セキュリティ管理　入門セミナ

1. セキュリティ管理入門セミナ～セキュリティ管理の真常識～ Masaaki NABESHIMA Jan 21, 2021 Copyright (c) kosho.org 1 V1.1

2. ◼ 資格 • ISC2 CISSP (Certified Information Systems Security Professional) • 経産省情報処理安全確保支援士 (RISS) ◼ 監訳 • 実践ネットワークセキュリティ監査―リスク評価と危機管理 ◼ セキュリティ関連の仕事 • 1996, NTTアメリカ, Internet Security講演 • 2005, NVC(技術商社), セキュリティビジネス立ち上げ • 2015, ソフトバンクモバイル, SOC(Security Operation Center)立ち上げ Copyright (c) kosho.org 2 自己紹介

3. ◼ セキュリティ管理 • 先人の努力により体系化されています • セキュリティ管理のフレームワーク • 例：ISMS (情報セキュリティマネジメントシステム) • セキュリティ管理プロフェッショナルのための基本知識集 • 例：CISSP CBK • 考えるな学べ(学んでから考えろ)！ • 素人がセキュリティ管理を考えても「漏れ・無駄」が必ず出る • 車輪の再発明(確立されているものを再度発明する努力をする) • 一般人は「凸凹な車輪」しか発明できない（発明は困難） • フレームワークの(組織への)最適化には「考えること」が必要 Copyright (c) kosho.org 3 はじめに

4. ◼ ISMS (Information Security Management System) • 情報セキュリティマネジメントシステム • ISO/IEC 27000、JIS Q 27000 • 情報セキュリティ管理のフレームワーク • 認定機関あり • 組織がISMSに則ってセキュリティ管理しているか？ • 国内認定組織：6,000程度 • フレームワークの構成 • 13大分類、34中分類、114管理策 • 各管理策には以下を含む • 実施の手引き、関連情報 Copyright (c) kosho.org 4 セキュリティ体系の例

5. Copyright (c) kosho.org 5 セキュリティ体系の例：ISMS 大分類中分類情報セキュリティのための組織内部組織、モバイル機器及びテレワーキング人的資源のセキュリティ雇用前、雇用期間中、雇用の終了及び変更資産の管理資産に対する責任、情報分類、媒体の取扱いアクセス制御アクセス制御に対する業務上の要求事項、利用者アクセスの管理、利用者の責任、システム及びアプリケーションのアクセス制御暗号暗号による管理策物理的及び環境的セキュリティセキュリティを保つべき領域、装置運用のセキュリティ運用の手順及び責任、マルウェアからの保護、バックアップ、ログ取得及び監視、運用ソフトウェアの管理、技術的ぜい弱性管理、情報システムの監査に対する考慮事項通信のセキュリティネットワークセキュリティ管理、情報の転送システムの取得，開発及び保守情報システムのセキュリティ要求事項、開発及びサポートプロセスにおけるセキュリティ、試験データ供給者関係供給者関係における情報セキュリティ、供給者のサービス提供の管理情報セキュリティインシデント管理情報セキュリティインシデントの管理及びその改善事業継続マネジメントにおける情報セキュリティの側面情報セキュリティ継続、冗長性順守法的及び契約上の要求事項の順守、情報セキュリティのレビュー

6. ◼ CISSP (Certified Information Systems Security Professional) • 情報セキュリティ・プロフェッショナル認定資格 • 認定： (ISC)² （International Information Systems Security Certification Consortium） • 取得者数 • グローバル：141,607人国内：2,758人 • 補足 • 情報処理安全確保支援士：経験のあるエンジニアなら合格する • CISSP:セキュリティ教育を受けないと合格しない • 情報処理安全確保支援士レベルの受験者が40時間のセミナを受け60時間程度自己学習すれば合格する • 試験範囲：CBK/Common Body of Knowledge • 情報セキュリティに関する知識分野 • ISMS＋詳細（管理、技術） Copyright (c) kosho.org 6 セキュリティ体系の例

7. Copyright (c) kosho.org 7 セキュリティ体系の例：CISSP CBK 分野項目セキュリティとリスクマネジメント機密性・完全性・可用性の概念の理解と適用、セキュリティガバナンスの原則の適用、コンプライアンス、ガバナンス、リスクマネジメント、コンプライアンス要件、人的セキュリティ、事業継続管理資産のセキュリティ情報と資産、資産のライフサイクル、資産のオーナーシップ、プライバシー保護、資産の保有、データセキュリティ、取り扱い要件セキュリティアーキテクチャとエンジニアリングセキュリティアーキテクチャの原則、セキュリティモデル、システムセキュリティ要件、情報システムのセキュリティ機能、セキュリティアーキテクチャにおける脆弱性、暗号、物理的セキュリティ通信とネットワークのセキュリティネットワーク設計、サービスにおける考慮事項、セキュアネットワークの要素、セキュアネットワークチャネルの設計アイデンティティとアクセスの管理資産への物理的・論理的アクセス、プロビジョニングとライフサイクル、人、デバイス、サービスの識別と認証、ID 管理の実装、認可の仕組みの実装と管理セキュリティの評価とテスト評価、テスト、監査の戦略、セキュリティ管理策のテスト、セキュリティプロセスデータ、テストの報告とレポートの作成、セキュリティ監査セキュリティの運用セキュリティ運用、セキュアなプロビジョニングリソース、リソース保護の技術、検知と予防、インシデント管理、調査、ログの取得とモニタリング、復旧戦略、事業計画と訓練、人命の安全ソフトウェア開発セキュリティソフトウェア開発ライフサイクル、セキュアコード、開発環境、ソフトウェアセキュリティ

8. ◼ セキュリティ管理 • きちんとやる(プロになる)には広範囲な知識が要求される ◼ セミナの目的 × セキュリティのプロになる教育〇セキュリティ管理について正しいベース常識を習得 • セキュリティのプロに相談するときの基本用語 • セキュリティの規格書を読むための基礎知識 Copyright (c) kosho.org 8 セミナの目的

9. ◼ セキュリティ管理の3要素 • 機密性、完全性、可用性 ◼ リスクの基本概念 • リスク、脅威、脆弱性、インシデント ◼ リスク対策の分類 • 管理的、技術的、物理的 • 事前対策(指示、防止、検知)、事後対策(修正、回復) • 階層防御 Copyright (c) kosho.org 9 セミナ内容 ◼ 対策のポリシー • フェイルセキュア • フェイルセーフ ◼ リスク対応(判定) • 低減、受容、移転、回避 ◼ リスクアセスメント • 準備 • 実施(特定、分析、評価) • 定性分析、定量分析 • 通知 • 保守 ◼ インシデントレスポンス • トリアージ、初動、復旧

10. ◼ 「セキュリティ」とは？ • 情報セキュリティの(守るべき)3要素：CIA ◼ 「リスク(脅威)」とは？ • 上記3要素を脅かすこと • 機密性⇒漏洩 • 完全性⇒不整合 • 可用性⇒使用不可 Copyright (c) kosho.org 10 セキュリティ管理とは概要機密性 (Confidentially) 認可されていないものに対し情報を使用不可・非公開にする完全性 (Integrity) 資産の正確さ及び完全さを保護する可用性 (Availability) 要求したときに使用可能とする

11. ◼ 3要素、リスク、脅威 ◼ 脅威の分類 Copyright (c) kosho.org 11 セキュリティとリスク(脅威) 3要素リスク脅威(例) 機密性情報が外部に漏れる盗難、紛失、権限設定ミス完全性情報が間違っている意図的な不正操作、偶発的な不正操作権限のない操作、外部データとの不整合システムの欠陥可用性情報が使えないサービス妨害、故障、設定ミス、災害大分類中分類補足人為的脅威意図的脅威攻撃偶発的脅威ミス(人間)、欠陥(システム) 環境的脅威災害

12. ◼ 補足：意図的脅威(攻撃)のSTRIDE • ストライド(大股で歩く) Copyright (c) kosho.org 12 セキュリティとリスク(脅威) 攻撃の分類補足 Spoofing (スプーフィング) 他のユーザへのなりすまし Tampering(タンパリング) 情報の改ざん Repudiation (レピューディエイション) 否認(行ったことを否定) Information disclosure (ディスクロージャー) 情報の漏えい Denial of service (DoS) サービス妨害 Elevation of privilege (エレベーション) 権限昇格、特権取得

13. ◼ 基本用語 • ※1 • 脅威源（脅威の原因）：ノートPC • 脅威事象（脅威の発生状況）：紛失 • ※2 • 素因的条件：脆弱性に対する組織等の状況 • 例：日本は電車移動が基本であるため、米国よりもノートPCの紛失が起こりやすい Copyright (c) kosho.org 13 基本用語用語意味例リスク (悪い結果が起こる)可能性情報漏洩脅威※1 (悪い結果を引き起こす)具体的事象ノートPCの紛失脆弱性※2 脅威を発生させる欠点・欠陥ノートPCは持ち運びが簡単インシデントセキュリティ事故 AがXX月XX日にノートPCを紛失した

14. ◼ 手法 • (人員)管理的、技術的、物理的 ◼ リスク対策 • 事前 • 指示 (Directive)：指示や教育 • 防止 (Preventive)：リスクの防止処理 • 検知 (Detective)：インシデントの発見 • 事後 • 修正 (Corrective)：損失の軽減 • 回復 (Recovery)：状態の回復 • 補正 (Compensating) ：埋め合わせ対策・複数対策 ◼ ポリシー • フェイルセーフ、フェイルセキュア Copyright (c) kosho.org 14 対策の分類

15. ◼ 分類 Copyright (c) kosho.org 15 対策の分類管理的技術的物理的事前指示標語、ポスター警告表示表示(立入禁止) 防止職務規定パスワードフェンス検知監査監査ログ監視カメラ事後修正降格(権限はく奪) システム停止消化設備、ガードマン回復人員補充バックアップ再建設補正階層防御(管理的) 階層防御(技術的) 階層防御(物理的)

16. ◼ 概要 • 複数の対策を階層的に組み合わせる ◼ 背景 • 完璧な対策は無い(攻撃、管理ミス) • 99%のゆるい対策(100日に1回発生) • 2つ組み合わせると99.99%(2.7年に1回) • 3つ組み合わせると99.9999%(274年に1回) • 時間稼ぎ • 最初の対策が破られる⇒アラーム生成、対策検討 • 補足 • 階層防御はアラーム管理が必須 Copyright (c) kosho.org 16 階層防御

17. ◼ システムアクセス ◼ オフィス Copyright (c) kosho.org 17 階層防御：例階層防御例実験 1重以上パスワード制限商用 2重以上パスワード制限＋アクセス元IP 機密情報 3重以上パスワード制限＋アクセス元IP＋シンクライアント階層防御例一般業務 1重以上カードキー人事業務 2重以上カードキー＋特別室顧客データ業務 3重以上カードキー＋特別室＋生体認証

18. ◼ 対策が失敗(フェイル)した時の状況 • 例：電気鍵⇒停電した場合どうするか？ • 開錠：フェイルセーフ(人命優先) • 施錠：フェイルセキュア(セキュリティ優先) ◼ フェイルセーフとフェイルセキュア Copyright (c) kosho.org 18 対策のポリシーフェイルセーフフェイルセキュア概要安全側に制御セキュリティ確保に制御人命優先、システム運用継続優先セキュリティファースト(優先) 3要素可用性＞機密性・完全性機密性・完全性＞可用性主な対策物理セキュリティ(人命優先) 管理、技術セキュリティ主なターゲット人命に関するもの機密情報

19. ◼ ポリシー決定 • フェイルセーフかフェイルセキュアか？ • アセスメント(評価)が必要 • 比較(どちらが大きいか？) • リスクの(悪)影響 • 対策の(悪)影響 • 分析 • 定性、定量、ハイブリッド Copyright (c) kosho.org 19 対策のポリシーと分析

20. ◼ リスク分析(発生可能性と影響） • 一般的なハイブリッド分析 • フェイズ1(洗い出し、スコーピング) • すべてに対し定性的分析を行う • フェイズ2(詳細化、テラーリング) • 重要なポイントだけ定量的分析を行う Copyright (c) kosho.org 20 分析概要実行補足定性的ランク付け（大中小）容易アンケート、インタビュー、デルファイ法定量的金額への換算困難損失予測ハイブリッド定性的と定量的を両方行う※1 中間一番ポピュラー

21. ◼ リスク対応 Copyright (c) kosho.org 21 リスク評価低減 (Mitigation) 移転 (Transfer) 回避 (Avoidance) 受容 (Acceptance) 概要リスクを低減させる (低減策を取る) リスクを第3者に移転するリスクを完全に排除するリスクを受け入れる (何もしない) リスクの種類一般リスク限定的リスク重大リスクリスクが小さい対策の影響が大きい対策例各種ソリューション保険、アウトソース機器の使用禁止補足一般的なセキュリティ対策損失への内部留保も含むサービス・事業の停止も考慮に入れる「リスクの放置」であり最も高レベルの決済が必要(例：本部長等)

22. ◼ 目的 • リスクの管理 ◼ 基本手順 • リスク特定 • リスク分析 • リスク評価 ◼ フレームワーク • 米国国立標準技術研究所 • NIST SP 800 30 Copyright (c) kosho.org 22 リスクアセスメント ◼ 手順 (NIST SP 800 30) 1. リスクアセスメントの準備 2. リスクアセスメントの実施 2.1 脅威源と脅威事象の特定 2.2 脆弱性と素因的条件の特定 2.3 発生の可能性の特定 2.4 影響の大きさの特定 2.5 リスクの判断 3. リスクアセスメント結果の伝達 4. リスクアセスメントの保守

23. ◼ 手順 Copyright (c) kosho.org 23 リスクアセスメントの準備手順 NIST SP 800 30 補足 1 目的を特定アセスメントの目的を特定 2 適用範囲を特定アセスメントの適用範囲を特定 3 具体化と制限付けにより範囲を狭めるアセスメントに関連する想定と制限を特定 4 参照すべき文献(データベース)を指定アセスメントへの入力データとして使用する情報の情報源を特定内部データ、外部データ(脆弱性リスト等) 5 アプローチの指定アセスメント時に使用すべきアセスメントアプローチと分析アプローチを特定一般企業の場合、厳密な指定はまれ

24. ◼ 例 Copyright (c) kosho.org 24 リスクアセスメントの準備手順内容目的新規にリモートワークを開始する範囲自宅での作業によるリスク具体化と制限付け業務は支給PCで行う(持ち帰り)、VPNで接続参照文献 ISMS (27002) アプローチの指定ハイブリッド(全体的に定性分析、重要なものは定量分析)

25. ◼ 管理策モバイル機器を用いることによって生じるリスクを管理するために，方針及びその方針を支援するセキュリティ対策を採用することが望ましい。 ◼ 実施の手引きモバイル機器を用いる場合，業務情報が危険にさらされないことを確実にするために，特別な注意を払うことが望ましい。… ◼ 関連情報モバイル機器の無線接続は，ネットワーク接続の他のタイプと類似しているが，管理策を特定するときに考慮することが望ましい重要な違いがある。 Copyright (c) kosho.org 25 リスクアセスメントの準備(ISMSモバイル機器)

26. ◼ 管理策テレワーキングの場所でアクセス，処理及び保存される情報を保護するために，方針及びその方針を支援するセキュリティ対策を実施することが望ましい。 ◼ 実施の手引きテレワーキング活動を許可する組織は，テレワーキングを行う場合の条件及び制限を定めた方針を発行することが望ましい。… ◼ 関連情報テレワーキングとは，オフィス以外で行うあらゆる作業形態をいう。… Copyright (c) kosho.org 26 リスクアセスメントの準備(ISMSテレワーキング)

27. ◼ 手順 Copyright (c) kosho.org 27 リスクアセスメントの実施手順 NIST SP 800 30 1 特定脅威の特定脅威源と脅威事象の特定 2 脆弱性の特定脆弱性と素因的条件の特定 3 分析発生の可能性の分析発生の可能性の特定 4 影響の大きさの分析影響の大きさの特定 5 評価対策の検討リスクの評価リスクの判断

28. ◼ 脅威の特定 ◼ 脆弱性の特定 • 業務情報の漏洩：ノートPC紛失、ノートPC盗難、家族の覗き見、印刷物の紛失、ウィルス感染 • 業務情報の改ざん：… • 社内サーバへのアクセス：… • 社員の労働生産性：… Copyright (c) kosho.org 28 リスクアセスメントの実施(例) 3要素対応する脅威機密性業務情報の漏洩完全性業務情報の改ざん可用性社内サーバへのアクセス(VPNの可用性) 社員の労働生産性（怠慢）

29. ◼ 分析（発生可能性、影響度） • 補足 • 感覚的な値の図表化 • 定量的な数字(紛失率、感染率等)をベースに他のデータを想定する • ウィルス感染：数年に1回、ノートPC紛失：年に1回 Copyright (c) kosho.org 29 リスクアセスメントの実施(例) 発生可能性影響度ノートPC紛失中大ノートPC盗難低大家族の覗き見低小印刷物の紛失高大ウィルス感染低中

30. ◼ 対応策(ノートPC紛失に対する) • 補足 • リスク回避(ノートPC持ち出し禁止)も比較する • すべての対策を列挙し、実行する対策を選択する(コスト見合い) • 多重防御(複数の対策の組み合わせ)が基本 Copyright (c) kosho.org 30 リスクアセスメントの実施(例) 分類対応策A 対応策B 対応策C 事前指示教育ノートPC 持ち出し禁止防止 HDD暗号化シンクライアント (リモートデスクトップ) 検知社員報告※、GPS Track 事後修正リモート消去アクセス権限停止回復バックアップ

31. ◼ 「業務情報の漏洩」に対するリスク評価(判定) Copyright (c) kosho.org 31 リスクアセスメントの実施(例) 脆弱性可能性影響リスク対応 (事前)対応策 (事後)対応策※ 指示防止検知修正回復ノートPC の紛失中大低減教育 HDD暗号化社員報告※ GPS Track リモート消去バックアップノートPC の盗難小大低減教育 HDD暗号化社員報告※ GPS Track リモート消去バックアップ家族の覗き見低小受容教育ーーーー印刷物の紛失高大回避教育印刷物禁止すかし個別番号ーーノートPC のウィルス感染低中 (低減) 移転教育 (ウィルス対策) サイバー保険監視ソフトリモート消去バックアップ

32. ◼ 定量分析 • 業務内容によりノートPCに含まれる情報の価値が違う • ⇒「業務情報の漏洩」に対するリスク判定を上記4種類に分割 Copyright (c) kosho.org 32 リスクアセスメントの実施(例) 業務定性的損失定量的損失一般業務あまりない PC費用社内人事業務会社の評判ダウン数%の売り上げ減商用システム運用業務サービス停止月次売上(X億円)3か月＋それ以降半分顧客情報(受託業務) 損害賠償損害賠償、個人に対する損害賠償（例：1名あたり500円、ソフトバンク）

33. ◼ 検知、事後対応 • ISMSの弱点 • ISMSは防止策に重点が置かれている • 検知・事後対応については弱い • 社員報告、事後対応策 • 明確な手順を決めておく • インシデント(漏洩した情報)の重大性の定義 • 一般情報、人事情報、商用システム情報、顧客情報 • 報告先、(対応)決定者の定義 • スタッフ、管理職、担当役員、社長(対策委員会) Copyright (c) kosho.org 33 リスクアセスメントの実施(例)

34. ◼ 事後対応のマトリックス ◇ 方針決定〇事後報告 ※一般営業資料、パンフレットの元PDF等 Copyright (c) kosho.org 34 事後対応紛失情報スタッフ管理職担当役員社長補足一般情報(損害無し) ◇ 〇営業秘密(軽微※) ◇ 〇社内人事情報 ◇ ◇ 対策委員会商用システム情報 ◇ ◇ 対策委員会顧客情報 ◇ ◇ 対策委員会

35. ◼ 手順 Copyright (c) kosho.org 35 インシデントレスポンス検知からの時間手順補足対策の分類事前定義の必要性対応組織 (大規模) 1秒～1時間以内トリアージ(Triage) 検知 (Detection) 順位付け (Prioritization) 通知 (Communication) 検知対策大 SOC (Security Operation Center) 1時間～1日以内調査 (Investigation) 修正対策中 CSIRT(Computer Security Incident Response Team) 初動対応封じ込め (Containment) 極小化 (Minimize) 和らげ (Mitigation) 解決まで分析と処理 (Analysis and Treatment) 回復対策小 CSIRT 開発元復旧 (Recovery) 事後報告 (Reporting) 知的資産化 (Documentation)

36. ◼ 手順 • リスクアセスメント結果を伝達するための適切な方法を特定する（例：管理職者による概要報告、リスクアセスメント報告、またはダッシュボード） • 組織の指定された利害関係者にリスクアセスメント結果を伝達する • 組織のポリシーと手引きに従って、リスクアセスメント結果と、結果を裏付ける証拠を共有する ◼ 例 • 経営会議での報告(承認) • 全社への伝達 • 全社への説明会(教育を兼ねる、出席必須） Copyright (c) kosho.org 36 リスクアセスメント結果の伝達と共有

37. ◼ 手順 • 継続的なモニタリングの対象として特定されたリスク因子を特定する • リスク因子のモニタリング活動の頻度と、リスクアセスメントの更新が必要となる状況を特定する • リスクアセスメントの目的、適用範囲、および想定を再確認する • 必要に応じて、リスクアセスメントの適切なタスクを実施する • 後続のリスクアセスメントの結果を指定された組織の職員に伝達する ◼ 例 • リスク要因：業務内容(受託内容)の変更 • 業務内容に変更があるたびにリスクアセスメントを行う • 年に1回状況(発生頻度等)の見直しを行い、大きな変化があった場合、リスクアセスメントを行う Copyright (c) kosho.org 37 リスクアセスメントの保守

38. ◼ セキュリティ管理の3要素 • 機密性、完全性、可用性 ◼ リスクの基本概念 • リスク、脅威、脆弱性、インシデント ◼ リスク対策の分類 • 管理的、技術的、物理的 • 事前対策(指示、防止、検知)、事後対策(修正、回復) • 階層防御 Copyright (c) kosho.org 38 セミナ内容（再掲） ◼ 対策のポリシー • フェイルセキュア • フェイルセーフ ◼ リスク対応(判断) • 低減、受容、移転、回避 ◼ リスクアセスメント • 準備 • 実施(特定、分析、評価) • 定性分析、定量分析 • 通知 • 保守 ◼ インシデントレスポンス • トリアージ、初動、復旧

セキュリティ管理　入門セミナ

セキュリティ管理　入門セミナ

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados(20)

Similar a セキュリティ管理　入門セミナ

Similar a セキュリティ管理　入門セミナ(20)

Mais de Masaaki Nabeshima

Mais de Masaaki Nabeshima(20)

Último

Último(8)