CISOが、適切にセキュリティ機能とレベルを決めるには
•
3 likes•796 views
CISOが、適切にセキュリティ機能とレベルを決めるには How can the CISO properly determine the security functions and levels? あるいは、バーンアウトしないセキュリティチームの６つの秘訣
Recommended
More Related Content
What's hot
What's hot (19)
Similar to CISOが、適切にセキュリティ機能とレベルを決めるには
Similar to CISOが、適切にセキュリティ機能とレベルを決めるには (20)
More from Riotaro OKADA
More from Riotaro OKADA (12)
Recently uploaded
Recently uploaded (9)
CISOが、適切にセキュリティ機能とレベルを決めるには
- 2. 株式会社アスタリスク・リサーチ 岡⽥良太郎 岡⽥ 良太郎 代表・エグゼクティブリサーチャ CISA, MBA riotaro@rsrch.jp 活動 - activities - WASForum Hardening Project オーガナイザ 衛る技術を顕彰する、8時間耐久ビジネス堅牢化技術競技プロジェクト - OWASP (Open Web Application Security Project) 世界最⼤のアプリケーションセキュリティ推進団体 ・OWASP Japan チャプターリーダ ・OWASP Top 10 翻訳チームリーダ ・OWASP Foundation “Best Chapter Leader”, “Best Community Supporter” 受賞（2014） - Hackademy（ハッキングと防御） 「ハッキングと防御」コース - ビジネスブレークスルー⼤学（学⻑ ⼤前研⼀） 「教養としてのサイバーセキュリティ」コース担当講師 - 独⽴⾏政法⼈ IPA 情報セキュリティ10⼤脅威選考委員 - 総務省 サイバーセキュリティ演習 CYDER 推進委員 (c) Riotaro OKADA / Asterisk Research, Inc. 2 創業2006年。企業の事業成⻑に貢献するセキュリティ実践を推進。
- 3. アスタリスク・リサーチ “シフトレフト”実現企業 asteriskresearch.com (c) Riotaro OKADA / Asterisk Research, Inc. 3 Professional Tools 実践段階のQCDを⾼める道具 ・トレーニング ・Eラーニング ・開発環境向けツール(CI/CD) ・トレーニングイベントデザイン ・リスクプロファイルトレーニング ・脅威分析トレーニング Advisory Service 経営陣の⾼速な意思決定を実現するアドバイザリ ・PSIRT/CSIRT Advisory ・DevOps Transformation ・セキュリティ・スコアカード分析 ・エグゼクティブ向けブリーフィング ・CISO, CTO, CROハンズオン Security Test Managed Service セキュリティ脆弱性発⾒から改善に効くサービス ・設計の脅威対応分析 Threat Analysis ・コンポーネント分析 SCA ・ソースコード分析 SAST ・システム脆弱性テスト DAST ・プラットフォームテスト NST
- 5. 本日の構成 0. Prologue - CISOの悩み 1. Where/Why update CISOs ‒ 6 secrets 2. Right Now 今すぐできること (c) Riotaro OKADA / Asterisk Research, Inc. 5
- 6. 0. Prologue – CISOの悩み (c) Riotaro OKADA / Asterisk Research, Inc. 6
- 7. 7 (c) Riotaro OKADA / Asterisk Research, Inc.
- 9. 外部環境：極めて やばいことだらけな コロナ禍 • インフォデミック：偽情報の氾濫 • 詐欺の横行：フィッシング、不正送金、特殊詐欺の横行 • 放置：アップデートしていない脆弱性の悪用事案。VPNが餌 食 • 流出：闇の掲示板サイト、売買サイト • 脅迫：機密情報のランサム脅迫事案、応じない企業のデータ 売買の増加、ダークウェブ • 内部犯行：大規模なプライバシーデータの悪用や金銭窃取 • サプライチェイン：ネットワークアプライアンスのアップ デートが侵害される • まさかMSP: アウトソース先のMSP経由でハッキング • SaaSよお前もか：メジャーで、信頼されているSaaSの設定不 足で機密データ露出、ベンダーの責任は？ • プライバシ：… (c) Riotaro OKADA / Asterisk Research, Inc. 9
- 11. 逆に、やりやす かった変革も あったかも • VPN依存の仕組みの排除 • SMBベースのファイルサーバの廃止 • クラウドサービスへのリプレース • 認証基盤の整備とアカウントの棚卸し • ネットワーク増強 • 情報システム部門の経験値 • サイバー訓練・演習のデジタル化 • オンプレからクラウドへ • サービス調達 (c) Riotaro OKADA / Asterisk Research, Inc. 11
- 12. (c) Riotaro OKADA / Asterisk Research, Inc. 12 https://www.optiv.com/navigating-security-landscape-guide-technologies-and-providers セキュリティサービスはさらにカオス
- 13. SANS CISO MIND MAP SANS CISO MIND MAP で検索 成熟度マトリックスもついている (c) Riotaro OKADA / Asterisk Research, Inc. 17
- 14. 「CISOの2つの難題」 • 攻撃者との戦い • 脅威と攻撃 • サプライチェイン • 事業継続 • 身内とのせめぎあい • ビジネス • コンプライアンス • 内部犯行 • ROI? (c) Riotaro OKADA / Asterisk Research, Inc. 18 参考：「CISOハンドブック」前書き
- 15. 「2つの難題」+ バーンアウト • 不測の作業の増加 • 要求水準の高まり • サポートできない周辺マネージャ • 孤立、つながりの喪失 • 意欲喪失、無力感 • 「新しいテクノロジー」に振り回される (c) Riotaro OKADA / Asterisk Research, Inc. 20
- 16. 1. Where/Why update CISOs (c) Riotaro OKADA / Asterisk Research, Inc. 21
- 17. 「安心して助けを求められる組織を作る」 - ６ Concepts 1. 人間関係を築く 2. 弱さを認める 3. 他者を理解する 4. 他者を承認する 5. 自分でコントロールする 6. 外部の力を借りる (c) Riotaro OKADA / Asterisk Research, Inc. 22 “What I Learnd When I was Burned Out” HBR.org
- 18. Concept 1. 人間関係を築く • 経営陣/社内向けの、赤裸々なレポートと ブリーフィングを定期的に提供すること • 経営陣のリスク理解を促進する • 事業部門のセキュリティ・UXを改善する • 現状のキャパシティの限界への理解を促進する (c) Riotaro OKADA / Asterisk Research, Inc. 23
- 19. 経営陣/社内へのレポート例 • エグゼクティブサマリー • システム脅威モニタリングレポート • 認証基盤 • 企業ネットワーク関連 • 着弾メール • httpトラフィック • データ活⽤と移動の課題 (内部犯⾏) • 企業ウェブサイト • 社内キャンペーン関連 • 訓練、システム移⾏、UX改善 • テクニカルトレンドと⾃社への適⽤ (c) Riotaro OKADA / Asterisk Research, Inc. 24
- 20. Concept 2. 弱さを認める • ベンチマークを使い、現状の対応と成熟度をありのままに見る • 脅威の頻度、事業インパクトを掛け算し、 影響の大きなリスク対応の限界を理解する • 1の会議で周知し、協力と補強の必要性を強調する (c) Riotaro OKADA / Asterisk Research, Inc. 25
- 21. CISOのためのフレームワーク・ピックアップ ()は、ハンドブック掲載箇所 • CIS Security Controls 20(コントロールズ) (2-2-2): 企業インフラ • NIST Cyber Security Framework (2-2-3):重要インフラ • Cybersecurity Capability Maturity Model(C2M2) (5-2-1): ITとOT • NIST SP 800-53：セキュリティ管理策及びプライバシー管理策(5-2-5) • ISO 27001-1: ISMS • PCI DSS (クレジットカード) • OWASP SAMM, BSIMM: 開発セキュリティプラクティス • サイバーセキュリティ経営ガイドライン (12-2) • BIMCOガイドライン：海運業 “情報セキュリティのよりどころが、規定 的なチェックリストから、事業や経営に 応じて適⽤するフレームワークに変わっ ていると⾔える” (CISOハンドブック p78)
- 22. 強いところと弱いところを⾃覚 (c) Riotaro OKADA / Asterisk Research, Inc. 27
- 23. Concept 3. 他者を理解する • 事業継続が人質に取られる事案の急増：リアルタイムな事業理解が不可欠 • セキュリティと事業部門が一緒にすべき仕事がある • 事業部門が欲しいもの、困っていることを一緒に見る • すぐに「ノー」というのをやめる • セキュリティUXを改善する (c) Riotaro OKADA / Asterisk Research, Inc. 29
- 24. チャット系 グループウェア オンライン会議系 社内SNS インストール型 総合 ナレッジ共有 日報 社内報 総合 ワークフロー 総合 エンジニア コンサル マーケティング プラットフォーム型 Webサイト クラウドソーシング型 総合 クリエイティブ テスター・入力 翻訳・ライティング・編集 オンラインセミナー・イベント 人事 コミュニケーション 営業 周辺ツール ホワイトボード ノーコード iPaaS HP ECサイト フォーム ハード系 MA / CRMツール 名刺管理 メール 商談関連 フォームアタック D セールス支援 顧客管理 セールス セールス HR系 人事評価 エンゲージメント向上 エンゲージメント測定ツール 日程調整 デザイン 採用関連 人事関連 オンライン1on1 オンライン福利厚生 リモート人材活用 エージェント型 エンジニア 2021/02/08 現在 (c) Riotaro OKADA / Asterisk Research, Inc. ノーコード︖ローコード︖連携︖
- 25. (c) Riotaro OKADA / Asterisk Research, Inc. 31 セキュリティは⾮機能？ endpoint endpoint No, It’s 横断的機能
- 26. 「横断的機能」の 基盤とベースライン • 認証と認可 • API機能 • 連携 • コード • データ保存 • モニタリングと運用 • セキュリティテストのあり方 (c) Riotaro OKADA / Asterisk Research, Inc. 32
- 27. Concept 4. 自分でコントロールする • コントロールできることを増やすために、やり方を変える • テクノロジーの更新：数年動かしていないテクノロジーを変えてみる • セキュリティと事業部門が、対立をやめて協働する • 自動化/仕組み化は、OODAベースで柔軟に推進する （不測の作業を減らす…） (c) Riotaro OKADA / Asterisk Research, Inc. 33
- 28. IDENTIFY: 脅威は変化している->対策は︖ 1. マルウェア 2. ウェブの仕組みを利⽤した攻撃 3. フィッシング 4. ウェブアプリケーションへの攻撃 5. スパム 6. DDoS 7. Id盗難 8. データ漏洩 9. 内部脅威 10. ボットネット 11. 物理的な操作/損害/盗難/紛失 12. 情報漏洩 13. ランサムウェア 14. サイバースパイ 15. クリプトジャッキング (c) Riotaro OKADA / Asterisk Research, Inc. 34
- 29. DETECT&RESPONCE: 気が付くスピードは？ 攻撃者の準備と実⾏に関わる⼿段の部分 を構造化して⾒られるフレームワーク 攻撃者は、まずどこを⾒るのか 段階的にどんなツール・⼿法を使うか ラテラルムーブメントはどんな⼿法か 情報取得・改ざんのゴール (c) Riotaro OKADA / Asterisk Research, Inc. 35 https://mitre-attack.github.io/attack-navigator/enterprise/ * ⾚いのは、OWASP Top 10に関連する脆弱性
- 30. セキュリティコンセプトとテクノロジの更新 AI/ML マイクロ サービス Cloud First 統合 Software Defined Endpoint モニタリ ング 脅威 (c) Riotaro OKADA / Asterisk Research, Inc. 36 ？
- 31. 「新潮流」？ 「必要なものに落ち着い て取り組む」で良い 認証認可と違反の管理： • Zero Trust セキュリティインシデント対応の自動化： • SOAR：Security Orchestration, Automation and Response ネットワークとネットワークセキュリティの統合： • SASE Secure Access Service Edge 内部の異常行動検知： • UEBA(User and Entity Behavior Analytics)
- 32. Concept 5. 外部の力を借りる • 対策の技術は更新されている • もっと効果的で安価な方法がある場合も多い • コンプライアンスも変化している • 脅威情報は外部から入手する（事業面、技術面） • ぼくが考えたさいきょうの…orz • 施策の実現に外部を巻き込む • 外部を使うと、ちゃんと進む（時間が一番のコスト) (c) Riotaro OKADA / Asterisk Research, Inc. 38
- 33. 最後に Concept 6. 他者を承認する • CISOチームは孤立したら終わる • できていないことだけを扱うのをやめる • できていることをとりあげ、感謝し賞賛する • いいね！ (c) Riotaro OKADA / Asterisk Research, Inc. 40
- 34. Closing: Right Now? (c) Riotaro OKADA / Asterisk Research, Inc. 41
- 36. 週明けすぐにシフトレフト • 定期的なレポートを早速開始。最初は1枚ペラでもアウトプット！ • ITmedia Security Weekで得たアップデートを共有 • 提供しているレポートの見直し：ポジティブ＆リアル化 • 施策の全体像と特徴をブレストしよう • MIND MAPPING • 手が届いていない問題 • セキュリティのUXが良くないもの (c) Riotaro OKADA / Asterisk Research, Inc. 43
- 37. 半年以内に: ぐぐっとシフトレフト • 事業部門に歩み寄る • 頻度の高い雑談、 UX改善や、事業適用について意見交換を行う • 協力をあおぐ • 現状のキャパシティの限界と、改善の機会について共有 • 3年以上そのままになっている施策の棚卸しと更新検討 • PDCAで計画的に必要なものを見つけ（計画と実行） • 実施はOODAで（観察と実行） • スコアカードでアセスメント (c) Riotaro OKADA / Asterisk Research, Inc. 44
- 38. 参画プロジェクト (c) Riotaro OKADA / Asterisk Research, Inc. 45
- 39. riotaro@rsrch.jp / follow: @okdt (c) Riotaro OKADA / Asterisk Research, Inc. 46 asteriskresearch.com