1. DXとセキュリティ
IPA Digital Symposium 2021
アスタリスク・リサーチ エグゼクティブリサーチャ
岡田 良太郎
riotaro@rsrch.jp
© Asterisk Research, Inc.

2. AppSec Supporting Company
© Asterisk Research, Inc.
アスタリスク・リサーチ - セキュリティ実践を成⻑と発展に貢献

3. ついにアフターコロナ到来？
(c) Riotaro OKADA / Asterisk Research, Inc.

4. コロナ禍で消費者サイドではDXは自然に進んだ。
企業でもデジタルネイティブな打ち手が出ている。
消費者向けサービス
• D2C・デリバリー
• サブスク
就業環境・就業条件
• リモートワーク
• 分散型・ジョブ型
出張・観光
• バーチャルツアー
• SNS・動画共有情報
• 安全確保
アパレル
• お出かけ消費壊滅
• 使い⼼地など実質優先
コミュニケーション
• オンライン会議
• チャット
医療・ヘルスケア
• 電話・オンライン診療
• カルテ連携
セールスプロモーション
• デジタル・ツール
• SFA
業務プロセス改⾰
• 専⾨SaaS活⽤
• 電⼦契約
教育・訓練
• オンライン教育
• ⾮同期・余裕時間
組織ガバナンス
• フラットへの再設計
• 中間管理職不要論
融資決済
• ネット融資
• キャッシュレス
多様化する連携
• 専⾨サービス
• クラウドソーシング

5. チャット系
グループウェア
オンライン会議系
社内SNS
インストール型
総合 ナレッジ共有
日報 社内報
総合
ワークフロー
総合
エンジニア コンサル
マーケティング
プラットフォーム型
Webサイト
クラウドソーシング型
総合 クリエイティブ テスター・入力
翻訳・ライティング・編集
オンラインセミナー・イベント
人事
コミュニケーション
営業
周辺ツール ホワイトボード
ノーコード
iPaaS HP ECサイト
フォーム
ハード系
MA / CRMツール
名刺管理
メール
商談関連
フォームアタック
D
セールス支援
顧客管理
セールス
セールス
HR系
人事評価 エンゲージメント向上
エンゲージメント測定ツール
日程調整
デザイン
採用関連 人事関連
オンライン1on1 オンライン福利厚生
リモート人材活用
エージェント型
エンジニア
2021/02/08 現在
(c) Riotaro OKADA / Asterisk Research, Inc.
企業も生き残りをかけて
デジタルに大きく依存せざるを
得なくなった。

6. マルウェア
ウェブの仕組みを
利⽤した攻撃
フィッシング
ウェブアプリケー
ションへの攻撃
スパム DDoS
id盗難 データ漏洩 内部脅威
ボットネット
物理的な操作/損
害/盗難/紛失
情報漏洩
ランサムウェア サイバースパイ
クリプトジャッキ
ング
2021年
逆⾵：脅威は変化している

7. 「事業継続(可用性)をできなくなる不安」は依然大きい
個⼈ 順位 組織
スマホ決済の不正利⽤ 1位 ランサムウェアによる被害
フィッシングによる個⼈情報等の詐取 2位 標的型攻撃による機密情報の窃取
ネット上の誹謗・中傷・デマ 3位 テレワーク等のニューノーマルな働き⽅を狙った攻撃
メールやSMS等を使った脅迫・詐欺の⼿⼝による⾦銭要求 4位 サプライチェーンの弱点を悪⽤した攻撃
クレジットカード情報の不正利⽤ 5位 ビジネスメール詐欺による⾦銭被害
インターネットバンキングの不正利⽤ 6位 内部不正による情報漏えい
インターネット上のサービスからの個⼈情報の窃取 7位 予期せぬIT基盤の障害に伴う業務停⽌
偽警告によるインターネット詐欺 8位 インターネット上のサービスへの不正ログイン
不正アプリによるスマートフォン利⽤者への被害 9位 不注意による情報漏えい等の被害
インターネット上のサービスへの不正ログイン 10位 脆弱性対策情報の公開に伴う悪⽤増加
情報セキュリティ10大脅威 2021 (情報処理推進機構発表)
逆⾵：事業継続が脅かされている

8. 事業部門のセキュリティリテラシーの不足が
組織的脆弱性として事業リスクにつながる
認証キーのぞんざいな扱
い、アカウント管理不在
ゆるすぎる
権限設定
変更管理不足
データ保存の
不透明性
不用意な
API利用コード
コントロールでき
ない
パフォーマンス
データエクスポー
ト無理なサービス
サービスサイドの
セキュリティレベ
ル不明
障害対応が
ばらばら
© Asterisk Research, Inc. 8

9. 2022 セキュリティ侵害被害の報告義務（罰則付き）
プライバシーに関する社会の要請
は⾼まっている

10. 境界線防御の終えん
(c) Riotaro OKADA / Asterisk Research, Inc. 10
endpoint
endpoint
• Endpoint
• Network
• Application
• User
• Data

11. 個⼈情報
ID・パスワード
物理的
境界線防御
従来型/Monolithのセキュリティ

12. データ全体
モニタリング
アプリケーション
アクセスコントロール
Cloud Nativeのセキュリティ

13. デジタル化の道はイバラの道しかも逆風。
• 脅威は変化している
• 事業継続が脅かされている
• セキュリティリテラシー不足が問題を複雑に
• プライバシーに関する社会の要請の高まり
(c) Riotaro OKADA / Asterisk Research, Inc. 13

14. Q：DXのセキュリティはどうしたらいいでしょうか
1. プロトタイプ
2. パイロット・試験的導入
3. 組織的展開
(c) Riotaro OKADA / Asterisk Research, Inc. 14
1.プロトタイプの挑戦
•アドホックが当然
2.仕組み化導⼊の挑戦
•ユーザ・部⾨は限定的
3. 組織的展開と発展へ
の挑戦
•⼊れ替えを⾒据えた組織展開

15. 対立的セキュリティはゲートウェイ。
“セキュリティ”
• ポリシー絶対
• 既存のセキュリティ・情報保護ポリシー
• ホワイトリスト
• 問題指摘中心
• 利用前のセキュリティ脆弱性診断
• 第三者的価値
• 現場にフィットしない権限設定
"現場”
• 実現、スピード、メリット優先
• ポリシー遵守は、阻害要因との認識
• ID・パスワード使い回し
• PoC用無料ユーザアカウントの乱発
• ベンダー/プロダクト評価なしでの推進
(c) Riotaro OKADA / Asterisk Research, Inc. 15

16. 対話的セキュリティはガードレール。
準備作業の対話
1. DX関連テクノロジの調査と選定
2. サービスプロバイダの評価
3. 安全な実験場の構築(クラウド設定,
データレイクやPoCなど）
4. 情報と助言の調達
実践段階の対話
1. DevOpsチームのエンパワー
2. アクセス制御 (サービスとユーザを含む)
3. モニタリングの設計と構築
(利用状況と異常の把握)
4. 環境のアップデート支援
5. ユーザ・トレーニング支援
(c) Riotaro OKADA / Asterisk Research, Inc. 16

17. 「DXの保護要素」
４つに絞ります
(c) Riotaro OKADA / Asterisk Research, Inc. 17
データレイク
アクセス制限
アプリケーション
モニタリング

18. Q：DXのセキュリティはどうしたらいいでしょうか
1.プロトタイプの挑戦フェーズ
• コンセプト：アドホックは当然 / POCの壁にならないように。
• データレイク：安全な実験場の確保が⼤事
• アクセス制限関連：アカウント管理と運営
• アプリケーション：後フェーズのための実現技術の⽅式調査
• モニタリング：プラットフォームの監視
(c) Riotaro OKADA / Asterisk Research, Inc. 18
データレイク アクセス制限
アプリケー
ション
モニタリング

19. (c) Riotaro OKADA / Asterisk Research, Inc.
19
新設項⽬︓A04安全が確認されない不安な設計
順位上昇︓A01 アクセス制御の不備
A02 暗号化の失敗
A05 セキュリティの設定ミス
A06 脆弱で古くなったコンポーネント
A09 セキュリティログとモニタリングの失敗
重大セキュリティリスク2021

20. Q：DXのセキュリティはどうしたらいいでしょうか
2.仕組み化導⼊の挑戦フェーズ
• コンセプト：仕組みに対話的に貢献する
• データレイク：クラウド設定、連携⽅式のレビュー
• アクセス制限：ユーザ・部⾨は限定的だが、Weakest Linkはユーザ⾃⾝
• アプリケーション：DevOpsサイクル構築のバックサポート/ツール整備
• モニタリング：利⽤状況の定点把握と異常処理の模索
(c) Riotaro OKADA / Asterisk Research, Inc. 20
データレイク アクセス制限
アプリケー
ション
モニタリング

21. CIS Controls v8 2021/5リリース
新設管理項⽬「サービスプロバイダ」
(c) Riotaro OKADA / Asterisk Research, Inc. 21

22. Q：DXのセキュリティはどうしたらいいでしょうか
3. 組織的展開と発展への挑戦フェーズ
• コンセプト：DX実践のガードレールになる
• データレイク：安全な設定と詳細な利⽤モニタリングの導⼊
• アクセス制限：データとアプリケーションの両⽅に展開
• アプリケーション：DevOpsチームのエンパワー/柔軟なテスト⼿法の提供
• モニタリング：定期共有とインシデントアラートの構築
(c) Riotaro OKADA / Asterisk Research, Inc. 22
データレイク アクセス制限
アプリケー
ション
モニタリング

23. 内製化チームのエンパワー。
Design ‒ 設計 Implement ‒ 実装
“シフトレフト”でセキュアなビジネス
を実現
© Asterisk Research, Inc. 23
⼊⼒データ信頼の
条件
採⽤する認証メカ
ニズム
認証と認可 データと制御の分
離
暗号化と機密デー
タの識別
外部コンポーネン
トの影響
ログ、エラーの取
扱要件
想定脅威の分析
データベースアク
セス
エンコーディング
とエスケープ
⼊⼒値検証 IDと認証管理
アクセス制御 データ保護 ログ、モニタリン
グの機能
エラー処理と例外
処理
設計を反映する「コード」の管理と改善がキモ

24. モニタリングがDevOpsシフトレフトにつながる
(c) Riotaro OKADA / Asterisk Research, Inc.

25. どこをどの
ように改善
するかまで
エンパワー
する
脆弱性修正のベストフィックスロケーション

26. まとめ: DXのセキュリティ・バイ・デザイン
1.プロトタイプフェーズ
• アドホックが当然
• 安全な実験場の確保が⼤事
• 技術実現の⽅式調査の⽀援
2.仕組み化導⼊フェーズ
• Weakest Linkはユーザ⾃⾝
• 利⽤状況の把握と異常の定義
• DevOpsサイクル構築
3. 組織的展開と発展
フェーズ
• モニタリングの定期共有
• アラートとインシデント対応
• DevOpsチームのエンパワー
(c) Riotaro OKADA / Asterisk Research, Inc. 26
データレイク アクセス制限
アプリケー
ション
モニタリング

27. セキュリティとDXの成功の秘密：
対⽴から対話への変⾰
(c) Riotaro OKADA / Asterisk Research, Inc. 27

28. CISOハンドブック
• 「CISOハンドブック」
• 13の章と21のコラム
• 理解を深める8つの付章
• 全400ページ、11名の執筆陣
• 2018年刊に次ぐ改訂新版。
2021年

29. 酒井真弓さん
ノンフィクションライターとし
て⾏政から⺠間までを対象に幅
広く記事執筆
2021年

30. イカセンター
2021年
https://ikacenter.com/

31. コープさっぽろ
2021年

32. TRIAL
2021年

33. DXはビジネスのデザイン
問題解決だけにつかうものかな？
(c) Riotaro OKADA / Asterisk Research, Inc. 35

34. ありがとうございました
岡⽥良太郎
riotaro@rsrch.jp