hotchpotch/wikipedia-multilingual-ir-pairs huggingface dataset:
サイバーセキュリティ セキュリティ対策技術
CASB(キャスビー。Cloud Access Security Broker、クラウド・アクセス・セキュリティ・ブローカー)は2012年にガートナーが提唱した概念で、ユーザにより勝手に使われているSaaSを可視化し、機密情報の持ち出しなどを防いだりする事を目的とする。ガートナーによればCASBは以下の４つ機能を持つ事を特徴とする。
CASBの実装形態は３つある：
いずれも攻撃者やマルウェアを騙す事で攻撃者の行動を観察したりシステムを防御したりする技術である。ハニーポットは例えば囮サーバなど脆弱性なシステムに見せかけたものを用意して攻撃者を騙し、攻撃者の侵入方法、侵入語の行動を観察する技術である。ハニーポットの主な利用方法は攻撃者の行動の観察で、例えば囮サーバで攻撃者が何をしたのかから攻撃者の目的を知る、といった用途で用いる。
実際のソフトウェアを用いたハニーポットを高対話型ハニーポット、ソフトウェアを模擬するエミュレータを使った（ので一部の対話しか再現できない）ハニーポットを低対話型ハニーポットという。高対話型の方が現実環境に近いので低対話型よりも多く攻撃者の情報を集められるが、その分低対話型よりも負荷が高く、ハニーポットを攻撃者に乗っ取られた場合の危険も低対話型よりも大きい。またインターネット上に設置したハニーポットに攻撃者を誘い込んで受動的観測を行うタイプと囮のウェブクライアント（ハニークライアント）で悪性サイトにアクセスするなどして能動的観測を行うタイプがある。
これに対しサイバーデセプション(Cyber Deception)は、いわば「次世代ハニーポット」として位置づけられる技術で、主に攻撃から防御したりや攻撃目標の達成を遅延させたりする目的で用いられる技術である。デコイサーバ（囮サーバ）等を設置する事はハニーポットと同様だが、ハニーポットが攻撃者の情報を集めるためにネットワーク境界の外のインターネット上に設置される傾向があるのに対し、サイバーデセプションでは標的型攻撃により攻撃者がプライベートネットワーク内に侵入してくる事を前提にしてプライベートネットワーク上に囮を設置し、攻撃検知や防御のための時間稼ぎに利用される。設置されるものとしては、デコイサーバの他に、囮サービス、囮クレデンシャル、囮ファイル等がある。サイバーデセプションにおいて、囮として用いる情報全般をハニートークンといい、例えばメールアドレス、プライバシー情報、アカウント情報等がハニートークンとして用いられる。
サンドボックス（砂場）は隔離環境の事で、セキュリティ分野では、（不正な振る舞いをするかもしれない）プログラムをサンドボックス内で実行することで、そのプログラムの影響がサンドボックスの外に及ばないようにする目的で用いられる。隔離環境で実際にプログラムを実行してみる事により、従来のシグナチャ型マルウェア対策ソフトでは検知できなかったマルウェアを検出できる。ただし、プログラムを実行して確認してみるという性質上、シグナチャ型のものよりも解析に時間がかかる。
マルウェアの中にはサンドボックスへの対抗策が施されているものもある。対抗策としては例えば以下のものがある：
SOAR（Security Orchestration Automation and Response、セキュリティのオーケストレーションと自動化によるレスポンス）はいわば「次世代SIEM」に位置づけられる製品群で、ガートナーの定義によれば、「セキュリティの脅威情報やアラートを異なる情報源から集める事を可能にするテクノロジーで、標準化されたワークフローに従って標準化されたインシデントレスポンス活動を定義し、優先度付けし、駆動するのを手助けするために、インシデント解析やトリアージが人間とマシンの協調を梃子にして行われるもの」の事である。
多くのSOAR製品はダッシュボード機能やレポート機能を持っており、インシデントレスポンスや脅威情報の機能を持っているものもある。また分析官の手助けをするために機械学習の機能を備えているものもある。
BASは仮想的な攻撃を行う自動化ツールであり、その概念はガートナーが2017年に提唱された。ガートナーの定義によればBASは「ソフトウェアのエージェント、仮想マシン、ないしそれ以外の手段を用いる事により、企業のインフラに対する (内部の脅威、ラテラルムーブメント、データ抽出(exfiltlation)を含む）全攻撃サイクルの継続的かつ一貫したシミュレーションを行う事を企業に可能にする」技術を指す。
BASはシミュレーションにより企業のセキュリティ上の脅威を顕在化させたり、レッドチームやペネトレーションテストを補完するためにSOCの人員によって用いられたりする。
以下のようになる
サイバーキルチェーンの原論文に載っているのはdetect、deny、disrupt、degrade、deceive、destroyの５つであり、これはアメリカ合衆国国防総省のInformation Operations方針に載た軍事の分野の対策手段をAPTにも適用したのである。ただし原論文でdestroyは空欄であったので、上の表からは省いた。また文献を参考にして他の列を加えた。
日本ネットワークセキュリティ協会（JNSA）はセキュリティのツール・サービスを以下のように分類している
サイバーセキュリティ APT対策
C&Cサーバとのコネクトバック通信ではhttpやhttpsを使う事が多いので、透過型プロキシは通過してしまう。このため透過型でないプロキシを立て、ユーザ端末のブラウザのプロキシ設定をオンにし、プロキシを経由していない通信はファイヤーウォールでインターネットに接続前に遮断する必要がある。アプリケーションの更新などはWSUSのような中間配布サーバを立てるか、個々のアプリケーションに対してプロキシを指定する。後者の場合、通信ログからファイヤーウォールで遮断されたアプリケーションを特定してホワイトリストをチューニングする必要がある。
またマルウェアの中にはプロキシに対応したものもあるので、プロキシの認証機能を有効にし、ユーザ端末のブラウザ側でもID/パスワードのオートコンプリート機能を禁止する必要がある。プロキシはディレクトリサービスと連動するなどしてユーザ単位の認証ができるものが望ましい。またActive Directoryを使えば配下にある端末のオートコンプリート機能を一括で禁止できる。
サイバーセキュリティ APT対策
ドメインと連携したシングルサインオン機能を使っている場合はコネクトバック通信も自動的に認証を通ってしまう可能性があるので、プロキシの認証ログを監視し、（窃取されたユーザIDの使い回しによって）異なるユーザ端末から同一の時間帯に同一ユーザIDによる認証が異なるIPアドレスから行われていないか、業務時間外などの不自然な時間帯に特定端末で定期的に認証がなされていないかといった事を、検知ルールにより自動的にチェックする仕組みを作る必要がある。
またマルウェアはC&Cサーバとのセッションの維持のためCONNECTメソッドを悪用する事があるので、プロキシのアクセス制御リストにより、業務に必要なポート(httpの80番やhttpsの443番)以外のCONNECTメソッドを遮断する必要がある。さらにログの監視ルールを作ることで、長期間維持されているセッションや不自然な時間帯のセッションを遮断する必要がある。マルウェアの中には切断されたセッションを規則的に再接続するものがあるので、ファイヤーウォールのフィルタリングでセッションを強制遮断する事によりそうしたマルウェアを発見できる。
サイバーセキュリティ APT対策
攻撃者がラテラルムーブメントを行う目的として、運用サーバやそれを管理する端末に侵入するというものがある。そこでユーザ端末のあるセグメントと運用管理セグメントをLANポートレベルで分離し、ユーザ端末のセグメントから運用管理セグメントへの通信を遮断する必要がある。さらにサーバの管理者には通常業務に使う端末とは別に運用専用端末を用意して、運用管理セグメントには運用専用端末からのみアクセスするようにする事で、管理者の端末を経由してユーザ端末セグメントから運用管理セグメントに侵入されるのを防ぐ。運用専用端末がマルウェアに感染しないよう、運用専用端末からはインターネットに接続できないようにする必要がある。
リモートからの管理を許容しなければならない場合は、リモート管理を行う端末をユーザ端末セグメントにおき、運用管理セグメントの入口に認証と操作ログ管理機能を持ったトランジットサーバを置く。
部署をまたいだラテラルムーブメントを防ぐため、部署や業務内容毎にネットワーク分離をする必要がある。
また攻撃者はWindows端末の管理共有サービスを利用して、攻撃ツールを他の端末に仕込み、タスクスケジューラやPsExecを用いてその不正ツールをリモート実行するので、端末の管理共有サービスを無効にする必要がある。
サイバーセキュリティ APT対策
業務上管理共有を無効にできないサーバに関しては、Windowsサーバ側でタスクスケジューラやPsExecのリモート実行を検知する為、それぞれタスク追加イベントのID 106、サービス追加イベントのID 7045を監視する必要がある。Active Directoryを使えば、配下のWindows端末の管理共有サービスを一括で無効にできる。またActive Directoryにより、配下のWindows端末のWindows ファイアウォールを一括で有効にできる。
Active Directoryの認証失敗時のログを取得できるよう設定し、ユーザ端末セグメントから管理運用セグメントへの認証試行を監視する。また機密情報等、攻撃者が欲しがる情報を保有している部門のユーザ端末に、管理者権限などの高い権限を持っているかのような名称のトラップアカウントを作り、トラップアカウントから管理運用セグメントへの認証試行を監視する事で、攻撃者によるユーザ端末の不正利用を検知する。なお、トラップアカウントのパスワードはActive Directoryで一括変更する事で、無効なパスワードに設定しておく必要がある。
サイバーセキュリティ APT対策
また攻撃者が無作為なIPアドレスを探索しているとすれば、組織内のネットワーク上にデコイサーバを用意し、そこにアクセスしてきた端末を検知するという手段もあるが、攻撃者が無作為なIPアドレス探索を実際に行っているかは分からないため、その効果は不明である。
攻撃者は権限昇格の為ユーザ端末にキャッシュされている管理者権限のアカウント情報を窃取しようとするので、これを防ぐために、ユーザ端末で使用するアカウント権限を必要最低限にする必要がある。
具体的には、ユーザ端末で使用するアカウントはDomain Usersグループ（ユーザ端末の一般ユーザ権限を持つグループ）に登録していかなる管理者権限を付与せず、ユーザ端末のメンテナンスを行うアカウントはOperatorsグループ（ユーザ端末のローカル管理者権限を持つグループ）に登録してDomain Adminsグループなどドメインの管理者権限を持つグループには登録しないようにする。またユーザ端末のローカル管理者などそれ以外のローカルアカウントは、トラップアカウント以外原則全て無効にする。
サイバーセキュリティ APT対策
ドメイン管理者アカウントは可能な限り利用しないようにし、ドメイン管理者権限が必要な作業を運用記録として管理し、Active Directoryの認証ログと月に一度など定期的に突き合わせて、ドメイン管理者権限の不正利用がないか確認する必要がある。運用記録の負荷軽減のため、システム管理製品のメッセージ監視機能等を使ってActive DirectoryのDomain Adminsグループのログイン履歴を監視し、ログインした事実を管理者に送信する事で実作業と突き合わせるようにするとよい。
APTの標的となっている組織は、攻撃を検知してからでないと防御を行う事ができないので、サイバーキルチェーンの早いステージで攻撃を検知する事が重要である。そのために以下で説明するインディケータとプロファイルを作成する事が有益である。
APT攻撃が行われている事を検知するには、攻撃を客観的に指し示す指標（インディケータ）に注目する必要がある。インディケータには以下の３種類がある：
どのインディケータがどの攻撃フェーズに対応するのかを明確化する事で、インシデント対応がしやすくなる。
サイバーセキュリティ APT対策
APT攻撃を特定するには、分析官は特定した攻撃のパターンを解析したり他の組織と強調したりする事でインディケータを明らかにし、それらインディケータをツールなどを使って成熟させ、そしてその成熟させたインディケータを使って攻撃を特定するというサイクルを回す必要がある。
こうしたインディケータは、攻撃目標、狙われるシステム、侵入方法、攻撃ツール、攻撃に使う外部資源、攻撃の痕跡、テクノロジーギャップ、攻撃者の知識といったものを分析するために使われる。逆に言えば、こうした事項から逆算して必要なインディケータを割り出す事ができる。
APTを行っている攻撃者は、経済的理由から同じ攻撃ツールを使い回すなど一定のパターンを繰り返す傾向があるので、APTのキャンペーン毎のプロファイルを作り、過去の傾向を統合する事でインディケータを改善し、検知できるステージを早める必要がある。
プロファイルの内容を充実させる方法としては、SIEMなどのログ相関分析エンジンを利用して複数の侵入行為に対してサイバーキルチェーンの各ステージにおけるインディケータの類似度を分析する事で攻撃の傾向を掴む、というものがある。
サイバーセキュリティ APT対策
プロファイルに含むデータとしては例えば、攻撃者の特性、共犯者、攻撃者の選好分野、標的となった文書、活動時間帯、関連インディケータ、マルウェアやツールキットの分析結果、このAPTを追跡している他のCERT、アナリストの任意のメモなどがある。プロファイルは定期的に見直し、最新に保つ必要がある。
なお、プロファイルが攻撃者に漏れては元も子もないので、プロファイルは極めて機密性が高く保ち、アナリストに必要な場合だけ必要な共有するようにする必要がある。
攻撃キャンペーン毎にどの時期にどのくらいの活動をしたのかを明示したヒートマップを作成する事で、APTの長期的な影響を理解し、休止中のAPTが攻撃を再開したときの潜在的予測分析が可能である。
インシデント対応時に対策側が把握すべき事は以下の４つのフェーズに分類できる：
以上の調査のため、下記のものを調べる必要がある：
感染の把握の有無や被害範囲を把握する目的で行う調査としては下記のものがある：
前述したマルウェアが保存されやすい箇所を調べる事でマルウェアの痕跡が発見できる可能性がある。
マルウェアの永続化の痕跡を以下の方法で発見できる可能性がある
レジストリ情報はreg.exeで収集可能である。調査すべきレジストリの詳細は文献を参照されたい。
マルウェアなどアプリケーションを実行した痕跡が残る代表的な箇所として下記のものがある：
AppCompatCacheやUserAssistはそのままでは可読でないので、何らかの可読化ツールで可読にする必要がある。AppCompatCacheの可読化ツールとしては例えばShimCacheParser.pyがある。
またNTFSのUSNジャーナルやマスター ファイル テーブルにも実行痕跡が残るし、ネットワークにも実行痕跡が残るのでパケットキャプチャによりその痕跡を探る事ができる。
他にも以下のような実行痕跡を調査する必要がある：
外部通信情報はDNS キャッシュとネットワーク接続情報から取得する。前者はipconfig /displaydnsコマンドにより、後者はnetstatコマンドにより取得できる。
サイバーセキュリティ 脅威インテリジェンス
脅威インテリジェンス（スレットインテリジェンス、セキュリティインテリジェンスとも）はガートナーの定義によれば、資産に対する既存もしくは今後発生する危険への対応の意思決定を知らせる事に使う事ができる証拠に基づいた知識で、例えば文脈、メカニズム、インディケーター、含意(implication)、および実行可能なアドバイスなどを含む。APT対策には脅威インテリジェンスが重要である。
サイバーセキュリティ 脅威インテリジェンス
脅威インテリジェンスサービスとは、脅威および脅威因子を複数の情報源から収集し、それを分析したりフィルタリングしたりしてセキュリティ管理システム用の管理レポートやデータフィードとして提供するサービス全般を指す。一般的な有償サービスでは、データフィード以外に、顧客のリスク状態に合わせてカスタマイズしたアラートや定期的な脅威レポートも提供し、これにより顧客が脅威情報収集に費やすリソース（時間、労力、専門知識等）を減らす。
脅威インテリジェンスのサービス提供者はインターネットを監視してどのIPアドレスがどのIPアドレスとどんな通信を行っているのか、どのIPアドレスがどんなウィルスを配布しているかなど、IPアドレス間の関係性や悪質度を解析する。さらに不正プログラムの情報、脆弱性情報、ダークウェブなどアンダーグラウンドのコミュニティで取引されている違法な商品やサービス、それらを扱っている組織や人物像、諸外国のサイバー攻撃の情報なども用いて解析を行う。そして顧客に例えばフィッシング詐欺で用いられるなど悪意のある使われ方をしたりするIPアドレス、ドメイン、URLの情報、マルウェアのハッシュ値などをデータフィードとして提供する。
SXIX(Structured Threat Information eXpression、脅威情報構造化記述形式)はサイバー脅威インテリジェンスを機械可読な方法で他者と共有するための仕様であり、セキュリティコミュニティが攻撃をより理解し、攻撃への準備や対応をよりうまく、早く、正確に行う事を可能にする。
なお、STIXのバージョン1はXML形式で脅威インテリジェンスを記述していたが、バージョン2ではJSON形式で記述する。
TAXII（Trusted Automated Exchange of Intelligence Information、検知指標情報自動交換手順）はSTIXで記述された脅威インテリジェンスをHTTPS上でシンプルかつスケーラブルな方法で通信するためのプロトコルである。
サイバーセキュリティ CISO
CISO（Chief Information Security Officer、最高情報セキュリティ責任者）は企業などで情報セキュリティを統括する役員のことで、サイバーセキュリティ対策に関する全社的統括に業務責任を負っている。それ以外にもIT戦略（コンプライアンス、リスクマネジメントに関するセキュリティ対策、セキュリティ実施計画やルール策定等）、システム企画におけるセキュリティ実装計画、IT環境における事業継続計画、ディザスタリカバリ、情報セキュリティマネジメントに関して支援・補佐する。
主な業務内容はセキュリティポリシーの策定、個人情報の扱い運用やその監査、コンピュータのセキュリティ対策、機密管理規程の策定、リスク管理、情報漏洩事故の防止、有事の際の対応などを統括する事である。
なお個人情報に関しては「CPO」(Chief Privacy Officer：最高プライバシー責任者)という役職を別に授ける事もある。情報システムの企画、導入、運用、更新を統括するCIO(Chief Information Officer：最高情報責任者) とは別の役職であるが、兼任する場合もある。またCSO (Chief Security Officer：最高セキュリティ責任者) は日本ではCISOと同義である事が多いが、海外ではCISOとは別で、全社的な保安対策を担当を統括する役職を指す。
サイバーセキュリティ CISO
「サイバーセキュリティ経営ガイドライン Ver 3.0」によると、経営者は、以下の重要１０項目について、CISO 等への指示を通じて組織に適した形で確実に実施させる必要がある：
これらは、単に指示すればよいのではなく、組織のリスクマネジメントの責任を担う経営者が自らの役割として実施方針の検討、予算や人材の割当、実施状況の確認や問題の把握と対応等を通じてリーダーシップを発揮することが求められる。
経営者はCISOを任命し、CISOが策定したサイバーセキュリティ対応方針や実施計画を承認する。策定したセキュリティ対応方針は組織の内外に示す。上述の表にあるように、CISOは自身を中心としたサイバーセキュリティリスク管理体制を構築し、経営リスク委員会等他の体制と内部統制、災害対策等について整合を取る必要がある。また「★」がついている項目はCSIRTなどのセキュリティ対応部門に実務を担わせる。
サイバーセキュリティ SOCとCSIRT
企業などに存在するセキュリティ対応組織には、SOCとCSIRTの２種類が存在し、これら２つの主な仕事は以下の２点に集約される：
セキュリティ対応組織の実務は、体制の検討、構築、見直しといった導入のフェーズ、概ね平時に行われる運用のフェーズ、インシデントが発生した「有事」においてインシデントに対応するフェーズからなる。全体の運営は、短期に回す運用・対応のサイクルと、この短期サイクルを踏まえて導入の見直しを行う長期サイクルからなっている。
以上の業務をSOC、CSIRTという２種類の組織で行う。これら２つ組織の役割分担や関係性、業務内容等は企業毎に異なるが、それぞれ概ね以下のような仕事を担う：
文献は、CSIRTがインシデントに対して行なう活動全般をインシデントマネジメントと呼び、インシデントマネジメントには、有事の対応に相当するインシデントハンドリング以外に以下の活動が含まれるとしている：
CSIRTには、企業などの組織内に存在する組織内CSIRTの他に、国や地域を代表する国際連携CSIRTや、JPCERT/CCのように複数のCSIRTの連携を行うコーディネーションセンターなどがあるが、本項では特に断りがない限り組織内CSIRTに関して述べるものとする。
サイバーセキュリティ SOCとCSIRT
またSOCには自組織で運営するものと、専門業者に外部委託するものがある。両者を区別する場合、自組織で運営するものをプライベートSOCと呼ぶ。一方、SOC機能等の外部委託先となるセキュリティサービスとしてMSS（Managed security service）があり、MSSを提供する事業者をMSSプロバイダー（MSSP）と呼ぶ。MSSPは例えば以下の機能を提供している：
セキュリティ対策装置の攻撃アラートの検知時には、その内容を調査・分析して重要度や影響度を契約企業に通知し、対応を実施する。またセキュリティ対策装置の運用の一環として、装置のソフトウェア更新を行ったり、ポリシー設定やシグネチャの変更や更新を行ったりする。さらに稼動状況や対応作業の報告を行ったり、リアルタイムに状況をレポートしたり、契約企業からの問い合わせ対応を行ったりもする。
サイバーセキュリティ SOCとCSIRT
なおMSS事業者の呼称は業者毎に異なっており、「MSSP」以外にも「MSP（マネージドサービスプロバイダー）」、「MSSP（マネージドセキュリティサービスプロバイダー）」、あるいは単に「SOC」等とも呼ばれる。またMSSPの業態には、専業事業者以外に、SIer、ISP、ハードウェアベンダがサービスを提供する場合もあり、サービス内容としてMSS以外にIT システムの運用や機器の稼働監視提供している場合がある。またMSS は24 時間365 日体制で提供される場合が多い。
SOCやCSIRTはリアルタイムアナリシスやインシデント対応などのためにネットワークの運用管理部門であるNOC（Network Operations Center）と協調する必要がある。
また経営層や組織内のリスク管理委員会とも連携を取る必要がある。リスク管理委員会とCSIRTとの関係は、経営層の直下に両者が並列して存在する場合もあれば、経営層の直下にリスク管理委員会があり、更にその下にCSIRTがある場合もある。
SOCに求められる主な機能の一つで、ログを参照監視してインシデントの予兆を発見する。監視するログとしては主に以下のものがある：
SIEMのようにログを収集・正規化し、複数のログを相関分析する機器を用いる事で、職人芸的なログ分析能力などの属人性を廃して膨大な量のログを分析する。
サイバーセキュリティ SOCとCSIRT
ログの分析は以下の２つをトリガーとして行う
上述した分析だけでは不足する場合は、詳細な分析として以下を行う：
以上に加えリアルタイムアナリシスでは、トリアージ（後述）に必要となる情報の収集を行う。
SOCにはその活動内容の報告が求められ、定期報告と必要に応じた臨時報告を行う。定期報告は大手ソフトウェアメーカーが定期的にパッチをリリースする1週間後程度を目安として行われる事が多い。報告内容は被害端末の情報、攻撃手法、攻撃経路、情報漏えいの有無、影響度、すぐに行うべき短期的な対処策等である。不明なものは不明と明記する事が望ましい。また分析に関する問合せ対応も行う必要がある。
CSIRTに求められる主な機能の一つで、インシデントの発生確認、迅速な封じ込め、影響範囲特定とその文書化、全容解明、復旧といった技術より作業の他に、ビジネスやネットワークに及ぼす混乱を最小限にとどめ、インシデントに対する世間の認識をコントロールし、犯人に対する訴訟の準備をするといった作業も含まれる。
インシデントハンドリングは技術的な作業のみにとどまらないので、一般的に
で構成される。インシデント管理責任者はCISO、CIO、もしくは彼らから直接任命を受けた人物がその任務にあたる。
サイバーセキュリティ SOCとCSIRT
CSIRTはインシデントと思しき情報をユーザやSOC、外部組織等から検知／連絡受付したら、その情報をトリアージし、対応すべきと判断したインシデントに対してインシデントレスポンスを行い、最後に報告／情報公開を行う。
インシデントと思しき情報は自組織内部の保守作業で発見される場合、IDSのような何らかの異常検知システムで発見される場合、外部からの連絡により発見される場合の３通りがある。
よってCSIRTは、
CSIRT のリソースを有効に使うため、対応すべきインシデントの優先度付けを行うフェーズである。そのために、何を守るべきか等の活動ポリシーを明確化し、事前にトリアージの判断基準を決めておく。
インシデントと思しき情報があったら情報提供者から必要情報を入手し、5W1Hを整理する（「Why」は後回しでも良い）。そして単なる勘違いでないか、CSIRT の対応すべきか等を判断する。対応する場合は後述するインシデントレスポンスを行う。対応しないと判断したら、セキュリティポリシーに照らして可能な範囲で情報提供者や関係者等に回答する。対応の有無にかかわらず、必要に応じて注意喚起等の情報を発信する。
なお本稿では文献に従ってトリアージをインシデントハンドリングに含めたが、文献ではトリアージをリアルタイムアナリシスに含めている。
サイバーセキュリティ SOCとCSIRT
トリアージの結果、CSIRTが対応すべきと判断したケースにおいて、インシデントに対応するフェーズである。
まず事象を分析して、CSIRTで対応すべきか、技術的な対応が可能か等を冷静に再判断し、対応が必要だと判断した場合は対応計画を策定し、具体的な対応活動・攻撃の抑止措置を取る。この際必要に応じてIT 関連部署や外部組織と連携し、経営層と情報共有し、外部の専門機関等に支援を依頼する。対応が終了したら、セキュリティポリシーに照らして可能な範囲で情報提供者や協力者等に回答する。
調査では、攻撃経路、使われた攻撃ツール、被害を受けたシステム、攻撃の手口、攻撃者が達成したことなどを特定し、被害の評価を行い、さらにインシデントが行われた期間はいつか、インシデントが継続中か否かといった事も特定する。
優先度の低いインシデントは電話やメールでリモート対応する。リモート対応ができないときや、厳格な証拠保全が必要な場合は、物理的拠点に直接向かい、オンサイトで対処を行う。なお詳細な分析に関してはディープアナリシスの節で記述する。
このフェーズでは、調査や訴訟のために証拠を保全する事を重要である。またインシデント対応が完了するまで、インシデント分析の進捗状況などの対応状況の管理をする必要がある。
必要に応じ、プレスリリース、監督官庁への報告、組織内部への情報展開等を行う。
サイバーセキュリティ SOCとCSIRT
インシデントの全容解明と影響の特定のため、被害を受けたシステムの調査、漏えいしたデータの確認、攻撃に利用されたツールや手法の分析などを行う。
具体的には
等を行う事で攻撃の全容を解明し、犯罪捜査や法的措置を行う可能性がある場合は証拠を保全する。
文献ではディープアナリシスをSOCの業務としている。
以下を策定し、必要に応じて改善する：
SOC・CSIRTの業務として、以上に挙げたもの以外に以下のものがある。
防御対象となるサーバ、端末、ネットワーク装置などの資産やネットワーク構成を把握する。把握した情報は、脆弱性管理、分析、インシデント対応等に利用する。
資産管理の結果得られた資産リストに関する脅威情報を収集し、対応が必要な資産を特定し、その資産の管理部門に通達する。さらに脅威への対応状況を管理する。この目的のためにプラットフォーム診断、Webアプリケーション診断などを自動脆弱性診断ツールで実行する他、必要に応じて手動の脆弱性診断を行う。
下記の情報を収集する：
これらの情報を定期的にドキュメント化し、周知する。重大な脆弱性等に関しては速報も出す必要がある。
内部統制の監査データで必要となるログの収集と報告、内部不正が発覚した際の支援、内部不正の検知や防止の仕組みの確立支援等を行う。
サイバーセキュリティ SOCとCSIRT
利用しているセキュリティ製品・サービスの提供元との情報交換や、セキュリティ対応を行っている組織の集まりにおける情報交換など。CSIRTによるコミュニティとしては、例えばFIRST (Forum of Incident Response and Security Teams)、APCERT (Asia Pacific Computer Emergency Response Team)、日本シーサート協議会などがある。
PSIRT（Product Security Incident Response Team）は「組織が開発・販売する製品、ソリューション、コンポーネント、サービスなどの、脆弱性リスクの特定や評価、対処に焦点を当てた」組織内機能で「自社製品の脆弱性への対応、製品のセキュリティ品質管理・向上を目的」とする。
PSIRTと組織内CSIRTの違いは、前者はその活動の中心が製品のセキュリティであるのに対し、後者は組織のインフラを構成するコンピュータシステムやネットワークのセキュリティに重きを置いている点にある。ただしPSIRTは組織内CSIRTと協調する事で相乗効果を発揮する。
PSIRTの組織構造は「分散モデル」、「集中モデル」、「ハイブリッドモデル」に分類できる。分散モデルでは、「PSIRT 自体はごく小規模な組織であり、製品開発チームの代表者と協力して脆弱性に対処する」。分散モデルでは脆弱性のトリアージや修正プログラム提供は製品開発チームが行い、PSIRTはそのための支援やガイドラインの作成等を行う。集中モデルではPSIRT は多くのスタッフを抱え、「各部門から選抜されたスタッフが組織の製品セキュリティを担当する上級幹部に報告する」。脆弱性のトリアージや修正プログラム提供はPSIRTがチケッティングシステムを管理してリーダーシップを発揮する。ハイブリッドモデルは両者の中間形態である。
「組織の規模が大きく、多様な製品ポートフォリオを持つ組織」は分散モデルが適している。一方「より小さい組織や同種の製品ポートフォリオを持つ組織」では「高度なセキュリティスキルと専門知識を1 つの領域に集中」できる集中モデルが適している。
PSIRTの活動内容はCSIRTのそれとかぶる部分も多いが、開発関係者との連携、製品のライフサイクル・リリースタイミング・サービスレベルアグリーメントを意識したセキュリティ確保、脆弱性発見者との交流、サプライチェーンの上流・下流との交流、バグバウンティ（脆弱性報奨金）の提供もしくはバグバウンティベンダとの交流など、PSIRT固有の活動もある。
サイバーセキュリティ 制御システム・IoT機器のセキュリティ
制御システムとは、例えば
などで用いられるシステムの事である。インターネットの普及に伴い、制御システムの機器も汎用で標準的なプロトコルを用いて制御用データを送受信するようになり、システムにもWindows やUNIXなどの汎用OSが利用されるようになっている。こうした理由により、制御システムもインターネットを経由したサイバー攻撃のリスクに晒されており、セキュリティ対策が必要となる。制御システムは社会インフラで利用される事が多いので、サイバー攻撃のリスクは大きく、場合によってはサイバーテロの標的になったり、国家によるサイバー攻撃を受けたりする場合もある（例えばスタックスネットの事案）。
制御システムでも情報セキュリティのCIA、すなわち下記の３つは重視される
しかし制御システムのセキュリティでは重要度がC、I、Aの順番ではなく、A、I、Cの順番である。また以下のHSEの３つも重視される
以下の表は制御システムと情報システムとでセキュリティに対する考え方の違いを整理したものである：
サイバーセキュリティ 制御システム・IoT機器のセキュリティ
IoT機器とは家電、オフィス機器、自動車、信号機などのモノでインターネットにつながる機能を有しているものを指す。IoT機器はLinuxやWindowsなどの汎用OSがカスタマイズして搭載されている。IoT機器の多くでは、設定変更を行うためウェブサーバ機能が搭載サれており、他にもFTPやSMBのサーバ機能、メールサーバ機能等が搭載されていることもある。
IoT機器は出荷した初期設定状態ですぐ利用できる事が想定されているため、初期設定ではログイン認証機能が設定されていないことも多く、こうしたIoT機器がファイヤーウォールを隔てることなく直接インターネットに接続されることも多い。このため複合機やウェブカメラから機密情報や個人情報が漏洩したり、ブロードバンドルーターなどのIoT機器の設定を不正に変更してユーザを悪性サイトに誘導したり、スパムメール送信やDoS攻撃に利用されるなど攻撃の踏み台にしたりといったインシデントが起きている。
サイバーセキュリティ 日本国のサイバーセキュリティ推進体制
サイバーセキュリティ基本法はサイバーセキュリティに対する脅威の深刻化と内外の諸情勢の変化に伴って2014年に可決、2016年に改正された法律である。この法律の目的はサイバーセキュリティに関する施策を総合的かつ効果的に推進し、経済の向上と持続的発展、国民の安心・安全、国際社会の平和と安全、および日本国の安全保障に寄与する事である（第一条）。
またこの法律は、サイバーセキュリティの施策に関する基本理念、国や地方公共団体の責務、サイバーセキュリティ戦略の策定など施策の基本事項を定め、さらにサイバーセキュリティ戦略本部を設置する事を定める（第一条）。
サイバーセキュリティ基本法第24条により内閣にサイバーセキュリティ戦略本部を置く事が定められており、内閣官房組織令第1条により内閣官房に内閣サイバーセキュリティセンター（NISC）を置く事が定められている。サイバーセキュリティ戦略本部の庶務はNISCが行うこととされている。それぞれの概要は下記のとおりである：
サイバーセキュリティ 日本国のサイバーセキュリティ推進体制
サイバーセキュリティ戦略本部に関する事務を担当する国務大臣の通称としてサイバーセキュリティ担当大臣と呼ぶことがある。事務局であるNISCは内閣官房に属するが、同国務大臣は担当大臣や内閣府特命担当大臣とも異なる無任所大臣であり、辞令等によってサイバーセキュリティ担当とする補職が行われているものではない。デジタル市場競争本部の設置について（2019年9月27日閣議決定）などにおいて、本部員に「サイバーセキュリティ戦略本部に関する事務を担当する国務大臣」が指定されている。
なお、2024年に組閣された第1次石破内閣及び第2次石破内閣において、平将明がサイバー安全保障担当大臣（新設）に指定された。
平成30年のサイバーセキュリティ基本法改正によりその創設が決定された。その目的は「専門機関等から得られた脅威情報を戦略的かつ迅速に共有」する事であり、そのために「官民の多様な主体が相互に連携して情報共有を図り、必要な対策等について協議を行う」。NISCと専門機関を事務局とし、国の行政機関、地方公共団体、重要インフラ事業者、サイバー関連事業者、教育研究機関、有識者等をその構成員とする。構成員には秘密保持と協議会への情報提供の協力とが課せられる。
サイバーセキュリティ 日本国のサイバーセキュリティ推進体制
サイバーセキュリティ戦略本部はサイバーセキュリティ戦略というサイバーセキュリティに関する基本的な計画（中期計画：およそ3年程度）を作り、閣議決定する。その内容は下記のとおりである（サイバーセキュリティ基本法12条2項）：
なお、当該戦略を年次計画・年次報告に詳細化し、毎年サイバーセキュリティ（計画年度）として公表している。
サイバーセキュリティ基本法第26条第1項第2号には、サイバーセキュリティ戦略本部がつかさどる事務の一つとして、「国の行政機関、独立行政法人及び指定法人におけるサイバーセキュリティに関する対策の基準の作成及び当該基準に基づく施策の評価（監査を含む。）その他の当該基準に基づく施策の実施の推進に関すること」が定められている。
統一基準群は以下の 3 つの文書の総称である：
GSOC(Govrenment Security Operation Coordination team)はNISCの情報統括グループにより運営されているセキュリティ横断監視・即応調整チーム。中央省庁、独立行政法人、特殊法人、認可法人を監視対象とする。2018年現在、法人の対象は日本年金機構、地方公共団体情報システム機構、地方公務員共済組合連合会、地方職員共済組合、都職員共済組合、全国市町村職員共済組合連合会、国家公務員共済組合連合会、日本私立学校振興・共済事業団、公立学校共済組合の９つ。
サイバーセキュリティ 日本国のサイバーセキュリティ推進体制
これら指定法人では、統一的な基準の策定、情報システムの不正監視と分析、サイバーセキュリティ演習、関係機関との連携、情報共有などの施策を講じねばならない。
CYMAT(Cyber Incident Mobile Assistance Team)は、政府機関等へのサイバー攻撃に対して被害拡大防止、復旧、原因調査、再発防止のための技術的支援をしているNISCの組織である。平常時には研修や訓練も実施している。
政府全体でシステム基盤を共有化するプラットフォーム。2009年に政府が掲げた「霞が関クラウド（仮称）」を構想化したもので、2013年3月18日から運用を開始。クラウドコンピューティングなどのICT技術を活用する事で、各府省の政府情報システムを統合、共通機能を一元的に提供する。
クラウドコンピューティングをはじめとする最新の情報通信技術（ICT）を活用し、従来は各府省が個別に整備・運用していた政府情報システムを統合・集約するとともに、共通機能を一元的に提供する基盤システム。2013年3月18日から運用を開始した。しかし個人情報を含んでいたり民間サービスを利用したりしている61%のシステムは2016年段階で統合できず、政府共通システムへの以降は限定的である。
防衛省・自衛隊内にはサイバーセキュリティに関する下記の組織がある：
サイバーセキュリティ 日本国のサイバーセキュリティ推進体制
またサイバー攻撃対処に関する態勢や要領を定めた規則として「防衛省の情報保証に関する訓令」などを発行している。
他組織とは下記のような連携体制を取っている：
2022年度（令和4年度）に新設されたサイバー警察局では、情報技術解析課（サイバーフォース）で技官がフォレンジックを担当している。
一般財団法人日本サイバー犯罪対策センター（JC3、Japan Cybercrime Control Center）は「日本版NCFTAとしてサイバー空間の脅威に対処するための非営利団体」。「警察による捜査権限のより効果的な行使を始めとする脅威への先制的・包括的な対応を可能とする産学官の新たな連携の枠組」である。2018年現在、正会員18社、賛助会員36社。
2017年現在、JC3は違法性アダルトサイトや不正口座の摘発、犯罪者の検挙や犯罪組織のインフラのテイクダウン、加盟団体の情報提供によるエクスプロイトキットの全容解明等で成果をあげている。具体的活動としては、「犯罪者を特定するための調査」、「ログなどの証拠収集と確保」、「民間企業であるプロバイダや回線事業者への協力要請」、「摘発する各都道府県警の足並みを揃える」、「海外にサーバがある場合に国際的な法執行機関との事前連携を取る」など。
サイバーセキュリティ 日本国のサイバーセキュリティ推進体制
JC3には「全国の警察組織をとりまとめる警察庁のメンバーが事務所内に常駐体制を敷」いており、全国一斉の捜査・摘発では足並みを揃えやすい。またサイバー攻撃の標的になるのを避けるためNCFTAがそのメンバーを積極的には公表していないのに対し、JC3では参加企業・協賛団体を公開している。
主な活動内容は以下の通り：
独立行政法人情報処理推進機構（IPA、英: Information-technology Promotion Agency, Japan）は、経済産業省所管の中期目標管理法人たる独立行政法人で、「情報セキュリティ対策の実現」、「IT人材の育成」、「IT社会の動向調査・分析・基盤構築」の３つの事業領域を持ち、これらを「ITを取り巻く社会の社会動向・産業動向・技術動向」の把握に役立てる。本稿では以下、サイバーセキュリティに関する事業のみを紹介する。
IPAでは標的型サイバー攻撃対策のため、「脅威と対策研究会」を立ち上げて「『高度標的型攻撃』対策に向けたシステム設計ガイド」等の資料を公開している他、以下を行っている：
以下を行っている：
サイバーセキュリティ 日本国のサイバーセキュリティ推進体制
国立研究開発法人情報通信研究機構（NICT）は総務省所管の国立研究開発法人。NICTは情報の電磁的流通及び電波の利用に関する技術の研究及び開発、高度通信・放送研究開発を行う者に対する支援、通信・放送事業分野に属する事業の振興等を総合的に行うことにより、情報の電磁的方式による適正かつ円滑な流通の確保及び増進並びに電波の公平かつ能率的な利用の確保及び増進に資することを目的とする。（国立研究開発法人情報通信研究機構法第4条）
組織は総務や広報のような事務部門のほか、電磁波研究群、ネットワーク研究群、AI・脳情報通信研究群、サイバーセキュリティ研究所、未来ICT研究群、オープンイノベーション推進本部、ソーシャルイノベーションユニット、イノベーション推進部門、グローバル推進部門、デプロイメント推進部門を持つ。
サイバーセキュリティ研究所は「NICTの中立性を最大限に活用し、産学との緊密な連携によりサイバーセキュリティ研究開発の世界的中核拠点を目指し」ており、研究実施体制としてサイバーセキュリティ研究室とセキュリティ基盤研究室を持ち、その他にナショナルサイバートレーニングセンター（後述）を持つ。
サイバーセキュリティ研究室では以下の研究技術を公開している：
セキュリティ基盤研究室では以下の研究を行っている：
特に、暗号技術の安全性評価の一環として、IPAとともにCRYPTRECの運営を行っている。
実践的なサイバートレーニングを企画・推進する組織。主に以下の3つの事業を推進
サイバーセキュリティ 米国のサイバーセキュリティ推進体制
「国家のサイバーセキュリティ戦略・活動を統括する責任者」である。
アメリカサイバー軍はアメリカ軍のサイバー戦を担当する統合軍であり、その任務はサイバー空間における作戦を一元化し、国防総省のサイバー空間における能力を強化し、国防総省のサイバー空間における専門的技能の統合と強化を行う事にある。
国家情報長官（英語: Director of National Intelligence、略称：DNI）は、閣僚級の高官で、以下を行う権限を持つ（根拠法：Intelligence Reform and Terrorism Prevention Act of 2014(IRTPA)）：
毎朝、諜報機関が収集した情報をまとめた機密文書大統領日報（President's Daily Brief）を大統領に報告する。この大統領日報は、大統領と大統領が承認した人物のみ閲覧できる。
国家情報長官を補佐する独立連邦機関として国家情報長官オフィス(ODNI)があり、ODNIには国家テロ対策センターなど６つのセンターがある。
サイバーセキュリティ 米国のサイバーセキュリティ推進体制
サイバー脅威情報統合センター（CTIIC、Cyber Threat Intelligence Integration Center）は脅威インテリジェンスの収集と分析を担うODNIの下部組織で、「既存の政府機関が収集した外国からのサイバー脅威に関する情報を集約し、脅威に対抗するために必要な情報と手段を米政府の関係機関に提供する」。
DoDはサイバー司令部を持っている。サイバー司令部の司令官はNSA長官が兼務。
アメリカ国家安全保障局（英: NSA、National Security Agency）は、アメリカ国防総省(DoD)の諜報機関である。中央情報局（CIA）がおもにヒューミント（HUMINT; human intelligence）と呼ばれるスパイなどの人間を使った諜報活動を担当するのに対し、NSAはシギント（SIGINT; signal intelligence）と呼ばれる電子機器を使った情報収集活動とその分析、集積、報告を担当する。
サイバーセキュリティ 米国のサイバーセキュリティ推進体制
NSAはイギリスの政府通信本部（GCHQ）など4カ国の諜報機関と世界中に張り巡らせたシギントの設備や盗聴情報を、相互利用・共同利用する為にUKUSA協定を結んでおり、UKUSA協定グループのネットワークはエシュロンと呼ばれている。またNSAは通信監視プログラムPRISMを運営し、マイクロソフトの「So.cl」（ソーシャル）、Google、Yahoo!、Facebook、Apple、AOL、Skype、YouTube、PalTalkの、合わせて9つのウェブサービスを対象に、ユーザーの電子メールや文書、写真、利用記録、通話など、多岐に渡るメタ情報を収集している他、各国の行政権を担う人物が電話盗聴の対象になっていたとマスメディア各社が報じている。
アメリカ合衆国国土安全保障省（英: DHS、United States Department of Homeland Security）は概ね各国の内務省に相当する行政機関で、公共の安寧の保持を所掌事務とする。その使命は、テロリズムの防止、国境の警備・管理、出入国管理と税関業務、サイバーセキュリティ、防災・災害対策である。
サイバーセキュリティ関連ではNational Cyber Security Division、National Cybersecurity Center、Central Security Serviceをその配下に置く。
サイバーセキュリティ 米国のサイバーセキュリティ推進体制
サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA、Cybersecurity and Infrastructure Security Agency）はDHS傘下の独立連邦機関で、2018年サイバーセキュリティ・インフラストラクチャセキュリティ庁法（Cybersecurity and Infrastructure Security Agency Act of 2018）に基づき、国家保護・プログラム総局（NPPD）を改組する事で設立されたものである。
CISAに期待されている役割は政府の全てのレベルを横断したサイバーセキュリティの改善、サイバーセキュリティのプログラムに関して各州と協調する事、および私的なハッカーや国家ぐるみのハッカーに対する政府のサイバーセキュリティ防御を改善する事である。
CISAは以下の３部門から構成されている：
CISAは下記の組織を監督する：
CISAの傘下の組織で、重要インフラ等のサイバー情報集約機関。US-CERT、ICS-CERT、National Coordinating Center for Communicationsを統括。FBI、CIA、NSA、等の情報を一元的に集約し、分析結果を共有することでサイバー攻撃を防ぐ事を目的とする。
サイバーセキュリティ 米国のサイバーセキュリティ推進体制
Automated Indicator Sharing(AIS)はDHS（米国国土安全保障省）が推進する枠組みで、米国内外を問わず官民でCTI（Cyber Threat Intelligence、サイバー脅威インテリジェンス）を加盟団体間で迅速に共有する事をその目的とする。加盟にはDHSに申請書類の提出と受理が必要である。
情報提供を行う加盟団体は、他のどの加盟団体にどのCTIを共有するかを指定でき、CTIはデフォルトでは匿名化処理を施した上で他の加盟団体に共有されるが、情報提供団体が望めば匿名化せずに提供する事も可能である。情報の共有はDHS傘下の国家サイバーセキュリティ通信総合センター（NCCIC）が提供する情報システムを介して行われる（根拠法：Cybersecurity Information Sharing Act）。
情報の迅速な共有に重きが置かれているため、提供されたCTIの内容の正確性をDHSの側が検証する事はしないが、加盟団体が有益なCTIにレピュテーションスコアをつける事ができる。
CTIの共有にはSTIX・TAXIIプロトコルが利用され、CTIには例えばIPアドレス、ドメイン名、フィッシングメールの送信者アドレスが含まれる。
サイバーセキュリティ 米国のサイバーセキュリティ推進体制
AISにおいて個人を特定可能な情報(PII、Personally Identifiable Information)を保護するため、DHSはAISのためのプライバシーインパクトのアセスメントを定めており、サイバーの脅威に直接関係ないPIIは自動的に削除される。
アメリカ国立標準技術研究所（アメリカこくりつひょうじゅんぎじゅつけんきゅうじょ、National Institute of Standards and Technology, NIST）は、アメリカ合衆国の国立の計量標準研究所であり、アメリカ合衆国商務省配下の技術部門であり非監督（non-regulatory ）機関である。その公式任務は「アメリカの技術革新や産業競争力を強化するために、経済保障を強化して生活の質を高めるように計測学、規格、産業技術を促進すること」である。次の研究ユニットがある。
ITL（Information Technology Laboratory）の中のCSD（Computer Security Division）という部門がコンピュータセキュリティに関して研究を行い、以下の文書を発行している：
IPAのサイトに主だった文書のリストと邦訳がある。
サイバーセキュリティ 米国のサイバーセキュリティ推進体制
官民連携R&Dセンター（NCCoE: National Cybersecurity Center of Excellence）はNISTがメリーランド大学内部に設置した組織で、以下を目的とした研究開発を行っている：
連邦捜査局（れんぽうそうさきょく、英: FBI、Federal Bureau of Investigation）は、アメリカ合衆国の警察機関の一つ。アメリカ合衆国司法省において、連邦法に関する事案の捜査を任務としている。
FBIに以下のサイバー対策部隊がある（2010年3月4日現在)
また、全国ホワイトカラー犯罪センター(NW3C)と連携して米国インターネット犯罪苦情センターを運営している。
NCFTA(National Cyber-Forensics & Training Alliance、日本語では「米国サイバー鑑識・訓練協定」もしくは「全米サイバー犯罪科学訓練同盟」)は「サイバー犯罪に関する情報共有や捜査支援、被害防止のために設けられた、アメリカの非営利団体」。FBIを中心とする法執行機関、民間企業、大学による産学官連携組織である。サイバー犯罪の手口等をデータベース化して専門家が分析し、捜査員の訓練や捜査の技術支援に役だてる。
米国サイバー･チャレンジ（US Cyber Challenge）：「官民合同のサイバーセキュリティ人材育成プログラム。非営利団体のNational Board of Information Security Examiners (NBISE)が運営」。「サイバーセキュリティの合宿型講習会Cyber Campや、サイバー技術競技大会CyberQuestなどを実施」。
サイバーセキュリティ その他諸外国のサイバーセキュリティ推進体制
European Data Protection Board(EDPB)はGDPRの適用をEUに任された機関。データ処理プロセスを監視するデータ保護当局（DPA：Data Protection Authority）の長と諸機関における個人データの取扱いを監督する独立の機関である欧州データ保護監督官（EDPS、European  Data  Protection  Supervisor）ないしその代表から構成される。欧州委員会もEDPBに参加するが、投票権を持たない。
その責務は下記のとおりである：
サイバーセキュリティ その他諸外国のサイバーセキュリティ推進体制
ENISA（英語：European Union Agency for Network and Information Security。略称は旧名のEuropean Network and Information Security Agencyに基づく、日本語訳：欧州ネットワーク・情報セキュリティ機関もしくは欧州ネットワーク情報安全機関）は、欧州連合内におけるネットワークと情報セキュリティを改善を目的とした欧州連合の専門機関の一つ。EU法を含め、ネットワークおよび情報セキュリティの必須要件を満たす為、委員会、加盟国、その結果として経済界を援助する。また加盟国と欧州連合の各機関がネットワークおよび情報セキュリティに関連した問題について専門的知識の助言を求めるセンターとして運用されるよう務める。
欧州ネットワーク・情報セキュリティ機関は長官によって管理され、その傘下におかれる職員については情報通信技術業界や消費者団体および学識経験者などの利害関係者を代表する専門家で構成し運営されている。機関は管理員会によって監督され、欧州連合加盟国、欧州委員会やその他の利害関係者から排出された代表から成っている。また、常設関係者部会が設立され長官を補佐する。
中国は、ネットのセキュリティを強化するために中華人民共和国サイバーセキュリティ法（中国語:中華人民共和國網絡安全法）を制定している。
イギリスではGDPRを補完する法律としてData Protection Act 2018を定めている。
サイバーセキュリティ 民間団体・業界団体等
ISAC(Information Sharing and Analysis Center、セキュリティ情報共有組織)とは、重要インフラに対するサイバーセキュリティ上の脅威を収集し、民間部門と公的機関の間で双方向の情報共有を行うための非営利団体である。
ISACは歴史的には米国に端を発しており、大統領令63の1（クリントン大統領（当時）が1998 年5 月22 日に署名）において、重要インフラへの攻撃に備えるため、分野における脅威や脆弱性に関する情報を分野内で共有する専門組織の設立が推奨された事に呼応して設立されたものである。
米国では19のISACが活動している（2015年5月現在）他、National ISAC Council が「定期的に各ISAC の代表者を集めた会合を開催して、情報を共有しており、ウェブサイト上ではISACに係わる白書やテクニカルドキュメントを公表している」。
日本でも金融ISAC、電力ISAC、ICT-ISAC（旧Telecom-ISAC Japanを発展的に継承したもの）、Software ISACなどが活動しており、ヨーロッパではエネルギー関連のISACであるEE-ISACが活動している。