2017/07/04
講演録
6月16日開催
![](https://risk.ismcdn.jp/mwimgs/1/1/670m/img_11c1298bc2dcb9509403357a32d290fc82785.jpg)
6月16日、リスク対策.comは独立行政法人と特殊法人の情報セキュリティ担当者向けに、サイバーセキュリティ対策セミナー(共催:TIS株式会社)を開催した。
TIS プラットフォームサービス事業部 エンタープライズセキュリティサービス部 シニアエキスパートの三木基司氏は、「早めにCSIRTを立ち上げた企業はそれから2~3年は経っていて、これからは構築から運用に変わりつつある。CSIRTは立ち上げてからが大変だ。これから作るところも運用を視野に入れてほしい」と述べた。
![](https://risk.ismcdn.jp/mwimgs/9/8/670m/img_986ae072d58af88f4bc2e7e39c1eaf192439183.jpg)
日本シーサート(CSIRT)協議会の加盟社も2014~15のわずか1年間で59から95に一気に増えている。情報処理推進機構(IPA)の調査で量的・質的充足度で約5割が「やや不足している」と回答し、しかも経営層ほど「十分であると答える傾向が高いことから、三木氏は「ギャップが大きいのは、現場から上に上がらない、封じ込められている意見が多いのではないか」と分析した。
また、運用には「大きなCSIRT」と「小さなCSIRT」が必要と指摘。「インシデント防止には情報収集、脆弱性管理、啓蒙のサイクルを行う小回りなCSIRTがいい。しかしインシデント発生時は全社横断的な組織である大きなCSIRTで対策検討、影響調査、対策実施、再発防止、対外公表を行わないといけない。小さなものがないと未然防止が図れないし、大きなものがないと万が一の対応ができない」とその理由を説明した。
また、日々の判断が求められる脆弱性対応にはWho(誰が)、Whom(誰に)、When(いつまでに)、What(何を)の4Wと判断基準の数値を決めることの重要性を説き、「誰が判断を行い、誰に依頼を行うのか、いつまでに行うのか、何をするのか。この役割分担と行動の判断基準の明確化をインシデント発生前に行うことが絶対必要」と述べた。
![](https://risk.ismcdn.jp/mwimgs/a/3/670m/img_a33aa56b2123d85c4e7c41e54c746aa11586117.jpg)
独立行政法人情報処理推進機構(IPA)技術本部セキュリティセンター 情報セキュリティ技術ラボラトリー J-CRAT(サイバーレスキュー隊)副隊長の伊東宏明氏は、IPAが1月に発表した2017年の10大脅威のランキングで、個人向け・組織向けとも2位が「ランサムウェアによる被害」だったことを取り上げ、「本年5月にはWannaCry感染の報道もあり、一層注目度は上がったが、すでに問題は以前から顕在化していた」と指摘。また2016年から日本語表記のランサムウェアの被害が増え、同年は日本語ランサムウェアの検出件数が前年比の9.8倍にまでなっていることも説明した。
標的型攻撃の特徴について伊東氏は、「ウイルスを添付したメールを送付し、パソコン1台を感染させ、そこから組織内のネットワークを使い、他のパソコンやサーバーにさまざまな形で広がる」と指摘。感染については、何年も前から気づかないケースのほか、複数のマルウェアに感染していることも多いと紹介。標的型攻撃のメールに関わらず全体の傾向としては「請求書や宅配便の通知を装った日本語でのばらまき型メールが急増している」と述べた。2015年から2016年に行われた、とある標的型攻撃のキャンペーンでは企業メール等が不正に利用されているケースが94%と多く、乗っ取られたアドレスが攻撃に使われているとした。
攻撃への備えとしては「CSIRTが外部組織とのコンタクト、自組織のシステム構成、システム運用・保守・維持管理契約を把握しておくことが重要」と指摘。外部組織とのコンタクトでは感染嫌疑の段階での相談先、攻撃が確定した時の支援依頼先と報告先、被害発生時の情報共有を決めておくことの重要性を強調。常時、自組織のシステム構成について、PC構成やウイルス対策ソフト、ネットワーク構成、プロキシサーバー構成、ファイヤーウォールといったことを整理すべきとした。
また失敗に陥りやすいCSIRTの例として、担当者や責任者がそもそも脅威把握やBCPに疎い、運用を考えていない設計のほか、「機器導入や運用の効率化に資金をかけずに人力に頼る、外部セキュリティベンダーに任せっきりで自分たちで考えず、セカンドオピニオンも得ようとしないのは危険だ」と述べた。
この日、TIS公共事業部からは、CSIRTの運用を効率的にサポートする「CSIRTクラウド運用プラットフォーム」(クラウドサービス)も紹介された。同サービスは、この日のセミナー参加者である独立行政法人と特殊法人に向け、民間企業に先駆けて紹介されたもの。
公共市場へのCSIRTの構築及び運用案件を多く抱える同事業部では、運用定着のためのコンサルティングの引き合いが増えていることもあり、コンサルティングフローに沿った運用を補完する「CSIRTクラウド運用プラットフォーム」をリリース。
CSIRTの効率的な運用を目的としたサービスは数少ないため、運用定着に課題を抱える組織にとっては、今後システムの普及にともない、より強固なCSIRT運用体制が築かれることが期待される。
(了)
- keyword
- サイバーセキュリティ
- CSIRT
- ランサムウェア
講演録の他の記事
おすすめ記事
-
-
-
3線モデルで浸透するリスクマネジメントコンプライアンス・ハンドブックで従業員意識も高まる【徹底解説】パーソルグループのERM
「はたらいて、笑おう。」をグループビジョンとして掲げ、総合人材サービス事業を展開するパーソルグループでは、2020年のグループ経営体制の刷新を契機にリスクマネジメント活動を強化している。ISO31000やCOSO-ERMを参考にしながら、独自にリスクマネジメントの体制を整備。現場の業務執行部門(第1線)、ITや人事など管理部門(第2線)、内部監査部門(第3線)でリスクマネジメントを推進する3線モデルを確立した。実際にリスクマネジメント活動で使っているテンプレートとともに、同社の活動を紹介する。
2024/07/23
-
インシデントの第一報を迅速共有システム化で迷い払拭
変圧器やリアクタなどの電子部品や電子化学材料を製造・販売するタムラ製作所は、インシデントの報告システム「アラームエスカレーション」を整備し、素早い情報の伝達、収集、共有に努めている。2006年、当時社長だった田村直樹氏がリードして動き出した取り組み。CSRの一環でスタートした。
2024/07/23
-
「お困りごと」の傾聴からはじまるサプライヤーBCM支援
ブレーキシステムの開発、製造を手掛けるアドヴィックスは、サプライヤーを訪ね、丁寧に話しを聞くことからはじまる「BCM寄り添い活動」を2022年度から展開している。支援するのは小規模で経営体力が限られるサプライヤー。「本当に意味のある取り組みは何か」を考えながら進めている。
2024/07/22
-
-
危機管理担当者が知っておくべきハラスメントの動向業務上の指導とパワハラの違いを知る
5月17日に厚生労働省から発表された「職場のハラスメントに関する実態調査報告書」によると、従業員がパワハラやセクハラを受けていると認識した後の勤務先の対応として、パワハラでは約53%、セクハラでは約43%が「特に何もしなかった」と回答。相談された企業の対応に疑問を投げかける結果となった。企業の危機管理担当者も知っておくべきハラスメントのポイントについて、旬報法律事務所の新村響子弁護士に聞いた。
2024/07/18
-
基本解説 Q&A 線状降水帯とは何か?集中豪雨の3分の2を占める日本特有の現象
6月21日、気象庁が今年初の線状降水帯の発生を発表した。短時間で大量の激しい雨を降らせる線状降水帯は、土砂災害発生を経て、被害を甚大化させる。気象庁では今シーズンから、半日前の発生予測のエリアを細分化し、対応を促す。線状降水帯研究の第一人者である気象庁気象研究所の加藤輝之氏に、研究の最前線を聞いた。
2024/07/17
-
-
災害リスクへの対策が後回しになっている円滑なコミュニケーション対策を
目を向けるべきOTリスクは情報セキュリティーのほかにもさまざま。故障や不具合といった往年のリスクへの対策も万全ではない。特に、災害時の素早い復旧に向けた備えなどは後回しになっているという。ガートナージャパン・リサーチ&アドバイザリ部門の山本琢磨氏に、OTの課題を聞いた。
2024/07/16
※スパム投稿防止のためコメントは編集部の承認制となっておりますが、いただいたコメントは原則、すべて掲載いたします。
※個人情報は入力しないようご注意ください。
» パスワードをお忘れの方