Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency
Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan ComputerEmergency Response Team Coordination
Center, cn=Japan Computer Emergency
Response Team Coordination Center
日付 : 2015.06.19 15:28:23 +09'00'

企業における情報セキュリティ緊急対応体制～組織内 CSIRT の必要性～

JPCERT コーディネーションセンター
早期警戒グループ マネージャ
満永 拓邦

目次
 情報セキュリティを取り巻く現状と、情報セキュリティ緊急対応体制 (CSIRT*) CSIRT構築前の検討事項など
 CSIRT構築パッケージ• CSIRT・・Computer Security Incident Response Team(コンピュータセキュリティインシデント緊急対応チーム)

2Copyright©2015 JPCERT/CC All rights reserved.

情報セキュリティを取り巻く現状と情報セキュリティ緊急対応体制 (CSIRT)

3Copyright©2015 JPCERT/CC All rights reserved.

3

JPCERT/CC が受領したインシデント報告件数
年

件数

２０１４年

２２,２５５件

２０１３年

２９,１９１件報告件数の推移

2014年に受領した報告の内訳
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC (ジェーピーサート・コーディネーションセンター)）
・経済産業省からの委託事業として、コンピュータセキュリティインシデントへの対応支援、国内外にセンサをおいたインターネット定点観測、ソフトウエアや情報システム・制御システム機器等の脆弱性への対応などを通じ、セキュリティ向上を推進
・インシデント対応をはじめとする、国際連携が必要なオペレーションや情報連携に関する、我が国の窓口となる CSIRT
4

Copyright©2015 JPCERT/CC All rights reserved.

インシデント数増加の背景

ITの社会インフラ化- 企業活動のIT化- 電子商取引の発展- 制御系システムへの利用

インターネットの世界的な普及

攻撃用インフラの整備- ボーダレスの通信- 物理的な追跡困難性- 攻撃ツールの進歩- 分業化された攻撃集団

今後、サイバー攻撃の増加が予想されるため、各組織においても対応体制が必要！
5

Copyright©2015 JPCERT/CC All rights reserved.

セキュリティに関する対応体制
 インシデント(*)発生時の対応体制

 ユーザ部門、システム管理、営業、法務、広報などの関連部署間で情報の共有および対策の一元化
 システム責任者、対応フローの明確化(ex. 誰がサーバを止めれるか？)
インシデント(*)・・IT システムの正常な運用または利用を阻害するウィルス感染、不正アクセス、情報漏えい、DoS 攻撃などの事案や現象の発生をいう

サービス妨害Webサイト改ざん

6

Copyright©2015 JPCERT/CC All rights reserved.

情報漏えい【インシデント対応例】
・内部に対して内部での情報共有
関連部署間の調整
暫定対策の決定(ex. サービス停止)
・外部に対して問い合わせ対応
顧客への説明プレスリリース

マルウエア感染例えば・・・
 先月、 SSL等を利用するためのライブラリ「OpenSSL」に関する情報漏えいの脆弱性が公開された。攻撃手法も公開されており、いつ攻撃を受けてもおかしくない状況であった。緊急度が高い状況で、例えば以下の様な対応体制を事前に関係者間で確認しておく事で、迅速な対応が可能になる。
 管理サーバが、当該脆弱性の影響を受けるかの確認フローと担当
 もし影響を受ける場合、サービス停止を決定する社内プロセス
 脆弱性や対応に関する社内の情報共有体制
 被害を受けた場合の対応手順、顧客への連絡、プレスリリースについて

OpenSSL の脆弱性に関する注意喚起
https://www.jpcert.or.jp/at/2014/at140013.html
7Copyright©2015 JPCERT/CC All rights reserved.

The Heartbleed Bug
http://heartbleed.com/

完全なセキュリティ予防策はない
 インシデント対応活動

 インシデントを検知し、或いはその報告を受けることにより認知し、影響の拡大を防ぐとともに、情報を収集して分析を加え、インシデントの全体像や原因について把握し、復旧措置や再発防止のための措置を取る

 「コンピュータセキュリティ」で思い描くイメージ

 「いかにしてインシデントの発生を未然に防ぐか」を主眼に置かれることが多い コンピュータセキュリティを取り巻く状況を見ると．．．
 人為的ミス（パッチの適用忘れなど） 未知（公知になっていない）の脆弱性の悪用
 技術的な対応の限界 等

インシデントの発生を「完全に回避する」ための予防策はない（事故前提の対応体制が必要）（発生確率を低下させ、発生時の影響や被害を低減するための予防策はある）
8

Copyright©2015 JPCERT/CC All rights reserved.

事前準備の重要性
 インシデント発生後、その対応方法を考え始め、対応体制をとるのは、被害を拡大させる一因となるため、できるだけ事前に 対応体制等を整えておく必要がある
事前準備

インシデント対応の事前準備（対応プロセスの明確化など）
社内外の動向把握（関連情報収集）
インシデント対応体制の構築

事後対応

インシデント発生

インシデント発生

インシデント対応の事前準備（対応プロセスの明確化など）

インシデント対応開始

社内外の動向把握（関連情報収集）

インシデント対応終了

インシデント対応開始

短縮

インシデント対応体制の構築

インシデント対応終了

対応体制構築、マニュアル整備に加え、情報セキュリティに関する”避難訓練(対応訓練)”を実施してみる
9Copyright©2015 JPCERT/CC All rights reserved.

CSIRT と消防署の役割の比較例
CSIRT の場合（例） 発生したインシデント対応

 発生した火事や事故への対応•連絡先の提供： Email アドレス／電話•連絡先の提供： 電話（１１９番）•連絡目的： 対応や技術支援などの要請•連絡目的： 消火依頼、救出要請など•CSIRT での活動

•消防署での活動• インシデントの分類、優先度の判断と対応方法の決定• 火災規模、症状等の判断と対応方法の決
定• 適切な（技術的）対応を取る人への連絡
調整• 最寄の消防車や救難器材の手配に関する連絡• 被害の極限化策の実施（ネットワークからの切り離し、システムの設定変更等）• 火事の拡散防止や救出等の緊急避難等のための一部破壊• インシデント原因の排除（脆弱性箇所へのパッチ適用、ウィルス除去、Phishing
サイト停止等）• 消火活動及び救出活動

 インシデントの発生予防•ユーザへのセキュリティ啓発活動•インシデント脅威情報の提供

10

消防署の場合（例）Copyright©2015 JPCERT/CC All rights reserved.

 火事や事故の発生予防•防火訓練や救出講習等の啓発活動•火災／乾燥注意報による注意の呼びかけ

CSIRT構築前の検討事項など

11

Copyright©2015 JPCERT/CC All rights reserved.

11

事前のインシデント対応計画の策定
 インシデント対応体制の構築には、事前の インシデント対応計画の策定が重要である
 組織的なインシデント対応計画を策定するためのポイン
ト 複雑化するネットワーク及びシステムの把握
 インシデント対応の担当者／責任者の明確化 インシデント発生時の報告窓口の一元化 インシデント対応に必要な技術的支援、ノウハウ、関連情報の入手を支援する人／チーム／部署の設置 インシデント対応に必要なポリシー及びマニュアル等の整備
 外部組織に依頼する場合の、外部の対応能力の把握と適切な報告
 リスク評価の実施とリスク許容度の設定

12

Copyright©2015 JPCERT/CC All rights reserved.

組織内 CSIRT のメリットのイメージ
 組織の内外に対し、インシデントに関する一元的な対応窓口であるCSIRTを構築する
海外

経営層

経営層

外部

外部

部署
B

外部

外部

国内

国際連携
CSIRT

外部

部署
A

組織内CSIRT

部署
A

部署
B

外部

メリットの例：①社内セキュリティ情報の共有、集中管理の実現②セキュリティ対応にかかる指示系統の迅速化（ダイレクトリーチ③外部に対して信頼性のある窓口先の提供④外部からの情報の一元管理の実現⑤インシデントレスポンスに必要な情報量の向上⑥想定外（予想外）のインシデントへの柔軟な対応
13

Copyright©2015 JPCERT/CC All rights reserved.

CSIRT

組織内CSIRT
A社

組織内CSIRT
B社

組織内 CSIRT の機能
 組織内 CSIRT の内部に対する側面

 組織内で発生したインシデントを報告するための、一本化された窓口を提供する
 発生したインシデントに対応する、或いはその対応に必要な技術的支援及びノウハウを提供する
 インシデント対応に必要な、組織としての意思決定を支援する
 部署間で発生するインシデントの調整役として活動する
 組織内の業務システムのユーザに対するセキュリティ意識を啓発する 組織内 CSIRT の外部に対する側面

 外部のインシデント対応組織との連絡調整をする
 最近のインシデント動向及びインシデント対応手法・技術に関する情報を外部から収集し、必要なところに提供する
 従業員・報道・国民へ適切な情報を提供する

14

Copyright©2015 JPCERT/CC All rights reserved.

組織内 CSIRT の活動設定のポイント １
 次のような求められる役割が示された場合組織内において、発生した インシデント に対して、適切な対応 活動を実施し、速やかな復旧の支援をする。

 考察すべきポイント １

 この組織における「インシデント」の定義

 これまで発生したインシデントの把握及び傾向分析
 同業他社で発生しているインシデントの把握及び発生可能性
 予測されるインシデント発生場所の把握及び傾向分析
 経営層及び現場の社員が認識しているインシデントの把握及び傾向分析
 可能であれば、インシデントの分類を検討

定義の策定

コストとプロフィットの見える化「インシデント」が定義されることによって、組織内 CSIRT の活動の基本方針が決まる。極めて重要な定義である。

15

Copyright©2015 JPCERT/CC All rights reserved.

組織内 CSIRT の活動設定のポイント ２
 考察すべきポイント ２
 「適切な対応」をする手段及び事前準備の定義
 インシデント対応をする前に、発生したインシデントがきちんと報告されるかどうかの確認
 サービス対象へのインシデント報告窓口の周知徹底を事前に行う
 組織内でのみ対応ができないものがあるかどうかの把握と検討
 組織内のみでできない場合は、事前に外部の連携について検討する
 経営層及びサービス対象が、どのような「適切な対応」を期待しているのか把握及び検討する インシデントが発生した際、「直ちに排除する」か「範囲を特定する」かの判断ができるように、組織のリスク許容度を評価する「適切な対応」の活動リストと、それらを実現するため、事前にしておかなければならない活動のリストも得られる。

16Copyright©2015 JPCERT/CC All rights reserved.

(参考)CERT/CC におけるサービスの分類の例
事後対応型サービス

事前対応型サービス

セキュリティ品質管理サービス

・アラートと警告・告知・リスク分析

・技術動向監視・ビジネス継続性と障害回復計画

・セキュリティ監査または審査

・セキュリティコンサルティング

・セキュリティツール、・意識向上

・インシデントハンドリング- インシデント分析- オンサイトでのインシデント対応

アプリケーション、インフラ、・教育 / トレーニング- インシデント対応支援

およびサービスの設定と保守・製品の評価または認定- インシデント対応調整

・セキュリティツールの開発
・侵入検知サービス・脆弱性ハンドリング

・セキュリティ関連情報の提供- 脆弱性分析- 脆弱性対応- 脆弱性対応調整
・アーティファクトハンドリング- アーティファクト分析- アーティファクト対応- アーティファクト対応調整

17

Copyright©2015 JPCERT/CC All rights reserved.

（参考） 組織内 CSIRT の活動の分類について
 組織内 CSIRT 活動は、以下のように分類できる
 事後対応型の活動
 Reactive Service
 各インシデント報告や不正検知システムなどからの情報による活動
 CSIRT の基本的な活動

 事前対応型の活動
 Proactive Service 事前にソフトウェアなどの脆弱性、脅威情報、攻撃予測情報などを提供する
活動 直接的にインシデント発生の抑制を図る

 セキュリティ品質マネージメントに関する活動

 セキュリティコンサルタント、教育など
 他のセキュリティ会社がすでに提供済みだが、CSIRT としての視点や専門知識での見識を提供できる。
 間接的にインシデント発生の抑制を図る

18

Copyright©2015 JPCERT/CC All rights reserved.

CSIRT構築フレームワーク

19

Copyright©2015 JPCERT/CC All rights reserved.

19

組織内 CSIRT の活動のフレームワーク
 組織内 CSIRT の活動のフレームワークを整えるためには、以下の基本骨子を確実に定義しなければならない
 ミッションステートメント

 大局的な目標、目的 – 何を果たすべきなのか サービス対象（Constituency）

 誰のために活動するのか サービス対象と、どのような関係なのか
 サービス対象から、どのくらい認識されているのか サービス対象との信頼関係

 組織内の 位置づけ

 組織内における CSIRT の位置
 組織内における CSIRT の役割
 各部署との相互関係

 他のチームとの関係

 他の CSIRT との協力及び連携20

Copyright©2015 JPCERT/CC All rights reserved.

組織内 CSIRT の活動のフレームワーク「ミッションステートメント」の定義方法
 組織から求められる役割（インシデント対応など）を明確にする
 組織内 CSIRT に対する期待として多く見られるものは以下のとおり
 組織内に「インシデント対応能力をつける」こと

 組織内においてインシデントに対応する部門や人が決まっていないため、インシデントに「直接」対応するチームを設けたいという期待 「組織的なインシデント対応能力」を向上させること

 特定の部門でインシデント対応するところはあるが、必ずしも組織全体としてのインシデント対応に結びついていないため、部門によるインシデント対応を「支援」しながら、組織全体としての統制をとるチーム設けたいという期待 「外的要因のインシデント」への対応能力をつけること

 DoS 攻撃や Phishing 詐欺のような外部要因のインシデントに対応する部門が決まっていないため、外部及び内部の部門と「調整して」対応する部門を設けたいという期待

21

Copyright©2015 JPCERT/CC All rights reserved.

組織内 CSIRT の活動のフレームワーク「サービス対象」の定義方法
 組織内 CSIRT がどの範囲を対象として活動するかを設定する
 「組織内 CSIRT が提供するサービスの対象範囲を設定する」と言い換えることができる

 組織内 CSIRT がサービス対象に対してどの程度の権限を持つのか設定する
 強制的な権限があるのか、ないのか？

 サービス対象者に対して、組織内 CSIRT が何をするのかを周知する インシデントの報告先として認知してもらう サービス対象者から信頼を得る

 信頼がなければ、インシデントは報告されない22

Copyright©2015 JPCERT/CC All rights reserved.

組織内 CSIRT の活動のフレームワーク「組織内の位置づけ」の定義方法
 組織内 CSIRT が組織におけるリスク管理全体において求められている役割を明確にする
 主に、情報セキュリティ基盤に起因するリスクを管理する役割が多い

 組織内に既に他のインシデント対応チームが存在している場合は、それぞれのミッションステートメント及びサービス対象の定義の区別を明確にする
 組織における組織内 CSIRT の責任を明確にする

23

Copyright©2015 JPCERT/CC All rights reserved.

組織内 CSIRT の活動のフレームワーク「他のチームとの関係」の定義方法
 組織内 CSIRT が他の（外部の） CSIRT との調整及び連携するという役割を明確する
 他の CSIRT が何ができ、どんな調整及び連携ができるのかを把握する
 逆に、みずからできることを、他の CSIRT に伝えることも重要である

 他の CSIRT との連携に必要なことを定義する

 他の CSIRT に対する対応依頼は、自発的で非公式な場合が多い
ため、信頼関係の構築が必要となる

24

Copyright©2015 JPCERT/CC All rights reserved.

他組織との連携
 情報共有の枠組み 信頼に基づく組織間において、セキュリティに関連する情報の共有を行う事で、全体的なセキュリティ対策の向上に繋げる

 FIRST(Forum of Incident Response and Security Teams)

 インシデント対応チーム 289組織(2014/05/12現在)で構成される国際的なフォーラム 日本シーサート協議会
 情報共有などのCSIRT間の緊密な連携体制の実現と、CSIRTが共通して抱える課題の解決を目指す協議会

FIRST http://www.first.org/
25

Copyright©2015 JPCERT/CC All rights reserved.

日本シーサート協議会 http://www.nca.gr.jp/

（参考）組織内 CSIRT の構築に役立つ資料

 JPCERT/CC における関連文書
 組織内 CSIRT 構築支援マテリアル
 https://www.jpcert.or.jp/csirt_material/ コンピュータセキュリティインシデント対応チーム（CSIRT）のためのハンドブック
 https://www.jpcert.or.jp/research/2007/CSIRT_Handbook.pdf

 その他の参考資料
 CERT/CC – “Creating a Computer Security Incident Response
Team: A Process for Getting Started”
 http://www.cert.org/csirts/Creating-A-CSIRT.html

 TERENA – “CSIRT Starter Kit”
 http://www.cert.org/csirts/Creating-A-CSIRT.html

 AusCERT – “Forming an Incident Response Team”
 http://www.auscert.org.au/render.html?it=2252

 RFC 2350 – “Expectations for Computer Security Incident
Response”
 http://www.ietf.org/rfc/rfc2350.txt
26

Copyright©2015 JPCERT/CC All rights reserved.

お問合せ、インシデント対応のご依頼はJPCERTコーディネーションセンター— Email：office@jpcert.or.jp— Tel：03-3518-4600— https://www.jpcert.or.jp/
インシデント報告— Email：info@jpcert.or.jp— https://www.jpcert.or.jp/form/
制御システムインシデントの報告— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/ics/ics-form

Copyright©2015 JPCERT/CC All rights reserved.