Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Speaker Deck
PRO
Sign in
Sign up for free
サイボウズのセキュリティの取り組み
Cybozu
PRO
July 23, 2022
Technology
0
300
サイボウズのセキュリティの取り組み
Cybozu
PRO
July 23, 2022
Tweet
Share
More Decks by Cybozu
See All by Cybozu
テキストマイニングを使って 今年1年のレビュー内容をふりかえってみた話
cybozuinsideout
PRO
0
180
Waffle Festival「ITのすゝめ~文系からITキャリアへ」
cybozuinsideout
PRO
1
180
サイボウズのプロダクトデザイナーについて
cybozuinsideout
PRO
0
690
jsconf-sponsor-lt.pdf
cybozuinsideout
PRO
0
4.1k
Kubernetesストレージ可用性の監視ツール「pie」のご紹介
cybozuinsideout
PRO
0
52
kintone UXリサーチャーのお仕事紹介
cybozuinsideout
PRO
1
840
サイボウズのUXリサーチャーについて
cybozuinsideout
PRO
0
410
サイボウズの日英翻訳/ローカライズ担当について
cybozuinsideout
PRO
0
460
Garoon 開発チーム / Garoon development team
cybozuinsideout
PRO
0
1.1k
Other Decks in Technology
See All in Technology
もし本番ネットワークをまるごと仮想環境に”コピー”できたらうれしいですか? / janog51
corestate55
0
390
初めてのデータ移行プロジェクトから得た学び
tjmtmmnk
0
410
組織に対してSREを適用するとどうなるか
kuniim
9
3.1k
01_ユーザーリサーチ実施の進め方
kouzoukaikaku
0
770
SPA・SSGでSSRのようなOGP対応!
simo123
2
160
Multi-Cloud Gatewayでデータを統治せよ!/ Data Federation with MCG
tutsunom
1
350
イ良い日ンマを作る(USBストレージ容量偽装の手法) / USB Storage Capacity Faking Techniques
shutingrz
0
560
OCI技術資料 : ロード・バランサー 詳細 / Load Balancer 200
ocise
2
7.2k
MoT/コネヒト/Kanmu が語るプロダクト開発xデータ分析 - 分析から機械学習システムの開発まで一人で複数ロールを担う大変さ
masatakashiwagi
3
790
メドレー エンジニア採用資料/ Medley Engineer Guide
medley
3
5.1k
NGINXENG JP#2 - 1-NGINX-エンジニアリング勉強会-きょうの見どころ
hiropo20
0
120
PCI DSS に準拠したシステム開発
yutadayo
0
310
Featured
See All Featured
Writing Fast Ruby
sferik
613
58k
Adopting Sorbet at Scale
ufuk
65
7.8k
Streamline your AJAX requests with AmplifyJS and jQuery
dougneiner
128
8.8k
Templates, Plugins, & Blocks: Oh My! Creating the theme that thinks of everything
marktimemedia
15
1.2k
Web Components: a chance to create the future
zenorocha
304
40k
Building a Scalable Design System with Sketch
lauravandoore
451
31k
The Pragmatic Product Professional
lauravandoore
21
3.5k
Support Driven Design
roundedbygravity
88
8.9k
Building Flexible Design Systems
yeseniaperezcruz
314
35k
Helping Users Find Their Own Way: Creating Modern Search Experiences
danielanewman
10
1.3k
5 minutes of I Can Smell Your CMS
philhawksworth
198
18k
Rebuilding a faster, lazier Slack
samanthasiow
69
7.6k
Transcript
サイボウズのセキュリティの取り組み 2022/7/23 LOCAL Developer Day Online '22 /Security
自己紹介 ▌松本 純 旭川市出身、旭川高専 (システム)制御情報工学科 1994/4/1 某ゲーム会社 ゲームプログラム開発、システム・ネットワーク管理
セキュリティ、不正対策(チート・海賊版)、インシデント対応 2022/4/1 サイボウズ株式会社 セキュリティ室 2 (010430)
サイボウズについて ▌会社の理念「チームワークあふれる社会を創る」 チームワークを支えるソフトウェアサービスの開発・運用 会社や組織のチームワークを育てるための活動 3
Cy-SIRT : セキュリティ・インシデント対応チーム ▌Cybozu の SIRT → Cy-SIRT ▌CSIRT
Computer Security Incident Response Team コンピューターセキュリティインシデントに対応するチーム ▌Cybozu = cyber + bozu 電脳 + 坊主(子供) → 電脳社会の未来を担う者達 4
Cy-PSIRT と Cy-SIRT 5 Cy-SIRT Cy-SIRT 会社のセキュリティ セキュリティ室 Cy-PSIRT 製品のセキュリティ
開発本部に属する
Cy-PSIRT 6 https://blog.cybozu.io/entry/2021/10/08/170000
7 https://cs.cybozu.co.jp/2022/007584.html
検出:脆弱性の発見方法 ▌PSIRTメンバによる社内検証 ソースコードや仕様書などを踏まえた検証 ▌第三者による脆弱性診断 外部セキュリティベンダに脆弱性診断を依頼 ▌脆弱性報奨金制度(バグバウンティ) 次ページで詳しく 8
脆弱性報奨金制度(バグバウンティ) ▌善意のエンジニア(バグハンター)の多様な視点による検証 ▌報告内容を知見として蓄積、製品の堅牢化に活用 ▌2014年スタート ▌バグハンターコミュニティの活性化にも注力 バグハンター合宿、ポイント・ランク制度見直し、報奨金倍増 ▌https://cybozu.co.jp/products/bug-bounty/ 9
Cy-SIRT(セキュリティ室) ▌会社組織としてのセキュリティ対策 社員のセキュリティ教育・訓練、相談対応 セキュリティ認証取得の事務局対応 (ISMS, ISMAP) 外部からの情報収集、社内への発信 対外窓口業務(Cy-SIRT運営) インシデント対応 10
ISMS (ISO/IEC 27001) ▌Information Security Management System 情報セキュリティマネジメントシステム ▌情報資産のセキュリティを管理する枠組みを作り、適切に実施 している組織を認証する仕組み(第三者によるお墨付)
ステークホルダーの信頼感・安心感を高めたい ▌2011年に認証取得、その後毎年更新 11
ISMAP ▌Information system Security Management and Assessment Program 政府情報システムのためのセキュリティ評価制度 ▌政府のクラウド・バイ・デフォルト原則を背景に制定
▌政府機関は、原則として「ISMAPクラウドサービスリスト」に掲 載されたサービスから調達を行う ▌2021年、ISMAPクラウドサービスリストに掲載 国内SaaSベンダで一番乗り! 12
外部セキュリティ団体との交流・情報交換 ▌IPA, JPCERT/CC ▌NCA (日本シーサート協議会) ▌JNSA (日本ネットワークセキュリティ協会), ISOG-J ▌Software ISAC
(CSAJ) ▌セキュリティ・キャンプ、SecHack365 ▌イベント協賛、勉強会・セミナー参加など 13
なぜ外部と積極的に交流するのか? ▌セキュリティインシデントは自社だけで対応することが困難 攻撃手法の多様化・高度化・複雑化 自社だけで蓄積できるノウハウには限りがある インシデント対応には外部の様々な組織との連携が必要 ▌各組織の経験や情報を、ルールに則りながら共有 効率的・効果的なセキュリティ対策に活用、皆で底上げを! 14
セキュリティの仕事に必要なもの(私見) ▌事業やリスクへの理解 ▌コミュニケーション力(社内・社外) ▌技術 ネットワーク、セキュリティ、規格、インシデント事例調査 ▌継続的な情報収集・学習 コミュニティ活動大事、切磋琢磨できる仲間大事 15
サイボウズ セキュリティ室 Twitter ▌https://twitter.com/CybozuSecurity ▌少人数で頑張るCSIRTを応援したい セキュリティの仕事にチームワークを! ▌セキュリティ業務や今関心のあるトピックを発信 ▌セキュリティに興味を持ってもらいたい、事業会社のセキュリティ チームの活動を知ってほしい 16