Recommandé
Recommandé
Contenu connexe
Tendances
Tendances (20)
Similaire à [SC12] あなたのチームのセキュリティスキルは十分ですか？DevSecOpsを見据えたセキュリティ人材の育成方法
Similaire à [SC12] あなたのチームのセキュリティスキルは十分ですか？DevSecOpsを見据えたセキュリティ人材の育成方法 (20)
Plus de de:code 2017
Plus de de:code 2017 (20)
Dernier
Dernier (12)
[SC12] あなたのチームのセキュリティスキルは十分ですか？DevSecOpsを見据えたセキュリティ人材の育成方法
- 2. Cloud Security Lab. あなたのチームの セキュリティスキルは十分ですか？ DevSecOpsを見据えたセキュリティ人材の育成方法 株式会社ディアイティ クラウドセキュリティ研究所 河野 省二 <kawano.shoji@security-policy.jp>
- 3. Cloud Security Lab. 開発者にもセキュリティは必要 • Security by Designの勘違い？ • 既存のぜい弱性に対応したプログラミングをするのではなく、 将来のリスクに対応したプログラミングを行う • 認証はどれがよいか？ • 時代によって変わるものは、いつでも入れ替えることができる ように設計するのが良い • 問題があればすぐに入れ替えることができる粒度感でモジュー ル設計ができることがセキュアプログラミングのセンスかも 3 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？
- 5. Cloud Security Lab. 攻撃単位で考えると・・・ 5 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ メールの 添付・リンク ウイルス感染 権限の昇格 情報窃取 標的型メール攻撃の一般的な例
- 6. Cloud Security Lab. ランサムウェアでは 6 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ メールの 添付・リンク ウイルス感染 権限の昇格 情報窃取 ファイル暗号化 結果が変わればランサムウェア
- 7. Cloud Security Lab. スタックスネットはベイティング攻撃 7 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ メールの 添付・リンク ウイルス感染 権限の昇格 情報窃取 CD-ROM USBメモリ ファイル暗号化 不正操作 入り口が変わればベイティング攻撃 イランはこれでやられた
- 8. Cloud Security Lab. 最近流行りのアレは・・・ 8 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ メールの 添付・リンク ウイルス感染 権限の昇格 情報窃取 CD-ROM USBメモリ ファイル暗号化 SMBサービス 不正操作 最近流行りのアレはこんな感じ 入り口が変わったので、監視が変わる
- 9. Cloud Security Lab. 多層防御と対策効率 9 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ メールの 添付・リンク ウイルス感染 権限の昇格 情報窃取 CD-ROM USBメモリ ファイル暗号化 SMBサービス 不正操作 入り口対策 内部対策 出口対策
- 10. Cloud Security Lab. 脅威のモデル化が重要 • セキュリティベンダーは「○○攻撃」というが、それを 名乗っている攻撃者はいない・・・ • 攻撃は脅威にさらされることの連鎖であり、これをどこで止め るかが重要になる • サービス設計者は脅威をよく理解すること • 攻撃はどんどん出てくるので「事前に対応」するためには、こ れまでの攻撃のパターンを良く理解して重要なポイントがどこ かを特定することが重要 10 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？
- 11. Cloud Security Lab. 情報セキュリティ対策のフェーズ 11 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ 影 響 の レ ベ ル 計画 実装 事故の発生 対応 再発防止 ポリシー策定 抑止・防止 補正的対策 検知 是正・対応 復旧 ここで食い止めたい
- 14. Cloud Security Lab. DevOpsによってサイクルが早くなった • ビジネスのスピードに合わせるためにDevOpsが採用され ている • 新規サービスの提供、システム改善のスピードと回数の向上 • それに合わせたセキュリティの提供 • DevOpsによって現場の情報が得られるようになった • 現場がやりたいことを自分でできる →セルフサービス化 • 現場ができないことをリクエストする • 現場の状況を把握して改善する 14 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？
- 15. Cloud Security Lab. 運用・保守 開発者は運用のためのセキュリティを作る 15 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ 業務設計・実装（Dev） 事故対応（Sec）運用・保守（Ops） 業務 ITサービス・システム 既存のリスク 新規リスク 補修・改善 復旧 封じ込め 原因究明 運用・保守 監視・検知 補修改善が終わるまでの対応 補修・改善
- 16. Cloud Security Lab. 例えば・・・認証はどのように実装するのか 16 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ 認証機能の実装 • 認証要素の選択 • ベースラインの設定 • 多要素認証の可能性 開発 運用・保守 初期設定 • 認証の初期設定 • 登録作業 自律型デバイス • 自動設定 • 自動防御 利用者 • 企業のポリシー • 個人設定 製品の出荷までにできることを 考慮する必要がある → 正しく実装したことの証明 出荷後にサービス担当が できることを考慮する → UIとログの実装 利用の現場で実施できることを 考慮する必要がある → ユーザインタフェースの実装 たとえば、認証機能の実装と認証要素のベースラインの設定
- 17. Cloud Security Lab. 暗号化は秘匿のためだけではない • 暗号化によるデータの秘匿の課題 • 暗号キーがバレてしまえばフルアクセスできる • 適切な人にしか鍵がわたらないようにする • できれば鍵はアクセスごとに毎回変わる • 誰が鍵を手にしたかがわかる • 誰が鍵を使ったかがわかる • データライフサイクルに渡って暗号化が有効かを考える • 作成してから廃棄するまでの記録をとれる仕組み 17 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？
- 19. Cloud Security Lab. サービスのセキュリティとは • サービスにおけるセキュリティ機能の提供 • 事故が発生しないような保護機能 • 事故が起きたらすぐに気づくような検知機能 • 事故の原因究明、行動証明ができる記録機能 • セキュリティは「情報資産の保護」ではない • 暗号化とかぜい弱性のないアプリとかを目指していても、運用 コストを低減することはできない 19 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？
- 20. Cloud Security Lab. 情報セキュリティ活動とは 20 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ 検知予防 対応 復旧 ◯ 普遍化による学習と成長 平常時 事故対応 平常時 対策は期待通りに 機能しているか ① 封じ込め ② 調査・分析 ③ 再発防止策の計画 対策は期待通りに 機能しているか ✕ IT制限による効率悪化
- 21. Cloud Security Lab. 基本は「説明責任」 • 「だれがいつ何をしたのか」を説明する • サーバ上で何が起きたのかではなく、誰がなにをしたかを説明 する必要がある • 一つのサービスログだけで完結しない事象がある。他のサービ スのログとの融合が重要 • ID管理とログ管理 • 説明責任を明確にするための基盤としてID管理を行う • 出来る限りパスワードを使わない認証を心がける 21 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？
- 22. Cloud Security Lab. ID管理がセキュリティの基本 22 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ 識別 認証 認可 説明責任 R ------ W ------ X ------
- 23. Cloud Security Lab. すべてを仲介する仕組みを作る 23 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ S サブジェクト O オブジェクト R リファレンス モニター Log 監査ログ ACL アクセスコントロールリスト
- 24. Cloud Security Lab. 仕組みをうまく運用させるために • サブジェクトと認可 • サブジェクトの分類 • 分類と認可 → 役割に応じたアクセス制御（RBAC） • いかに適切な粒度で管理できるか • オブジェクトの分類 • すべてのオブジェクトを分類 • 誰がなににアクセスできるのか 24 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？
- 25. Cloud Security Lab. 開発者のためのログから運用のためのログへ • 情報の保護ではなく、情報セキュリティをちゃんとやってい ることを証明できなくてはいけない • マイナンバーなんて漏れても誰が漏らしたかわからない • でも、自分たちが漏らしていないことを説明できなければ、疑われて ネット社会は大炎上 • ちゃんと説明できるまでは仕事に戻れない・・・ • ちゃんと説明できるようにするために必要なもの • メンテナンスログ（開発用） • システムログ、監査ログ（説明責任） • eディスカバリー（訴訟対策） 25 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？
- 26. Cloud Security Lab. いつでも最新のセキュリティを・・・ 自分のあたまでセキュリティを考えるために 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ 26
- 27. Cloud Security Lab. 自分の頭でセキュリティを考えるには • 攻撃の防御ではなく「正しいIT活用の維持」 • 攻撃に対応していると対症療法になってしまう • 正しいIT利用とはなにかを明確にし、それを維持するためにな にをすべきかを考える • たとえば暗号化では・・・ • 暗号強度を考慮することは重要だけど、運用を考えるとそうで はない。そこを自分の頭で考えてみよう 27 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？
- 29. Cloud Security Lab. 河野 省二 ＜セキュリティは科学だと伝えたい＞ 29 2017年5月23日あなたのチームのセキュリティスキルは十分ですか？ 河野 省二（かわのしょうじ） 株式会社ディアイティ クラウドセキュリティ研究所 所長 kawano.shoji@security-policy.jp • 経済産業省 • クラウドセキュリティ研究会 • セキュリティガバナンス研究 会 • セキュリティ監査研究会 な ど • 情報処理推進機構 • セキュリティセンター研究員 • 日本セキュリティ監査協会 • スキル部会副部会長 • NPO クラウド利用促進機構 • セキュリティアドバイザー • JTC1/SC27 WG1委員 • 東京電機大学未来科学部 非常勤講師 • (ISC)2 認定主席講師 など
- 30. セッションアンケートにご協力ください ➢ 専用アプリからご回答いただけます。 decode 2017 ➢ スケジュールビルダーで受講セッションを 登録後、アンケート画面からご回答ください。 ➢ アンケートの回答時間はたったの 15 秒です!
- 31. Ask the Speaker のご案内 本セッションの詳細は『Ask the Speaker Room』各コーナーカウンタにて ご説明させていただきます。是非、お立ち寄りください。