グリーのセキュリティ戦略：組織改革成功の秘訣と新たな課題への取り組み

Copyright © GREE, Inc. All Rights Reserved.Copyright © GREE, Inc. All Rights Reserved.
グリーのセキュリティ戦略
組織改革成功の秘訣と新たな課題への取り組み
Jul. 2, 2019
奥村祐則 (Masanori OKUMURA)
【S-6】

Copyright © GREE, Inc. All Rights Reserved.
Introduction
奥村祐則 (Masanori OKUMURA)
グリー株式会社開発本部セキュリティ部部長
GREE-IRT PoC
社歴7年+
セキュリティ専任では1人目の社員
おおよそセキュリティとつく仕事はなんでも
社会人歴は18年くらい
なんだかんだでセキュリティばっかりやってる(エンジニア、コ
ンサル、監査、CSIRT, etc…)
登壇/メディア掲載歴
Internet Week 2014, myNavi, NCAシーサートワークショッ
プ, Akamai Edge Japan 2017, 情報セキュリティマネジメント
フォーラム, Gartner Security & Risk Management Summit
2018 など
（NY times, AERA, 広報しながわ）
2

https://corp.gree.net/jp/ja/business/
グリーグループ事業領域
©Wright Flyer Live Entertainment, Inc./©Ficty

グリーコーポレートミッション
インターネットを通じて、
世界をより良くする。

グリー組織図
● いわゆるコーポレートIT部門
● 商用サービスのインフラ部門
● Data Engineering部門
● CS/QA部門
● セキュリティ
開発本部はバックオフィスとは別の本部として独立して存在
コーポレート本部（バッ
クオフィス）
開発本部
（DD）
各事業部門

Confidential Copyright © GREE, Inc. All Rights Reserved.
自警団
グリーセキュリティ年表
2012 2013 2014 2015 2016 2017
分断期1
1. 自警団　（2011以前
2. 黎明期　（2012くらい
3. 分断期1　バックオフィス・サービスの分断（2013～14くらい
4. 分断期2　ポリシー・インプリの分断（2014～16くらいまで
5. 統一期　（2016後半
6. 大規模インシデント（2016末）
7. 再定義期　真のフルスタックを目指して
2018
1-6 7-12 1-6 7-12 1-6 7-12 1-6 7-12 1-6 7-12 1-6 7-12 1-6 7-12
2019
1-6 7-12
2011
1-6 7-12
黎明期分断期1 分断期2
統一
期
再定義期

セキュリティ関連組織図
● 全社横断の取り組みを進めようとしたが、事業部門の反発を買う
● 2014年にはバックオフィス領域だけでISMS認証を取得
分断期1: バックオフィス・サービスの分断
バックオフィス
（コーポレート）
開発本部
（DD）
各事業部門

インシデントの発生 - サーバーへの不正アクセス
プレスリリースを打つ大事故
http://corp.gree.net/jp/ja/news/press/2016/1227-01.html

● セキュリティと言えばセキュリティ部、と認知してもらおう
● エンジニアも非エンジニアも、お互いを認めよう
● フルスタックの原型ができる
統一期：キーワード
「ワンストップ」

Confidential Copyright © GREE, Inc. All Rights Reserved.
セキュリティ部体制
● 2019/07/01時点
セキュリティ
診断チーム
Security Assessment Team
セキュリティ部
Security Unit
奥村祐則
セキュリティ
推進チーム
Security Operation Team
セキュリティ
エンジニアリングチーム
Security Engineering Team
※エンジニアは兼務者あり、推進チームは業務委託あり

セキュリティ関連組織図
● インシデント対応力を一から見直し
● 事業部門とのパイプを強化
再定義期
バックオフィス
（コーポレート）
開発本部
（DD）
各グループ会社・各事業部門

対外的には：
● セキュリティ問い合わせ窓口一本
化による効率化
● オールジャンルセキュリティをア
ピールすることで、今まで拾えな
かった案件捕捉が可能に
（Identification だいじ）
"フルスタック" でよかったこと
「テーラーメイド」を心掛けた：
● 事業も多角化し、全く同じ悩み・課
題を抱えているということはまず
ない

非エンジニアリング目線では：
● セキュリティ未経験者でもセキュリ
ティ部で活躍出来るように
● エンジニアに近くなったことで
○ 技術的相談
○ 定型作業向けフォーム作成・集計
自動化の依頼
が容易になり、より効率化
"フルスタック" でよかったこと（部内）
エンジニアリング目線では：
● エンジニアリングに注力出来る
○ 最初は未知の相談案件でも、類似
案件のノウハウを貯めて移管
● エンジニアが対面対応するケース
の削減
○ 診断により見つかった脆弱性の連
絡・修正トラッキング
○ 問い合わせ一次対応
● いわゆる渉外（社外・部外）が激
減
○ 診断の内製化に注力できた
○ 診断以外のこともできるようになっ
た（海賊版撲滅CP）

グリーのセキュリティ戦略：組織改革成功の秘訣と新たな課題への取り組み

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à グリーのセキュリティ戦略：組織改革成功の秘訣と新たな課題への取り組み

Similaire à グリーのセキュリティ戦略：組織改革成功の秘訣と新たな課題への取り組み (20)

Plus de gree_tech

Plus de gree_tech (20)

グリーのセキュリティ戦略：組織改革成功の秘訣と新たな課題への取り組み