なぜ今、セキュリティ人材の育成が叫ばれているのか

グローバルセキュリティエキスパート株式会社
なぜ今、セキュリティ人材の育成が
こんなにも叫ばれているのだろうか？
Copyright (c) GLOBAL SECURITY EXPERTS, All Rights Reserved.
セキュリティ人材育成の必要性
0

利便性を損なわずに
便利で安心・安全に
ITを活用するための手段
• 後から付け足す
• 気力と根性で頑張る
• とりあえずツールを入れる
2

4
必要以上に恐れる
大事なことは
軽く見る
Too Muchな対策を
して無駄遣い
対策不足で攻撃

本日のアジェンダ
Copyright (c) GLOBAL SECURITY EXPERTS, All Rights Reserved. 5
◼ サイバーセキュリティの要素
◼ セキュリティ人材とは
◼ セキュリティ人材になる！

サイバー
セキュリティ
の要素
◼ サイバーセキュリティの
要素
• 我々の目的
• 脅威の種類
• 攻撃の種類
• 攻撃されるモノの種類
• 攻撃者の種類
サイバー
セキュリティ
の要素

我々の目的
Confidentiality
機密性の維持
Availability
可用性の維持
Integrity
完全性の維持
許可されている人だけが見ることができる
✓ 知的財産・営業秘密、個人情報
✓ 認証情報
勝手に変更されていないことが確認できる
✓ 注文票、研究データ、ログの真正性
✓ 端末が勝手に攻撃に加担させられていない
✓ 設定値の改ざんによる機械の誤動作はない
使いたいときに使える
✓ いつでもアクセスできる
✓ サービス停止による損害が発生しない

脅威の種類
脅威
人的
脅威
環境的
脅威
故意
偶発的
災害
（地震、火事、台風、洪水等）

攻撃の種類
脆弱性を悪用
設定の不備を悪用
のぞき見
メールの添付に
マルウェア
DDoS
ソーシャル
エンジニアリング

攻撃されるモノの種類

不正侵入検知・防止
サーバ
DMZ
公開Webサーバ
SMTP,DNS等
その他公開サーバ
Firewall
今まで
サーバに対する攻撃、
社外から直接侵入を試
みる攻撃
イントラネットイントラネット
File Server
認証サーバ（Active Directoryなど）
開発サーバ従業員PC
無線LAN AP
プリンタースマート
タブレット
現在
Firewallで許可されて
いる通信（メールな
ど）を使用して内部に
入り込む攻撃
社内DB
攻撃されるモノの種類

攻撃者の種類
愉快犯
世間を騒がせるため
多くのPCを感染することを
目的にウィルスを作成し世
間を騒がせて楽しむ
愉快犯の事例：Melissa
ワーム、I Love Youワーム
サイバークライム
金銭目的の攻撃（詐欺
犯等）
例：オンラインバンキングを
悪用した不正送金、クーポン
搾取のための不正ログイン攻
撃等ハクティビスト
思想犯。自らの主義主
張のために攻撃を行う
例：Anonymousを名乗るグ
ループによるSONYへの攻撃。
サイバーウォー
国家間のサイバー攻撃。
いわゆるサイバー空間
上の戦争
例：Stuxnetによるイラン原子
力発電所の遠心分離器への攻
撃
サイバー
エスピオナージ
産業スパイ。特定の企
業の機密情報を搾取す
るために行う
例：三菱重工が社内情報を搾
取された事件、衆議院議員の
パスワード漏洩事件

サイバーセキュリティの要素：まとめ
サイバーセキュリティは事業継続の課題
大前提：生活の変化
インターネットは人々のライフラインに！
数少ないサーバではなくネットワークにつながるものすべて
どこに脅威があり、どんな攻撃があるのか理解
我々の目的は何なのか
脅威の種類・攻撃の種類
攻撃ターゲットも増加
愉快犯、思想犯、金儲け（ビジネス）、国家間の戦争
攻撃者の目的は多様化

セキュリティ
人材とは
◼ 今、サイバーの世界では何
が起きているのか
• セキュリティ人材不
足って本当ですか？
• セキュリティ人材っ
て何する人？
セキュリティ
人材とは

16
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights
Reserved.

20万人不足の元ネタ
4.2
万人
23.9万人 13.2
万人
出典元：IT人材の最新動向と将来推計に関する調査結果（平成28年6月） by 経済産業省
http://www.meti.go.jp/policy/it_policy/jinzai/27FY/ITjinzai_report_summary.pdf
4.9
万人
27.3万人 16.1万人
5.6
万人
31.5万人 19.3万人
IT企業の
セキュリティ人材
ユーザ企業の
不足している
2016年
41.3万人
2018年
（予測）
48.4万人
2020年
（予測）
56.4万人
IT人材の最新動向と将来推計に関する調査結果
（2016年）

18
Reserved.

19
Reserved.

本当は不足していない？？
2018年10月9日（火）
日本経済新聞
『セキュリティー人材、
消えた「19万人不足」』

事件がないから
セキュリティ人材は不要
AIで自動化できたから
セキュリティ人材は不要
外部に委託しているから
内部にセキュリティ人材は不要

事件が
ないから
AIで
自動化
外部に
委託

23
Reserved.

人が足りない
サイバーセキュリティに関する金融機関の取り組みと改善に向けたポイント
ーアンケート（2017年4月）調査結果－
by 日本銀行金融機構局 2017年10月
https://www.boj.or.jp/research/brp/fsr/data/fsrb171016.pdf

必要な人材の規模が分からない
サイバーセキュリティに関する金融機関の取り組みと改善に向けたポイント
ーアンケート（2017年4月）調査結果－
by 日本銀行金融機構局 2017年10月
https://www.boj.or.jp/research/brp/fsr/data/fsrb171016.pdf

金融システムレポート別冊シリーズ
日本銀行金融機構局
2020年1月発表
402の
当座預金取引先金融機関が
回答

サイバーセキュリティ関連の経費は増加傾向
サイバー保険活用は3割強
サイバーセキュリティ専門役員が
いる組織（CISOなど）
IT所掌役員がいる組織
インシデント対応専門組織
（CSIRT等）がある
監視・分析を行う組織（SOC
等）がある（含外部委託）
2017年3.6%から2019年8.2%
に増加
2017年73.5%から2019年76.6
に増加
2017年2割から2019年6割に
増加
2017年4割から2019年6割に
増加

十分確保
できている
2017年 12.4%
2019年 23.9%
十分確保
できていない
2017年 65.2%
2019年 59%
サイバーセキュリティに係る企画要員が
外部人材で確保
できている
2017年 22.4%
2019年 17.2%

29
Reserved.

30
Reserved.

セキュリティ人材不足：まとめ
1. どのような業務にどんなスキルの人が必要なのかわからな
い
2. わからないから必要な人材の育成・演習プランが作れない
3. わからないから人材の適応（評価基準、待遇改善）ができ
ない
必要なセキュリティ人材がわからない
1. 外部委託できること・できないことが分からない
2. 自動化できること・できないことがわからない
3. 必要な人材が分からないからセキュリティ人材に投資する
適正なコストがわからない
必要なセキュリティ人材が確保できない

33
Reserved.

セキュリティ事故対策宣言 SECURITY ACTION
https://www.ipa.go.jp/security/security-action/index.html
セキュリティ対策自己宣言
SECURITY ACTION ★
SECURITY ACTION ★★

SECURITY ACTION 星一つ
セキュリティ５か条に
取り組んでいることを
自己宣言する制度
1. OSやソフトウェアは常に最新
の状態にしよう
2. ウイルス対策ソフトを導入し
よう
3. パスワードを強化しよう！
4. 共有設定を見直そう！
5. 脅威や攻撃の手口を知ろう！
セキュリティ
対策自己宣言
SECURITY
ACTION ★

SECURITY ACTION 星一つの5か条
OS、ソフトウェアの脆弱性対策
前提として以下ができていることが重要
• 資産の棚卸
• 脅威と脆弱性の洗い出し
• リスク評価
• ポリシー、ルール、手順の策定
OSやソフトウェ
アは
常に最新の状態
にしよう！
ウィルス対策ソ
フトを導入しよ
う！
マルウェア対策
マルウェア対策はウィルス定義ファイルではカ
バーできない。
つまり、マルウェアに感染しない対策だけでは
不十分
次のステップとして以下が必要
• 感染を検知する対策
• 感染しても被害が出ない対策

認証対策
認証強度は一律ではない。
保有する資産を洗い出し
どのような資産にどれくらいの価値があるのか
把握し
どの資産にアクセスする際にどの程度の認証強
度が必要なのか
を理解する必要がある、
また、認証に対する脅威（パスワードはどう
やって破られているのかなど）も知る必要が
ある
パスワードを強
化しよう！

設定値の確認とアクセスコントロー
ルの実装
保有する資産を洗い出し
どのような資産にどれくらいの価値があるのか
把握し（資産の分類）
誰がどの資産にアクセスする必要があるのか
（アクセス権限の付与）を理解する必要がある、
さらに、設定値はどうなっていればOKなのか
どのような保管場所があるのか、何をどこに置
く時にどのような設定が必要なのかを理解する
必要がある
共有設定を
見直そう
脅威や攻撃の
手口を知ろう
つまり、情報収集
脆弱性情報はどこから入手するのか
最近はやっている攻撃手法はどこから入手するのかそし
てそれが判断できるのか

SECURITY ACTION 星二つ
『情報セキュリティ
自社診断』
にある25項目に関して
自社の状況を
把握したうえで、
情報セキュリティ基本
方針を定め、
外部に公開し、
自己宣言する制度
セキュリティ
対策自己宣言
SECURITY
ACTION ★★

Security Action 星二つの自己診断シート25項目
従業員としての対策
• メール使用のルール
• 無線LAN仕様のルール
• Web利用のルール
• バックアップ
• データ保管ルール
• 持ち出しルール
• 事務所の安全管理
• 情報の安全な処分ルール
組織としての対策
• 守秘義務の周知 • 従業員教育
• ルールの整備 • 取引管理
• 外部サービスの
利用
• 事故への備え
• 個人所有端末の利用

41
Reserved.

組織のあるべき姿
何をどこまで
すればいいのか
組織内部のセキュリティ人材
何ができている状態で
何が不足しているのか
＋
外部のセキュリティ人材
何かが起きた時に
どうすればいいのか
＋
外部のセキュリティ人材

セキュリティ
人材になる！
◼ 今、サイバーの世界では何
が起きているのか
◼ セキュリティ人材にな
る！

対策の考え方：防御・検知・対応
100%未然に防ぐことは不可能！
第1次予防：病気の発生を未然に防ぐ
第二次予防：病気を早期に発見・処置
第3次予防：社会復帰
予防接種
生活習慣の改善
定期健診・人間ドック
早期発見、初期治療
治療困難・コスト増を防ぐ
機能低下防止、治療、
リハビリ
機能回復と再発防止
攻撃の発生を
未然に防ぐ
攻撃発生を
いち早く検知
攻撃後の事後対策
健康に生きていく、通常の運用を継続させる！
予防策
インシデントレスポンス
検知策

正しく怖がるために
持っている資産の棚卸はできていますか？
ポリシーは適正ですか？
きちんと対策していますか？
運用は適正に行われていますか？
インシデント対応計画はできていますか？
従業員教育を行っていますか？

正しく怖がるために
どんな攻撃者がいるの？
どうやってターゲットを決めているの？
どこを狙うの？
どんな手法を使うの？
攻撃時にはどんなことをするの？

正しく育成しよう
スキル
なし
スキルが
不十分
必要な
スキルを
持っている

49
Reserved.

セキュリティ人材になる！：まとめ
大事なことは
そのためには
組織の状況を把握し、
適正なセキュリティコストを算出し、
適正な対策を実装することができ、
敵の状況を想定することができる

セキュリティエンジニアが必要
独学でがんばる
どこから手を付けていいのかわからない
どこまで学べばいいのかわからない
学んだあとにどうすればいいかわからない

独学でがんばる
独学は時間がかかる！
→結局くコストが高くつく

トレーニングで体系的に学ぶ
体系立てて、網羅的に勉強できる
自分がどこまで学んだのかがわかる
学んだあとにさらなる学習方法がわかる
資格で第三者にスキル保持を証明できる

トレーニングで体系的に学ぶ
最短の時間で知識の習得が
可能
→結果としてコストが
安くすむ

独学だと
事業継続
計画
ワイヤレ
スネット
ワーク
暗号
組織の
ルール
ポリシー
インシデン
ト対応
プロセス
構成管
理
操作手
順
データ
復旧計画
教育認証
OSの
堅牢化
ログモニ
タリング
VPN
IDS/
IPS
Firewall
偵察
行為
スキャン
システム
ハッキング
マル
ウェア
脆弱性
スニッ
フィング
ソーシャル
エンジニア
リング
DoS
セッショ
ンハイ
ジャック
IDS,FW
回避
Web
ハッキ
ング
無線
ハッキング
モバイル
IoT
暗号
解読
クラウド

体系的に学ぶと
事業継続
計画
ワイヤレ
スネット
ワーク
暗号
組織の
ルール
ポリシー
インシデン
ト対応
プロセス
構成管
理
操作手
順
データ
復旧計画
教育認証
OSの
堅牢化
ログモニ
タリング
VPN
IDS/
IPS
Firewall
偵察
行為
スキャン
システム
ハッキング
マル
ウェア
脆弱性
スニッ
フィング
ソーシャル
エンジニア
リング
DoS
セッショ
ンハイ
ジャック
IDS,FW
回避
Web
ハッキ
ング
無線
ハッキング
モバイル
IoT
暗号
解読
クラウド

まとめ
◼攻撃の目的は多様化し、ターゲットは増え、手法は
より高度に、巧妙に
◼必要なセキュリティ人材は組織によって異なる。自
組織に必要な人材を把握し確保が必須
◼サイバーセキュリティ対策をすべて外だしすること
は不可能。内部の判断が必須
◼サイバーセキュリティ対策は事前・運用・事後での
実装が必須

なぜ今、セキュリティ人材の育成が叫ばれているのか

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to なぜ今、セキュリティ人材の育成が叫ばれているのか

Similar to なぜ今、セキュリティ人材の育成が叫ばれているのか (20)

Recently uploaded

Recently uploaded (20)

なぜ今、セキュリティ人材の育成が叫ばれているのか