Recommended
More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (20)
Similar to セキュリティ入門
Similar to セキュリティ入門 (16)
Recently uploaded
Recently uploaded (10)
セキュリティ入門
- 2. はじめに • このドキュメントは、 ITにかかわるすべてのエンジニアを対象として セキュリティとは何かを紹介します。 • 出来るだけセキュリティだけの専門の用語は使いません。 • 個人の立場で記載しており、 どこかの企業を宣伝する目的はありません。
- 9. 注意！ • ここから読み進める前に一読してください。 – セキュリティの用語は 英語をそのままカタカナで書くため 「ポリシー」(社内基準)と「情報セキュリティポリシー」(策定基準)、 「セキュリティ基準」(ベストプラクティス) などのように同じような言葉であるのに意味が異なるため、 とてもややこしく、 単語が異なれば意味するところが異なる ということに、より深い注意が必要です。 – 英語の直訳の都合でたまたま同じ単語を使用しているが、 意味が異なることもあります。 こちらのほうは文脈でとらえる必要があります。 迷った時は 日本語を 英訳 してみてください
- 11. 企業の情報セキュリティポリシーとは 企業の経営方針 (目的、信条、道徳、 責責任性 など) 社内基準 (推進組織体制、方法論、 実行手順、使用技術 など) 具体的な手順 (実行手順、手法 など) 情報セキュリティポリシー
- 12. 企業の情報セキュリティポリシーとは - 社内で担当する役職について 抽象的 経営者/取締役会 経営者/管理者 各部署 情 報 セ キ ュ リ テ ィ ポ リ シ ー 企業の経営方針 (目的、信条、道徳、 責責任性 など) 社内基準 (推進組織体制、方法論、 実行手順、使用技術 など) ※すべての部署や 業務で共通するルール 具体的な手順 (実行手順、手法 など) ※各部署や業務の 細かいルール 具体的
- 13. 企業の情報セキュリティポリシーとは - セキュリティコンサル、セキュリティエンジニアの領域について 経営者/取締役会 経営者/管理者 各部署 セ キ ュ リ テ ィ コ ン サ ル 領 域 セ キ ュ リ テ ィ エ ン ジ ニ ア 領 域 重要視 社内基準 (推進組織体制、方法論、 実行手順、使用技術 など) ※すべての部署や 業務で共通するルール 具体的な手順 (実行手順、手法 など) ※各部署や業務の 細かいルール 企業の経営方針 (目的、信条、道徳、 責責任性 など) 抽象的 具体的
- 14. 社内規程および対策基準 と セキュリティ基準 一度業務遂行方法を変更するにも莫大なコスト(資金)がかかるため、 試行錯誤 するにも 「会社としての体力(高額な資金) 」が必要 上手く進めることができている企業を真似して、 そこからあわせていったほうがコストがかからないのではないか そもそも「上手く進めることができている」 という状態がわからない 「世の中にある平均(基準)」を使用して近づけていくのが近道 社内規程や対策基準をベストな状態に近づけたい できたら最初から
- 15. 社内規程および対策基準 と セキュリティ基準 - セキュリティ基準とは 企業ごとに異なる“セキュリティ(Security)”への 考えかたのうち、共通的に行うべきことを 色々な企業や研究機関がアカデミックに研究して まとめたもの(ベストプラクティス群) セキュリティ基準 とは • ISMS , EMS , QMS , PMS , CIS , PCI DSS , GSD331 , JASA など。 それぞれが成り立ちが異なり、特性があります。 • 一般の方でもダウンロードできるセキュリティ基準のドキュメントもありますが、 厳しい著作権があり、和訳/英訳しても ウェブ など不特定多数が参照する場所に 誤ってアップロードしないように気をつけてください。
- 19. Plan は 以下の順で進めます 企業の情報セキュリティのPlan • 企業の情報セキュリティPDCAにおいて Plan は Do 以降を実行するための計画を策定することです。 準備 調査 策定 推進 Do CheckAction Plan
- 20. 準備 調査 策定 推進 準備 企業の情報セキュリティのPlan ・企画 ・体制準備 ・全体のスケジュール 計画の承認 計画の立案
- 21. 準備 調査 策定 推進 調査 策定 企業の情報セキュリティのPlan ・基本方針 ・対応基準 情報セキュリティポリシー の策定 情報セキュリティポリシー の承認 リスクの評価 リスクの分析 リスクの特定
- 22. 企業の情報セキュリティのPlan - リスクの影響度と緊急度 • 実際に発生した時のビジネスへの影響(影響度)と 緊急に対応する必要性(緊急性)を数字化し、点数化することで、 実際に起きた場合の対応する行動を定めます。 たとえば、 優先度 影響度 高 中 低 緊 急 性 高 1 2 3 中 2 3 4 低 3 4 5 目標 順位 目標 解決時間 一次連絡先 対策会議 1 1時間以内 部門長 必要 2 8時間以内 部門長 必要 3 24時間以内 部門長 4 48時間以内 チームリーダ 5 as soon as チームリーダ 影響度 高：工場が機能不全になる 中：情報部門が機能不全になる 低：上記以外 緊急性 高：脆弱性がすでに攻撃されている 中：脆弱性が公表された 低：上記以外
- 23. 準備 調査 策定 推進 推進 企業の情報セキュリティのPlan ・研修計画立案 ・研修資料作成 研修計画
- 25. 企業の情報セキュリティの Do • 企業の情報セキュリティPDCA において Do は 策定した情報セキュリティポリシーに沿って業務を実施することです。 ※「情報セキュリティポリシーを用いた実務実施/実務運用」を略して、 「情報セキュリティポリシーの運用」と呼ぶこともあります。 Do CheckAction Plan 例 : 情報セキュリティポリシーから 細分化されたサーバー運用ルール 手順書の作成 作業実施 結果確認 手順書の修正手順書の承認 実施 担当者
- 27. 情報セキュリティポリシー 企業の情報セキュリティの Do - セキュリティ業務とは • 本業からは外れていて、かつ、情報セキュリティポリシー上で 定められた業務範囲のことを「セキュリティ業務」と一般的には呼びます。 専任者がいる場合、運用担当者がそのまま行う場合、等は企業ごとに異なります。 ※セキュリティコンサルやセキュリティエンジニアが担う業務全般を 「セキュリティ業務」と呼ぶこともあります。 機材/機器 プロセス人 監査(確認) 追加/変更/削除などの管理 権限 場所ID 基本ルール (考え方を明文化したもの) 監視
- 32. 企業の情報セキュリティの Check • 企業の情報セキュリティPDCA において Check は 実務遂行が定めたルールから逸脱していなかったことを検証し、証明します。 • または、セキュリティの認証資格において、 認証資格があるかどうかを専門の監査者が確認することを意味します。 Do CheckAction Plan 実務実施結果（例：サーバー運用） 作業申請履歴 変更履歴 監査内容例 作業実施結果確認 実際のサーバを確認 差分がないことを確認する
- 35. 企業の情報セキュリティの Action • 企業の情報セキュリティPDCA において Action は ルールから逸脱していた事を正しい状態にする(是正する)か否かを判断します。 • 是正する前に、逸脱している個所、原因と理由、是正した場合のリスクを調査し、 リスクを調査した結果「変更しても問題がない」場合のみ是正作業を実施します。 ※実際の作業はそれぞれの作業ルール(プロシージャ)に従います Do CheckAction Plan 対応判断 → 判断した後どうするか 是正対応 設定値の修正 ルールの修正 原因と理由の調査 リスクの調査(特定→分析→評価) 逸脱個所をリストする
- 42. 補足 : セキュリティコンサル とか セキュリティ業務 は どんな企業にお願いするのがお勧めか • セキュリティの研究には莫大な資金が必要であるため、 IT業界だけを専門とする セキュリティコンサル は 日本には少ないです。 • 外資系でコンサルを取り扱っている企業、 サーバーを販売する企業や ネットワークやサーバーなどインフラの導入を取り扱う企業に まずは相談してみてください。 正直、高いよ！ 「実際に事故が起きたらけちった費用の 10 倍 かかる」が セキュリティにおける常識です
Editor's Notes
- セキュリティ = IT ではありませんが、全体的にIT業界に話をよせています
- 「基本方針(ポリシー)」「対策基準(スタンダード)」「実施手順(プロシージャ)」はISO 2700の用語 実際の業務では対策基準が社内規定を基としてプロシジャーを作成することもあるため、社内規定および対策基準と記載している
- 用語の「実施手順」がまるで何かの作業を行うための手順書のことのみをさしているようにみえるが、 プロシジャーとは部署や業務ごとに「対策基準」から業務に則して落とし込んだルールのことを指し、 そのルールを順守するための手順がマニュアルである。
- 経営者の経営方針と各部門で行っていることのかい離を埋めるために どのようにするかを埋めるのが「社内規定および対策基準」の位置づけである。
- リスクアセスメント
- 「外資」とひとくくりにしていますが国ごとによって特性があります。 アメリカ : 徹底的に書面で残す ロシア : IT技術面に特化 北欧 : 経営方面に特化 アメリカ形式の「書面で徹底的に残す」が 日本企業には受け入れやすいと個人的には思います。