operation of a cyber defence centre”「サイバーディフェンスセンターを構築・運用するためのフレームワーク」
配布URL: https://www.itu.int/rec/T-REC-X.1060-202106-I
4© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

X.1060の背景とスコープ
背景

サイバーセキュリティはビジネスリスクの一つとなった
セキュリティの影響がシステムだけではなく事業など多岐に渡るビジネスの周辺環境や法律や規制などの影響も受けるようになった

ビジネスの目的にあったセキュリティ対策をリーダーシップを持って実現できる仕組みが必要となっている。
スコープ
組織におけるサイバーディフェンスセンター(CDC)を構築と運用をし、効果的に改善を続けるフレームワークである。組織におけるセキュリティを実現するセキュリティサービスの選定と実装を示す。
CSOやCISO、およびCSOやCISOをサポートする方が対象となる。
5© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

ポイント• 新しい組織を作るわけではなく、現在のSOCやCSIRTを包含した形• フレームワークで提示されたセキュリティサービスを実施しているなら、すでにCDCを部分的に構築していると考えられる• 今後目指す姿として考えていただきたい6© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

X.1060と関連ドキュメントのイメージ
策定段階

承認後

X.framcdc

X.1060

セキュリティ対応組織の教科書 v2.1
サイバーセキュリティ
経営ガイドライン付録F
7

セキュリティ対応組織の教科書 v3.0

国内の実績あるドキュメントとして現在改版作業中内容を提案し、認められる© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

各種ドキュメントとの立ち位置フレームワーク
X.1060

実践 （どこで、何をするか）JNSAドキュメント群

経済産業省 サイバーセキュリティ経営ガイドライン 一式
IPA サイバーセキュリティ経営ガイドライン
Ver 2.0 実践のためのプラクティス集

CISOハンドブック

産業横断サイバーセキュリティ検討会
人材定義リファレンス及びスキルマッピング
ユーザ企業のためのセキュリティ統括室 構築・運用キット
SecBok日本シーサート協議会(NCA) ドキュメント 一式
CSIRTマテリアル
CSIRT人材の定義と確保

SIM3
Security Incident Management Maturity Model

日本セキュリティオペレーション事業者協議会(ISOG-J) ドキュメント一式
セキュリティ対応組織(SOC/CSIRT)の教科書
セキュリティ対応組織アセスメント

8© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

X.1060における組織体制

9© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

日本のドキュメントとの比較

経済産業省 サイバーセキュリティ経営ガイドライン
付録F サイバーセキュリティ体制構築・人材確保の手引き 第1.1版

10© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

フレームワーク概要

評価

11

構築

マネジメント© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

構築は3つのフェーズ
サービスを選ぶ（サービスカタログを作る）• サービスリストを参考に選び、どのサービスをどれくらいの推奨レベルで行うかを決める

どこで行うかを決める（サービスプロファイルを作る）• それぞれのサービスは内製で実施するか、外部委託するか今のスコアと目標のスコアを決める（サービスポートフォリオを作る）• それぞれのサービスのスコアをセルフアセスメントで測る

12© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

構築プロセス：サービスリスト
一覧になければ
X.1060
追加しても良い9つのカテゴリー64のサービス

ISOG-J
9つのカテゴリー54のサービス(※)※ISOG-Jの教科書もX.1060に合わせて更新します。
13© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

構築プロセス：サービスのアサイン

X.106014ISOG-J© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

構築プロセス：サービスのアセスメント
X.1060
ISOG-J

今後の呼び方は成熟度から変更します。
15© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

マネジメントプロセス
日々の改善を実行する
X.1060
ISOG-J16© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

評価は構築した3つのフェーズの振り返りサービスを選ぶ（サービスカタログを作る）選んだものは妥当だったか？
状況の変化に対応しているか？

• サービスリストを参考に選び、どのサービスをどれくらいの推奨レベルで行うかを決める

どこで行うかを決める（サービスプロファイルを作る）• それぞれのサービスは内製で実施するか、外部委託するかこのままで良いか？
割り当てを変えるか？

今のスコアと目標のスコアを決める（サービスポートフォリオを作る）
今のスコアはどうなった？
• それぞれのサービスのスコアをセルフアセスメントで測る
目標は変わったか？
17© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

経営環境や事業環境、セキュリティの状況は常に変化します。

継続的な改善を！

18© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

フレームワーク概要

評価19

構築マネジメント© 2021 ISOG-J日本セキュリティオペレーション事業者協議会まとめ• 新しい組織を作るわけではなく、現在のSOCやCSIRTを包含した今後のセキュリティの組織の形• 日本のドキュメントを参考にフレームワークを実現できる• 継続的に改善を続けて変化への対応を

20© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

X.1060を実現するための参考となるドキュメント群(ISOG-J)
X.1060 : 国際標準のフレームワーク
具体的な実現方法の参考書

セキュリティ対応組織の教科書

情報共有の考え方

X.1060に対応したv3.0に更新予定

MSSの選び方

セキュリティ対応組織の強化に向けた
サイバーセキュリティ情報共有「5W1H」

マネージドセキュリティサービス選定ガイドライン
21© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

ISOG-J ホームページ
https://isog-j.org
よりダウンロード可能

セキュリティ対応組織の教科書も更新を予定しています22© 2021 ISOG-J日本セキュリティオペレーション事業者協議会

・本資料の著作権は日本セキュリティオペレーション事業者協議会(以下、ISOG-J)に帰属します。
・引用については、著作権法で引用の目的上正当な範囲内で行われることを認めます。引用部分を明確にし、出典が明記されるなどです。
・なお、引用の範囲を超えると思われる場合もISOG-Jへご相談ください(info (at) isog-j.org まで)。
・本文書に登場する会社名、製品、サービス名は、一般に各社の登録商標または商標です。®やTM、©マークは明記しておりません。
・ISOG-Jならびに執筆関係者は、このガイド文書にいかなる責任を負うものではありません。全ては自己責任にてご活用ください。

23© 2021 ISOG-J