IoT時代におけるセキュリティ対応態勢のありかた
シフトレフトする攻撃に生き残れ！

一般社団法人コンピュータソフトウェア協会
Software ISAC

登壇者のご紹介• サイボウズ株式会社 セキュリティ室室長

明尾洋一さん• マイクロソフトコーポレーション
セキュリティプログラムマネージャー

垣内由梨香さん• 株式会社LAC 理事・シニアコンサルタント 加藤智巳さん• アップデートテクノロジー株式会社代表取締役社長

板東直樹

IoT時代の攻撃と防御、PSIRTの重要性が問われるいま！
• IoT時代のゼロディ攻撃と防御

受け入れ必至 “Zero Trust” とは• 株式会社ラック 仲上 竜太氏• 開発環境とオープンソースリポジトリ汚染• 開発プロセス・サプライチェーンの統制• ソフトウェアサプライチェーンリスクに備える
ゼロトラストセキュリティ• IoT時代に必要なPSIRTとその役割• グローバルセキュリティエキスパート株式会社 萩原 健太 氏
• ライフサイクルまたはどの階層でリスクが潜む可能性があるのか？

• 組織内のステークホルダーは把握できているか？
• PSIRTは事業継続マネジメントの一環

CSIRT, PSIRT, F/MSIRT
CSIRT

PSIRT

FSIRT (MSIRT)

名称

Computer(Cyber) Security
Incident Response(Readiness)
Team

Product Security Incident
Response(Readiness)Team

Factory (Manufacture)
Security Incident
Response(Readiness)
Team

概要

主に組織内または提供するサービスのインフラなどを対象としたセキュリティ
チーム

組織が提供する製品やサービスに特化したセキュリティチーム

工場内のセキュリティに焦点を当てたセキュリティチーム

主管部門

情報システム部門

品質保証・開発部門

生産部門・工場

保護対象(例)• 従業員や顧客の個人情報• 事業に必要なインフラ• 製品自体の安全性• 製品ブランド• 生産ライン• 工場内の設備

PSIRT を始めたいが…
• どうしてよいか分からない• 経営層、現場ともに社内の理解がない• 適切な人材がいない• ステークホルダー（通報者）との関係はどうあるべき？
• セキュリティ品質ってどう決めるの？
• コンポーネント管理なんてできない、棚卸が大変だ• 企業規模が小さく一人PSIRTになってしまう• ファジングツールなどは、高くてコストが見合わない• ガイドラインは読んだけど、今ひとつピンとこない本日のテーマ
インシデントに強いPSIRTの作り方
CSAJ/SoftwareISAC のご紹介

Cy-PSIRT の活動

社外の組織・専門家と協力して製品のインシデント発生の予防、早期検知、早期解決、被害が発生した場合の最小化を主眼とした活動をする

脆弱性診断

脆弱性情報収集・連絡

外部機関との連携

報奨金制度
運営

安全な開発・運用のためにマイクロソフトが実際に利用しているベストプラクティスを公開• Security Development Lifecycle(SDL)• 安全な製品を開発するためのベストプラクティス、ツール• 「簡易版」エクセル形式のチェックリスト• Operational Security Assurance(OSA)• クラウド環境における運用セキュリティ• Open Source Security• オープンソースを利用する際のリスク管理手法

マイクロソフト セキュリティ エンジニアリング

https://www.microsoft.com/securityengineering© Microsoft Corporation

現存するPSIRT の課題や共通点：商品が多種多様であり、部門間(事業部間)調整に苦労
PSIRT の考え方

• 品質マネジメントシステム (SDL)の中で製品セキュA社
リティを管理PSIRTで優先すること・固有にSDLを構築
・教育や啓発活動を活性・脆弱性インシデント情報共有・サプライアに対しても遵守(意識の高い)課題

サプライチェーンリスク• 国内と海外のギャップ
• 脆弱性対応の状況の• サプライアへの遵守は段階的に確認を重視し、有事進めざるを得ないはソースコード共有• 開発側をセキュアにしたいがバも含め共同で対処
ランスを重視• グループSIRTの• PSIRTリソース不足を埋める手段
下にPSIRTととしてまずは情報共有を重視
CSIRTを設置し統 • 発見者側の視点で対応を心がける
B社
括• 社会的影響、損害、リスクを考慮• ステークホルダの意識が重要• ベストプラクティスが適用しに • サプライアに対する
くいガイドラインの策定• 検証が難しい(顧客都合、環境と遵守を進めている等)• PSIRTとCSIRTは • 横断的対処や、専門性が問われる各々に成熟させてところでPSIRTが機能きたが将来的には • 固有のSDLを構築
C社
統合• 製品出荷前にセキュリティ対策が大前提→脆弱性診断を自前で検証• グループ内組織改革頻度が高い。• 最低限の責任を認識• 事業部側か発見者(ユーザ)？
し合い、有事には仕様か脆弱性か？
ソースコード共有• 開発側をセキュアにしたいがバ • SBOMを利用
ランスを重視• PSIRTは完全分散 • OSS脆弱性情報の共有を重視
型を追求し、情報 • 情報セキュリティに関する報告書
D社
共有の品質を重視を共有• PSIRTは事業部毎に重要度が異 • ガイドラインや脆弱なり、スキルも疎ら。
性の対応基準を今後• “適切なPSIRT支援とは”を追求決めていく

PSIRT を始めたいが…
• どうしてよいか分からない• 経営層、現場ともに社内の理解がない• 適切な人材がいない• ステークホルダー（通報者）との関係はどうあるべき？
• セキュリティ品質ってどう決めるの？
• コンポーネント管理なんてできない、棚卸が大変だ• 企業規模が小さく一人PSIRTになってしまう• ファジングツールなどは、高くてコストが見合わない• ガイドラインは読んだけど、今ひとつピンとこない

PSIRT Services Framework Ver 1.0 Draft に基づくプロダクト脆弱性対策・対応成熟度シート
1.1 内部のステークホルダ管理

目的： 脆弱性管理に関わる内部のステークホルダによるエコシステムマネジメントを確立するため、PSIRT と内部のステークホルダとの関わり合いや関連するプロセスを定義し、インシデント時の認識や支援について PSIRTの役割を明確に伝え、インシデント時の対応力を向上させる。
レベル 0
レベル 1
レベル 2
レベル 3
レベル 4
レベル 5
脆弱性に関する 一部の担当者は脆 PSIRTと内部ステ [1.1.1] PSIRTが組織 PSIRT の機能と内 以下のような SDL のメンテ管理の柱として 弱性管理の必要性 ークホルダとのコ として、その責任者 部のステークホルダ ナンスに繋がる具体的な活PSIRT は必要と を感じており、業 ミュニケーション や機能、役割が文書 のマネジメ ントに 動が充実してきた。
されていない。又 務で顕在化した脆 の重要性に気がつ 化され周知されてい ついて向上させる [1.1.3.2] プロセスの不具合をは、必要と認識し 弱性情報に関して きはじめ、インシ る。内部ステークホ には、追跡し教訓を招請し重要なながらも経営者 限られた相手に情 デント対応 プロセ ルダとしては、広報 [1.1.1.3] 社内ビジネス ステークホルダの問題を定は組織内にその 報共有し、業務範 スは徐々にパター ・CC、法務部、開 ユニット・ラインと 期的にレビューする。
機能を持つ為の 囲や既存の業務分 ン化している。経 発部門、営業が定義 の交流、
[1.1.3.4] 人目をひくインシデリソースを提供し 掌を超えたなかで 営者とも 意識を合 されている。
[1.1.1.4] 内部開発・エ ントの対応から組織としてていない。
対処している。
わせ、製品は顧客 [1.1.3.1] インシデン ンジニアリングと の教訓を整理し報告データを提供する。
製品の脆弱性に関 が利用することで ト事後対応プロセス の交流、してはCDLへの移 初めて 価値が生 の構築は成熟してい [1.1.1.5] ステークホル [1.1.3.5] 事後対応プロセスで行がセキュリティ み出されると感じ るが、開発の不具合 ダに対応するサポ 特定された内部プロセスのライフサイクルの ている。
をレビューするプロ ートチームとの交 再調整を支援し改善の進捗要点であることにセスまでは確立して 流、状況を追跡する。
は気が付いていないない。
[1.1.1.6] 内部ワーキ
い。
ンググループへ参加が必要であると認識され始めた。

PSIRT Services Framework Ver 1.0 Draft に基づくプロ
ダクト脆弱性対策・対応成熟度シート

CSAJ 脆弱性対策• https://www.csaj.jp/NEWS/committee/security/190408.html

PSIRT を始めたいが…
• どうしてよいか分からない• 経営層、現場ともに社内の理解がない• 適切な人材がいない• ステークホルダー（通報者）との関係はどうあるべき？
• セキュリティ品質ってどう決めるの？
• コンポーネント管理なんてできない、棚卸が大変だ• 企業規模が小さく一人PSIRTになってしまう• ファジングツールなどは、高くてコストが見合わない• ガイドラインは読んだけど、今ひとつピンとこない

CSAJ/Software ISAC
• 活動内容• OSS脆弱性データベースの構築• 機械システム振興協会イノベーション戦略策定事業
OSSの脆弱性情報管理に関する戦略策定• 脆弱性検証センターの構築・運用• PSIRT推進WG• セキュア開発WG• 経産省モデル契約 セキュリティガイドライン 策定

PSIRT推進WG の活動• 趣旨• Software ISAC 加盟企業のPSIRT活動を支援する• PSIRTの立ち上げ支援• PSIRTメンバーのスキル向上支援• PSIRT間の情報交換• 過去の活動• 脆弱性対応組織成熟度シートの説明、測定実施• OSS 脆弱性管理ツール の勉強会

セキュア開発WG• OSSやマイクロソフト関連のソフトウェアなど、セキュア開発につながる情報連携や勉強会などの実施• Spring Frameworkのセキュアコーディング• .NET Framework のセキュアコーディング• クラウド上での安全な開発環境

経産省モデル契約 セキュリティガイドライン 策定• IPA社会基盤センター モデル取引・契約書見直し検討部会• 民法改正対応モデル契約見直し検討WG• セキュリティ検討プロジェクトチーム