ITガバナンスとセキュリティデバイド
過去、現在、未来の流れの中でセキュリティ有資格者に求められる役割とは何か講演者略歴• 斉藤 孝明 Ph.D. , CISA, CISM, ISMS審査員補(saito@nekodasuke.jp)• ～2006年 ： 大学で情報系/心理系の教鞭• 2006年～ ： 総合商社にてJ-SOX立ち上げ• 2008年～ ： 大手スーパーにてJ-SOX立ち上げ• 2011年～ ： 鉄鋼商社にてJ-SOX再構築• 2015年～ ： 有名銀行にてITガバナンス
第4回東京支部CISMカンファレンス(2016)

1.0 はじめに新聞の投書例（らしい）• 『クラウド』という言葉がわからないので娘に聞いたら、ググれと言われた

第4回東京支部CISMカンファレンス(2016)

1.1 はじめに• ITがすっかりコモディテイ化（日常品化）した現在、もはやITを特別な存在と思う人はいない（多分）。
• 一方で、情報セキュリティ技術者と、それ以外の人々の間には、セキュリティ水準のギャップが見られる。
• セキュリティデバイドの恐怖の時代が到来する。

第4回東京支部CISMカンファレンス(2016)

1.2 そもそもサイバーセキュリティとは？
サイバーセキュリティ基本法での定義「サイバーセキュリティ」とは、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式により記録され、又は発信され、伝送され、若しくは受信される情報の漏えい、滅失又は毀損の防止その他の当該情報の安全管理のために必要な措置並びに情報システム及び情報通信ネットワークの安全性及び信頼性の確保のために必要な措置が講じられ、その状態が適切に維持管理されていることをいう。

第4回東京支部CISMカンファレンス(2016)

1.3 セキュリティデバイドとは？
• JNSA曰く：「事故に学びさらにセキュリティ対策を進化させ得る人や組織と、それができない人や組織との間の格差（セキュリティデバイド）が広がっているとの懸念」（2015セキュリティ十大ニュース）・【デジタルデバイド】 【情報格差】
国家間、もしくは地域間における格差
学歴、所得など待遇面で生じる機会の格差
加齢や障害の有無など個人間の格差
第4回東京支部CISMカンファレンス(2016)

1.4 セキュリティ対策？
• CSIRT（インシデント対応チーム）を行う企業• 厳重なアカウント管理を行う企業• 厳重なネットワーク監視を行う企業• 脆弱性管理を行う企業• 従業員教育を行う企業• 政府の後押し：サイバーセキュリティ基本法• J-SOXの洗礼

実態はどうか？
第4回東京支部CISMカンファレンス(2016)

不正アクセス行為の発生状況 : 総務省

1.5 セキュリティ対策？
• CSIRT（インシデント対応チーム）を行う企業
日本シーサート協議会参加チーム ： １２６チーム

東証１部：約２千社

言い訳はいろいろあるでしょう
第4回東京支部CISMカンファレンス(2016)

1.6 セキュリティデバイドとは？
• J-SOXで、日本企業のITセキュリティは、COBIT4.1に準ずるフレームワークで、一定水準に達するはずだった。
しかし、2011年、J-SOXは一部緩和され、ITセキュリティ的に正しかったのか？
第4回東京支部CISMカンファレンス(2016)

1.7 パスワードの流出• 昨今、アカウント情報の流出は珍しくない。
• 約70%の人がパスワード使いまわし第4回東京支部CISMカンファレンス(2016)「個人・企業のパスワード管理」に関する意識調査結果のご報告 : 株式会社シマンテック

1.8 会社と私用でパスワードを分けない

第4回東京支部CISMカンファレンス(2016)「個人・企業のパスワード管理」に関する意識調査結果のご報告 : 株式会社シマンテック

1.9 会社と私用でパスワードを分けない

第4回東京支部CISMカンファレンス(2016)「個人・企業のパスワード管理」に関する意識調査結果のご報告 : 株式会社シマンテック

1.10 セキュリティデバイドの古典/史実
パスワードの定期変更は有効か否か？というネット上の熱い議論を御存じであろうか？

パスワード定期変更に意味はあるのか？

第4回東京支部CISMカンファレンス(2016)

1.11 セキュリティデバイドの古典/史実• 十分な強度をもったパスワードを設定すれば、パスワード定期変更は不要• 現実問題、十分な強度をもったパスワードを設定できない。
• 長く複雑なパスワードは、管理コストがかかる。

理想と現実のセキュリティデバイド？

従業員の能力が原因？
第4回東京支部CISMカンファレンス(2016)

1.12 セキュリティデバイドの古典/史実
SQL インジェクション対策
古典の世界ですよね

対策は開発規程に明記されてるはず

第4回東京支部CISMカンファレンス(2016)

有名だよ？
未対策なわけないよ今どき
SQL インジェクション？

1.13 無くならないSQL インジェクション被害
SQL インジェクションの攻撃は衰えるどころか• 2015年7月：シャトレーゼ（食品) 21万件流出

なぜこんなことになるのか？

第4回東京支部CISMカンファレンス(2016)

1.14 無くならないSQL インジェクション被害

IT現場の分業化の進行• 昔の技術者は、サーバ構築からネットワークからプログラミングからDBチューンまで、全部を一人でこなした。

ITが高度化した今どき、企業教育にそんな余裕は、無い目先の技術がやっと第4回東京支部CISMカンファレンス(2016)

1.15 ITの高度化がデバイドをもたらす• クラウド• GUI• パッケージ• 仮想化

中身を知らなくても使える
動けばいいんですよ （現場）
第4回東京支部CISMカンファレンス(2016)

1.16 ITの高度化がデバイドをもたらす• 自動車は、高度化と並行してコモディティ化（日用品化）した結果、一般の人は技術的に何もわからない。今や、『エンジンブレーキは買えますか？』• これからもITの高度化・コモディティ化は進行する。
• 製作側・利用側ともに、分業化は進む一方。

セキュリティデバイドは進行する。
第4回東京支部CISMカンファレンス(2016)

1.17 では、セキュリティデバイド対策は？
１．ユーザー/開発者への地道な啓蒙活動
２．セキュリティ専門家自身の日々是勉強
３．ガバナンス層への働きかけ
セキュリティは金食い虫との思い込み

第4回東京支部CISMカンファレンス(2016)

2.0 未来を考える。
• 子供のころから情報機器が当たり前のように存在する世代 ＝ デジタルネイティブ

未来を背負う若い彼らは・・・

第4回東京支部CISMカンファレンス(2016)

2.1 デジタルネイティブの台頭１• 生まれたときにWindow95があった世代が、大卒新入社員となる時代が到来した。
当然、CUIは知らない。
• 思春期には既にi-MODEがあった。
当然、ピーガーのモデムを知らない。

原理を学ぶ機会が乏しい
第4回東京支部CISMカンファレンス(2016)

2.2 デジタルネイティブの台頭２• １０年後、『メールは学校で習った』世代が大卒となる。
メール、という情報/手段の理解すらアヤシイ世代がやってくる（会社に）。
• メールとは何かを、会社でまた教育するのですよ。

第4回東京支部CISMカンファレンス(2016)

2.3 デジタルネイティブの台頭３• 約１０年後、初めての携帯＝スマホ、通話＝LINE、という世代が大卒となる。
情報通信の基礎知識が全く必要ない世代

オンラインコミュニケーションに慣れている！＝ITに長けている

第4回東京支部CISMカンファレンス(2016)

2.4 デジタルネイティブの台頭４• デジタルネイティブへの『セキュリティ教育』とは何か？
ITを駆使することに何の障害もない彼ら。
もし学校で教えることがあるとすれば、・『正しい情報』の取捨選択方法
デマ、ゴミ情報が多いから。

第4回東京支部CISMカンファレンス(2016)

2.5 デジタルネイティブの台頭5• デジタルネイティブの襲来• IT高度化分業化の進展同時進行している第4回東京支部CISMカンファレンス(2016)

3.1 NISCにおけるセキュリティデバイド

内閣サイバーセキュリテイ
センターNISCは、
いま
http://www.nisc.go.jp/security-site/

第4回東京支部CISMカンファレンス(2016)

3.2 NISCにおけるセキュリティデバイド
NISCよ、おまえもか。
• 高校生・大学生は、もはやメールを使わない。
• Webベースよりもアプリベース• そもそも家庭で指導できない/するべきではない
家庭で親がITを子供に教えるって？

若者の傾向を理解できていない
第4回東京支部CISMカンファレンス(2016)

3.3 セキュリティデバイドの背景とは■企業内におけるセキュリティデバイド– セキュリティ技術者、IT技術者、IT利用者■企業間におけるセキュリティデバイド
– 資金力・社会的要請■地域間におけるセキュリティデバイド
– 地域経済・自治体方針■世代間におけるセキュリティデバイド
– 体力・時代背景■情報教育におけるセキュリティデバイド
– 教師・学校
第4回東京支部CISMカンファレンス(2016)

3.4 セキュリティデバイドの背景とは格差要因・教育/意識⇒知っている、知っていない、の違いは大きい
・資金⇒安全にまわすだけのコスト負担をできるか・社会的要請⇒法人、大人は叩かれるが、子供は・・・。
・視力 / 体力 / 脳力
⇒URLの文字の違いを識別するには、視力が必要。

・機会⇒若いころにITに接する方がやはり有利？
第4回東京支部CISMカンファレンス(2016)

3.5 セキュリティデバイドの背景とは職務/
企業内
セキュリティデバイド 業務

規模/
業態

企業間
セキュリティデバイド

財政/
地域性

地域間
セキュリティデバイド
第4回東京支部CISMカンファレンス(2016)

教育
機会
情報教育
セキュリティデバイド

年齢/
世代

世代間
セキュリティデバイド

3.5 セキュリティデバイドの背景とは規模/
業態
年齢/
世代

職務/
業務
教育
機会
財政/
地域性

第4回東京支部CISMカンファレンス(2016)

背景を考えて、戦略的対応策を。

4.1 セキュリティデバイドへの対策• ITの利用機会は今後増えることはあっても減ることはない。
• IT自身、進化を続ける。
• 情報機器はWebベース/PCベースよりも、より背景技術が隠蔽される方向に進化する。
• IoTなど、まったく気づかれないものが増えていく。

セキュリティ人材が不足、とよく言われるけれど
第4回東京支部CISMカンファレンス(2016)

4.2 セキュリティデバイドへの対策• 量（通常のセキュリティ）を稼ぐには、幅広いセキュリティ知識を、多数の人に。
継続学習が効果的資格による動機づけが有効• 質（高度なセキュリティ）を稼ぐには、高度なセキュリティ知識を持ったスペシャリストに。
↑この辺は、勝手に発生する。
第4回東京支部CISMカンファレンス(2016)

4.3 セキュリティデバイドへの対策• 量（通常のセキュリティ）を稼ぐには、幅広いセキュリティ知識を、多数の人に。
継続学習が効果的知識の断崖

セキュリティ中間層• 質（高度なセキュリティ）を稼ぐには、高度なセキュリティ知識を持ったスペシャリストに。
↑この辺は、勝手に発生する。
第4回東京支部CISMカンファレンス(2016)

4.3 セキュリティデバイドへの対策• 量（通常のセキュリティ）を稼ぐには、幅広いセキュリティ知識を、多数の人に。
継続学習が効果的知識の断崖

セキュリティ中間層• 質（高度なセキュリティ）を稼ぐには、高度なセキュリティ知識を持ったスペシャリストに。
↑この辺は、勝手に発生する。
第4回東京支部CISMカンファレンス(2016)

4.4 セキュリティデバイドへの対策
セキュリティ中間層への要求事項• 幅広いIT専門知識 （超高度でなくて良い）• 他者に教えられる• セキュリティ関連技術の進歩に追従する

第4回東京支部CISMカンファレンス(2016)

4.5 セキュリティデバイドへの対策• セキュリティは進歩する。日々是勉強。

継続教育制度のあるCISMをよろしくお願いします。

第4回東京支部CISMカンファレンス(2016)

結語 1• 『クラウド』という言葉がわからないので娘に聞いたら、ググれと言われた『ググれる』 基礎教育（学校教育）と、『クラウド』を扱えるだけのセキュリティ教育を。
使える、じゃないですよ第4回東京支部CISMカンファレンス(2016)

結語 2• セキュリティデバイドは拡大する一方である。

セキュリティ有資格者が率先して対応を。
CISMです
第4回東京支部CISMカンファレンス(2016)

参考文献
••
•
•

サイバーセキュリティ経営ガイドライン: 経済産業省
http://www.meti.go.jp/press/2015/12/20151228002/20151228002-2.pdf
みんなでしっかりサイバーセキュリティ : 内閣サイバーセキュリティセンター
http://www.nisc.go.jp/security-site/school/student.html「個人・企業のパスワード管理」に関する意識調査結果のご報告 : 株式会社シマンテック
https://www.jp.websecurity.symantec.com/welcome/pdf/password_management_survey.pdf
組織内部者の不正行為によるインシデント調査: IPA
http://www.ipa.go.jp/files/000014169.pdf

第4回東京支部CISMカンファレンス(2016)