Skip to main content
UploadLanguage (EN)Support
BusinessMobileSocial MediaMarketingTechnologyArt & PhotosCareerDesignEducationPresentations & Public SpeakingGovernment & NonprofitHealthcareInternetLawLeadership & ManagementAutomotiveEngineeringSoftwareRecruiting & HRRetailSalesServicesScienceSmall Business & EntrepreneurshipFoodEnvironmentEconomy & FinanceData & AnalyticsInvestor RelationsSportsSpiritualNews & PoliticsTravelSelf ImprovementReal EstateEntertainment & HumorHealth & MedicineDevices & HardwareLifestyle
Recruit Technologies, profile picture
Uploaded byRecruit Technologies
PDF, PPTX5,319 views

リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント

2016/12/01 第3回 JC3ワークショップでの、猪野の講演資料になります

Technology◦
Download as PDF, PPTX
リクルートにおけるセキュリティ施策方針と CSIRT組織運営のポイント 猪野 裕司 グループマネジャー インシデントレスポンスグループ サイバーセキュリティエンジニアリング部 株式会社リクルートテクノロジーズ
(C) Recruit Technologies Co.,Ltd. All rights reserved. 自己紹介 2 猪野 裕司（いの ゆうじ） 株式会社リクルートテクノロジーズ 大手SI子会社にてセールス、製品サポートなどの傍ら、セキュリティに 興味を持ち始め、CTFに参加、勉強会の開催などを実施。 2011年に海外駐在をきっかけに別のキャリアパスを歩み始めたはずが、 帰国をきっかけにセキュリティ界隈に出戻り。やっぱり、セキュリティが好き！ 2016年2月リクルートテクノロジーズに入社、10月マネージャー着任。 Hardening Value Chain 優勝チームリーダー、ハンドル名はyumano。 共著「実践CSIRT現場で使えるセキュリティ事故対応」 氏名 所属 略歴
(C) Recruit Technologies Co.,Ltd. All rights reserved. 目次 3 2. Recruit-CSIRTの人材方針 3. Recruit-CSIRTのご紹介 5. まとめ 4. Recruit-CSIRTの構想 1. Recruitについて
(C) Recruit Technologies Co.,Ltd. All rights reserved. 目次 4 2. Recruit-CSIRTの人材方針 3. Recruit-CSIRTのご紹介 5. まとめ 4. Recruit-CSIRTの構想 1. Recruitについて
(C) Recruit Technologies Co.,Ltd. All rights reserved. 5 Recruitについて -ビジネスモデル- 世界中の生活者と産業界に「まだ、ここにない、出会い。」を提供。 マッチング カスタマー (一般ユーザー) クライアント (サービス提供企業)
(C) Recruit Technologies Co.,Ltd. All rights reserved. ライフイベント領域 進学 就職 結婚 転職 住宅購入 車購入 出産/育児 旅行 IT/トレンド 生活/地域情報 グルメ・美容 ライフスタイル領域 選択・意思決定 を支援する情報サービスの提供 「まだ、ここにない、出会い。」を実現する Recruitについて -ビジネスモデル-
(C) Recruit Technologies Co.,Ltd. All rights reserved. 7 Recruitについて -ソリューションの変化- 紙からネット への展開が促進。 ITの進化とともにソリューションの進化も求められる。 PC 紙 スマートデバイス
(C) Recruit Technologies Co.,Ltd. All rights reserved. 8 Recruitについて -構成- リクルートグループは複数の事業会社、機能会社から構成。 リクルートホールディングス リクルートキャリア リクルート住まいカンパニー リクルートライフスタイル リクルートジョブズ リクルートスタッフィング リクルートマーケティングパートナーズ スタッフサービス・ホールディングス リクルートマネジメントソリューションズ リクルートテクノロジーズ リクルートアドミニストレーション リクルートコミュニケーションズ 主要な事業会社 主要な機能会社 ビッグデータ機能部門 UI設計/SEO部門 テクノロジーR&D部門 事業・社内IT推進部門 インフラ部門 大規模プロジェクト推進部門
(C) Recruit Technologies Co.,Ltd. All rights reserved. 目次 9 2. Recruit-CSIRTの人材方針 3. Recruit-CSIRTのご紹介 5. まとめ 4. Recruit-CSIRTの構想 1. Recruitについて
(C) Recruit Technologies Co.,Ltd. All rights reserved. ３. Recruitのセキュリティ人材方針 –３つの役割- 10 セキュリティ人材を求められるスキルが異なる３つの役割に分割。 それぞれに最適な人材を採用することを方針としている 管 理 者 実 務 者 ①経営との懸け橋 ② IT Security プロマネ ③ セキュリティ 技術者（CSIRT/SOC） 取 締 役
(C) Recruit Technologies Co.,Ltd. All rights reserved. ３. Recruit-CSIRTの人材方針 –サイバー攻撃の急増- 11 近年、サイバー攻撃が激増。一昨年から約4倍、昨年から約2倍に。 サイバー攻撃の数 128.8億 2013年 256.6億 2014年 2倍 545.1億 2015年 出典：ITPro (上) http://itpro.nikkeibp.co.jp/atcl/column/14/ 346926/030700469/ (下) http://itpro.nikkeibp.co.jp/atcl/news/15/ 021800582/
(C) Recruit Technologies Co.,Ltd. All rights reserved. ３. Recruit-CSIRTの人材方針 –未知の脅威の急増- 12 未知の脅威も急増。 もはや事前のセキュリティ対策だけでは対応できない状況。 出典：Gartner Security Summit 2015 (Webroot)
(C) Recruit Technologies Co.,Ltd. All rights reserved. ３. Recruit-CSIRTの人材方針 –人材不足- 13 セキュリティ人材8万人の不足に対し、1年に輩出される人材は0.1万人。 年々人材不足の加速が懸念される。 出典：「情報セキュリティ人材の育成に関する基礎調査」報告書について(IPA) http://www.ipa.go.jp/security/fy23/reports/jinzai/ 1年に輩出される セキュリティ経験を有する人材 0.1万/年 26.5 万 現在 8万 不足 必要人数 スキル 不足 15.9 万 出典：情報セキュリティ人材不足数等に関する追加分析について（概要）(IPA) http://www.ipa.go.jp/files/000040646.pdf
(C) Recruit Technologies Co.,Ltd. All rights reserved. ３. Recruit-CSIRTの人材方針 –人材不足の加速- 14 東京オリンピックに向け、セキュリティ人材の取り合いが 加速する可能性が高い 出典：読売ICTフォーラム 2015 http://www.yomiuri.co.jp/project/ictforum2015/lecture_u02.html
(C) Recruit Technologies Co.,Ltd. All rights reserved. ３. Recruit-CSIRTの人材方針 –人材の内製化- 15 サイバー攻撃の増加に耐えられるよう、セキュリティ人材を確保/教育し、 CSIRT活動の核を内製にて行うことを目指している。 世 間 サイバー攻撃 増 セキュリティ人材 少 方 針 CSIRT活動の核について、 内製にて実施できるよう、セキュリティ人材をそろえる。
(C) Recruit Technologies Co.,Ltd. All rights reserved. 目次 16 2. Recruit-CSIRTの人材方針 3. Recruit-CSIRTのご紹介 5. まとめ 4. Recruit-CSIRTの構想 1. Recruitについて
(C) Recruit Technologies Co.,Ltd. All rights reserved. 2. Recruit-CSIRTのご紹介 –構成- 17 Recruit-CSIRTは2015年4月に設立された組織。 リクルートホールディングス(RHD)、リクルートテクノロジーズ(RTC)、リクルート アドミニストレーション(RAD)により構成。 外部セキュリティ組織 内部統制担当者/ システムセキュリティリーダ A社 B社 C社 ・・・ RHD＋RTC＋RAD グループ会社 12社
(C) Recruit Technologies Co.,Ltd. All rights reserved. 2. Recruit-CSIRTのご紹介 –RTC内組織- 18 SOC QMG IRG CSIRT 技術部隊 IRG Incident Response Group QMG Quality Management Group SOC Security Operation Center サイバー攻撃への対応をリード ・事故発生時の対応支援 ・外部関連機関との連携 ・早期警戒(脅威情報の収集および対策検討) ・Recruit-CSIRTの運営、各社展開 被害最小化 未然防止早期検知 サイバー攻撃を早期検知し、被害拡大を防止 ・グループ共通インフラのセキュリティ監視 ・未知マルウェアの監視、解析、一次対応 ・被害発生時のフォレンジック (ネットワークおよびPC) ・内部不正のモニタリング 平時からセキュリティを向上、被害を未然に防止 ・脆弱性診断、開発者教育などのセキュア開発支援 ・セキュリティパッチの情報収集および各社展開 ・システム運用の簡易監査
(C) Recruit Technologies Co.,Ltd. All rights reserved. 2013.8 RTC内CSIRT設立 2014.6 NCA加盟 2014.12 鴨志田入社 2015.4 Recruit-CSIRTとして再出発 2015.4 マルウェアアナリスト入社 2015.4 外部コンサル着任 2016.4 フォレンジックアナリスト着任 2015.9 マルウェアアナリスト入社 2016.2 インシデントハンドラ入社 2016.3 アプリセキュリティエンジニア入社 準備期間 ひとり CSIRT ふたり CSIRT みんなでCSIRT (個人プレー中心) 2016.6 外部ホワイトハッカー着任 2. Recruit-CSIRTのご紹介 –IRG沿革- 19 IRG Incident Response Group スタート時点はひとりCSIRTから始まったが、中途採用を中心に優秀なメンバ ーを集めながら1年強で高度な技術を持つグループCSIRTを構築 2016.6 FIRST加盟 2016.10 ホワイトハッカー着任 高度組織化 (チームプレー)
(C) Recruit Technologies Co.,Ltd. All rights reserved. 2 6 3 7 4 85 1 2. Recruit-CSIRTのご紹介 –IRGメンバ- 20 IRG Incident Response Group 組織マネージャ IRG工数 IRG工数 マルウェア アナリスト IRG工数 マルウェア アナリスト IRG工数 フォレンジック アナリスト IRG工数 ホワイトハッカー IRG工数 外部 コンサルタント IRG工数 外部 ホワイトハッカー IRG工数 アプリセキュリティ エンジニア
(C) Recruit Technologies Co.,Ltd. All rights reserved. 2. Recruit-CSIRTのご紹介 –目的- 21 各社を横串での対応が可能となるRecruit-CSIRTの構築により、 早期警戒及びより迅速な対応が可能に。 CSIRTがない場合 CSIRTがある場合 外部セキュリティ組織 A社 B社 C社 1 2 3 1 外部セキュリティ組織 A社 B社 C社 ・・・ 1 2 3 3 3 外部組織からの情報収集が確実に行えず、 早期警戒が不十分となる 1 外部セキュリティ組織からの情報収集を確実 に実施可能 1 各社がインシデント対応要員を抱える余裕 がなく、迅速に対応できない 2 インシデント対応可能な技術要員が各社横 断的に対応可能 2 インシデント情報が各社横断的に共有され ず、インシデントからの学習を生かしきれない 3 CSIRTが対応することで、各社で起きたイン シデント情報の共有/早期警戒が可能 3
(C) Recruit Technologies Co.,Ltd. All rights reserved. 目次 22 2. Recruit-CSIRTの人材方針 3. Recruit-CSIRTのご紹介 5. まとめ 4. Recruit-CSIRTの構想 1. Recruitについて
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –全体像- 23 どのようなCSIRTでありたいかを重視。 目標は、各社から感謝、経営から信頼される技術力の高いCSIRTの構築。 CSIRT 経営各社 1 2 3 from to fromto 感謝 信頼 技術力
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –あるべき姿- 24 CSIRT 技術力 経営各社 1 2 3 技術力のある組織の構築は、3Stepで推進。 Step 2 モチベート Step 1 採用/育成 Step 3 技術力
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –あるべき姿 (育成)- 25 技術力を持つ人材の調達および育成により、 CSIRTを支える人材の高度化を図る。 CSIRT 経営各社 1 2 3 Step 2 モチベート Step 1 採用/育成 Step 3 技術力 採用する 育成する 技術力の高いCSIRTであることを アピールすることで、高度な技術力を 持つ人材を集める セキュリティトレーニングの受講(費用は 会社負担)や、CTFへの参加を推奨し、 技術力を培う
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –あるべき姿 (モチベート)- 26 メンバの技術力を理解・評価。 更に、チーム/個々のプレゼンス向上・社会貢献の実感を促進。 CSIRT 経営各社 1 2 3 Step 2 モチベート Step 1 採用/育成 Step 3 技術力 社内 社外 1 2 3 1 メンバを理解・評価 • いち専門家として意見を尊重 • メンバの「スゴさ」を理解し、評価 2 社内からの評価 • 社内にて貢献度/技術力の高さを アピールし、高評価を獲得 3 社外アピール • 積極的にメディア寄稿やセミナー講演の 機会を提供
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –あるべき姿 (技術力)- 27 インシデント対応の全プロセスを自社内で実施。 CSIRT 経営各社 1 2 3 再発防止対応検知 初動対応 • 顧客問い合わせ • 従業員による報告 • システム/監視 • インシデントの共有 • 教育 • 検知内容の精査 • 暫定対応 • 影響箇所の特定 • 証拠保全 • ログ収集 • 原因・被害調査 • 恒久対策 • バックアップ復元 全プロセスを自社内にて対応 インシデント対応プロセス(例) Step 2 モチベート Step 1 採用/育成 Step 3 技術力
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –各社との関係- 28 CSIRT 経営各社 感謝 1 2 3 各社から感謝される組織の構築は、3Stepで推進。 Step 2 ホスピタリティ Step 1 非強制 Step 3 感謝
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –各社との関係 (非強制)- 29 ルールで強制すると意図せず上下の関係が構築。 強制しないことで、相談しやすい環境を整備。 CSIRT 経営各社 1 2 3 Step 2 ホスピタリティ Step 1 非強制 Step 3 感謝 ルールで強制した場合 ルールで強制しない場合 各社がCSIRTに管理されている意識を持ち、 報告すると各社がインシデント発生について 責められると考える可能性がある 各社がCSIRTに対して仲間意識を持ち、 技術支援が必要な際に、積極的に相談 してもらえる A社 B社 … 対等関係 A社 B社 … 上下関係
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –各社との関係 (ホスピタリティ)- 30 各社からインシデント対応支援を要請された際は いつでもどこでも対応。 CSIRT 経営各社 1 2 3 Step 2 ホスピタリティ Step 1 非強制 Step 3 感謝 A社 A社顧客 いつでも支援 どこでも支援 インシデント対応支援を要請された際は、 平日/休日または昼夜問わず対応にあたる インシデント対応支援を要請された際は、 グループA社だけでなく、その顧客先へも出 向いて対応にあたる 10:00 PM AM 19:00 Mon Tue Wed Thu Fri Sat San
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –各社との関係 (感謝)- 31 CSIRTへの技術支援の感謝により、 インシデント発生時の頼れる存在の地位を確立。 CSIRTメンバにとってのモチベーションにもつながる。 CSIRT 経営各社 1 2 3 Step 2 ホスピタリティ Step 1 非強制 Step 3 感謝 技術支援 要請 技術支援 インシデント 収束 CSIRTへの 感謝 インシデント 発生 各社 リピート
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –経営との関係- 32 CSIRT 経営 信頼 各社 1 2 3 経営から信頼される組織の構築は、3Stepで推進。 Step 2 実績 Step 1 専門知識 Step 3 信頼
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –経営との関係 (専門知識)- 33 CSIRT 経営各社 1 2 3 CSIRTが技術的見解を示すことで、 経営が発生事象を把握の上、判断を下すことが可能。 Step 2 実績 Step 1 専門知識 Step 3 信頼 CSIRTがない場合 CSIRTがある場合 経営 各社 エスカレーション ？ 経営 各社 エスカレーション ! 判断要素 各社からのエスカレーション内容が専門的で あったり、中身が欠損するなどし、経営にとっ ては事象の危険度や影響範囲が不明であ り、経営判断を下すことが困難 CSIRTが現場の状況を把握した上で、過去の経験を 交えて技術的な観点から、事象の危険度や影響範囲 などの判断要素を経営に提供するため、経営判断を 下しやすい
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –経営との関係 (実績)- 34 リスクの高低に関わらず、CSIRTが対応した実績を 月次で報告をするなど、経営へCSIRTの意義を実感させる。 CSIRT 経営各社 1 2 3 Step 2 実績 Step 1 専門知識 Step 3 信頼 リスクレベルがあまり高くないインシデントについ ては、経営に把握してもらう機会がないため、 CSIRTの意義を感じてもらいにくい。 経営 CSIRT 各社 連携・対応 リスクレベルが高いインシデントについては、 経営にエスカレーションされるため、CSIRT の意義を感じてもらいやすい。 経営 CSIRT 各社 連携・対応 把握 エスカレーション インシデント数 (イメージ) リスクレベル中低のインシデントリスクレベル高のインシデント
(C) Recruit Technologies Co.,Ltd. All rights reserved. ４. Recruit-CSIRTの構想 –経営との関係 (信頼)- 35 厚い信頼により、CSIRTを維持するための 人・資金を出してもらい、CSIRT運用を円滑に回すことが可能。 CSIRT 経営各社 1 2 3 Step 2 実績 Step 1 専門知識 Step 3 信頼 CSIRT運用 人 資金
(C) Recruit Technologies Co.,Ltd. All rights reserved. 目次 36 2. Recruit-CSIRTの人材方針 3. Recruit-CSIRTのご紹介 5. まとめ 4. Recruit-CSIRTの構想 1. Recruitについて
(C) Recruit Technologies Co.,Ltd. All rights reserved. ５. まとめ 37 「どのようなCSIRTでありたいか」とともに、それを支える強い思いが最重要。 思い CSIRTの方針 セキュリティエンジニアが 活躍/成長できる場を 大切にしたい 技術力の高い CSIRTをつくる