日本セキュリティオペレーション事業者協議会

セキュリティ対応組織力を上げるコツ～成熟度の可視化と、情報共有の心得～
日本セキュリティオペレーション事業者協議会（ＩＳＯＧ－Ｊ）
セキュリティオペレーション認知向上・普及啓発WGリーダー
セキュリティ対応組織成熟度調査タスクフォース リーダー

ＮＴＴセキュリティ・ジャパン株式会社
アナリストチームリーダー兼マネージャー / セキュリティプリンシパル

阿部 慎司
1

© 2018 ISOG-J日本セキュリティオペレーション事業者協議会• 阿部 慎司– 日本セキュリティオペレーション事業者協議会(ISOG-J)• セキュリティオペレーション認知向上・普及啓発WG（WG4）リーダー• セキュリティ対応組織成熟度調査タスクフォース リーダー

– NTTセキュリティ・ジャパン SOCアナリストリーダー兼マネージャー– NTTグループ セキュリティプリンシパル• 個人の活動–

http://www.security-design.jp/– セキュリティアイコンをパブリックドメイン提供

2© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織とはSOC（セキュリティオペレーションセンター）

CSIRT

しかしながら、CSIRTとSOCの役割はその境界線が組織ごとに異なる
3© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

そもそも「役割」とは？
その理解が重要。

セキュリティ対応組織の教科書
v2.0
4© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応する組織が持つべき、9つの機能とその機能が担うべき54の役割を定義。
5© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

A. セキュリティ対応組織運営
A-1. 全体方針管理
A-2. トリアージ基準管理
A-3. アクション方針管理
A-4. 品質管理
A-5. セキュリティ対応効果測定
A-6. リソース管理

D. インシデント対応
D-1. インシデント受付
D-2. インシデント管理
D-3. インシデント分析
D-4. リモート対処
D-5. オンサイト対処
D-6. インシデント対応内部連携
D-7. インシデント対応外部連携
B. リアルタイムアナリシス（即時分析） D-8. インシデント対応報告
B-1. リアルタイム基本分析
B-2. リアルタイム高度分析
E. セキュリティ対応状況の診断と評価
B-3. トリアージ情報収集
E-1. ネットワーク情報収集
B-4. リアルタイム分析報告
E-2. アセット情報収集
B-5. 分析結果問合受付
E-3. 脆弱性管理・対応
E-4. 自動脆弱性診断
C. ディープアナリシス（深掘分析）
E-5. 手動脆弱性診断
C-1. ネットワークフォレンジック
E-6. 標的型攻撃耐性評価
C-2. デジタルフォレンジック
E-7. サイバー攻撃対応力評価
C-3. 検体解析
C-4. 攻撃全容解析
F. 脅威情報の収集および分析と評価
C-5. 証拠保全
F-1. 内部脅威情報の整理・分析
F-2. 外部脅威情報の収集・評価
F-3. 脅威情報報告
F-4. 脅威情報の活用
6

G. セキュリティ対応システム運用・開発
G-1. ネットワークセキュリティ製品基本運用
G-2. ネットワークセキュリティ製品高度運用
G-3. エンドポイントセキュリティ製品基本運用
G-4. エンドポイントセキュリティ製品高度運用
G-5. ディープアナリシス(深掘分析)ツール運用
G-6. 分析基盤基本運用
G-7. 分析基盤高度運用
G-8. 既設セキュリティ対応ツール検証
G-9. 新規セキュリティ対応ツール調査、開発
G-10. 業務基盤運用
H. 内部統制・内部不正対応支援
H-1. 内部統制監査データの収集と管理
H-2. 内部不正対応の調査・分析支援
H-3. 内部不正検知・防止支援
I. 外部組織との積極的連携
I-1. 社員のセキュリティ対する意識啓発
I-2. 社内研修・勉強会の実施や支援
I-3. 社内セキュリティアドバイザーとしての活動
I-4. セキュリティ人材の確保
I-5. セキュリティベンダーとの連携
I-6. セキュリティ関連団体との連携© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織力

それぞれの機能と役割が実行できているか
7© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

自組織の力をどう把握するか？

セキュリティ対応組織
成熟度セルフチェックシート
8© 2018 ISOG-J日本セキュリティオペレーション事業者協議会① 組織パターンの設定

9© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織パターンを自覚する

10© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織パターンを自覚する
ミニマムインソース

ハイブリッドII.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

II.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

フルインソース

ミニマムアウトソース
II.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

II.

自組織を中心に連携すべき領域

I.

自組織で実施すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

III.

専門組織で実施すべき領域

IV.

専門組織を中心に連携すべき領域

アウトソース11

インソース© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

現在と、将来的なモデルとするパターンを選択。
12© 2018 ISOG-J日本セキュリティオペレーション事業者協議会② 機能ごとに点数化

13© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

インソースとアウトソース、それぞれの観点において、6段階で評価。
14© 2018 ISOG-J日本セキュリティオペレーション事業者協議会③ 結果を見てみる

15© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

機能別レーダーチャート

レーダーチャートの数値一覧

現在の「強み」：成熟度高

現在の「弱み」：成熟度低16© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

役割別成熟度グラフ

将来に向けての改善点
17© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

セキュリティ対応組織における、現状の把握と今後の方針策定にご活用ください。

18© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

さらに、セキュリティ対応組織の教科書v2.0は実践面での対応力の向上にも活用可能

19© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

平時の活動とその成果物を例示• 脆弱性対応（パッチ適用など）• 事象分析
• 普及啓発• 注意喚起• その他インシデント関連業務（予行演習など）

http://www.jpcert.or.jp/m/csirt_material/files/manual_ver1.0_20151126.pdf より
20© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

有事の際の対応フロー例••

ランサムウェアによる被害のケース
ウェブサービスからの個人情報の窃取のケース

21© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

ところで、Meltdown/Spectreの件、現場、経営層は混乱しませんでしたか？

22© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

有事の対応として、こういった発信された情報がトリガーとなって発動されることも少なくない。

セキュリティ対応組織(SOC,CSIRT)強化に向けた
サイバーセキュリティ情報共有の「5W1H」
23© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

情報共有を出発点としたセキュリティ対応
情報共有

対応不要

初動対応要否判断

対応が必要
検知および分析
検知あり

検知なし

準備（予防）

事件
後の対応封じ込め/根絶/復旧

参照：ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P4
24© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

情報共有を出発点としたセキュリティ対応
情報共有

初動対応要否判断発見する目線で欲しい情報の例• 攻撃の特徴• 攻撃に関する具体的なインジケーター
対応不要

対応が必要
検知および分析
検知あり

封じ込め/根絶/復旧

25

検知なし

同じ事象への対応でも目的の違いにより、事件
後欲しい情報は異なる。
準備（予防）

対処する目線でほしい情報の例• 攻撃を無効化する方法• 安全だと確認する方法の対応© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

情報の受け渡しにおいてお互いに明確にすべき点
サイバーセキュリティ情報共有における 5W1H

発信側

受信側

Why

何を目的に何を目的にWhen

どのようなタイミングでどのようなタイミングでWhat

何の情報を何の情報をWhere

どの情報共有の場においてどの情報共有の場から得てWho

誰が誰がHowどのようにどのように発信するのか？

活用するのか？

参照：ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P2
26© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

情報共有のトライアングル（ジレンマ）•早くて正確なものは網羅性に問題が出る
例 攻撃に関する情報として特定の IP アドレスが提示されたものの、他にも 関連していたIP アドレスが多数あったことがあとから判明する•

早くて網羅的なものは正確性に問題が出る
例 攻撃に関連する情報として多数のドメインが提示されていたものの、無害 なドメインも含まれてしまっている•

正確で網羅的なものは早さに問題が出る
例 攻撃に関連する情報として、IP アドレスもドメインも抜け漏れなく、正確 に整理されたものが提示されるのは、しばらく時間がたってからである

早さ

正確性

網羅性

早さ、正確性、網羅性はいずれか 2 つしか満たせない

建設的にフィードバックしながら、情報の質を上げ、適切に対応していきましょう。

参照：
・27th Annual FIRST Conference (2015), Lightning Talk: "Four Easy Pieces", Tom Millar (US-CERT, NIST)
・ISOG-J『サイバーセキュリティ情報共有の「5W1H」 』P1527© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

まとめ★セキュリティ対応組織が担うべき機能、役割を理解したい セキュリティ対応組織（SOC/CSIRT）の教科書 v2.0

★セキュリティ対応組織の実態を客観的に把握したい セキュリティ対応組織成熟度セルフチェックシート★突然の情報でも焦らず対応できるよう心構えをしたい セキュリティ対応組織(SOC,CSIRT)強化に向けたサイバーセキュリ
ティ情報共有の「5W1H」
ISOG-J公式サイトにて公開中
http://isog-j.org/activities/result.html
28© 2018 ISOG-J日本セキュリティオペレーション事業者協議会

ISOG-J成果物に対するフィードバックのお願い• ご意見ご要望お待ちしています！

• https://goo.gl/NK9A6L– 常時受け付けております– 匿名での投稿が可能です29© 2018 ISOG-J日本セキュリティオペレーション事業者協議会(アイコン画像提供) http://www.security-design.jp/
・本資料の著作権は日本セキュリティオペレーション事業者協議会(以下、ISOG-J)に帰属します。
・引用については、著作権法で引用の目的上正当な範囲内で行われることを認めます。引用部分を明確にし、出典が明記されるなどです。
・なお、引用の範囲を超えると思われる場合もISOG-Jへご相談ください(info (at) isog-j.org まで)。
・本文書に登場する会社名、製品、サービス名は、一般に各社の登録商標または商標です。®やTM、©マークは明記しておりません。
・ISOG-Jならびに執筆関係者は、このガイド文書にいかなる責任を負うものではありません。全ては自己責任にてご活用ください。

30© 2018 ISOG-J