現実的なセキュリティ体制の構築 限られたリソースの中で成果を最大化する「選択と集中」

Transcript

1. 現実的なセキュリティ体制の構築 限られたリソースで成果を最大化する「選択と集中」 2026.08.18 株式会社出前館 IT本部/セキュリティ部/セキュリティグループ 白取 卓也 © Demae-can Co., Ltd. 1
2. 目次 01 自己紹介 02 出前館の現状 03 脅威インテリジェンスの設計・実装 04 脆弱性対応がリソースを圧迫 05 CTEM導入による連携強化 © Demae-can Co., Ltd.
3. 1. 自己紹介 • 氏名：白取 卓也 • 所属：株式会社出前館 IT本部/セキュリティ部/セキュリティグループ • セキュリティ体制 • IT本部内で連携してコーポレートセキュリティ/ プロダクトセキュリティを担当 • セキュリティ専任は数名 私の担当領域 • • これまでの経歴 • • © Demae-can Co., Ltd. 脅威インテリジェンス / ASM SOCの検知体制整備 / DevSecOps（整備中） 約7年情シス・コーポレートエンジニアとして勤務し、 担当領域の一つとしてセキュリティを担当→セキュリ ティに専念するために2025年10月に出前館へ入社 3
4. 2. 出前館の現状 出前館とは 出前館は、全国47都道府県に展開する国内最大 級のデリバリーサービスです。 私たちのミッションは「テクノロジーで時間価値を高める」 ことです。テクノロジーの力を駆使し、人々の生活や時間を より価値あるものにするべく、1999年の設立以来、着実に成 長を遂げてきました。 単なるデリバリーサービスにとどまらず、日本社会が直面す るさまざまな課題の解決にも取り組んでおり、地域の人と人 を繋ぎ、ライフインフラとして地域経済のさらなる活性化を 目指しています。 © Demae-can Co., Ltd. 4
5. 2. 出前館の現状 マイクロサービス化を推進：複雑なデリバリービジネスの開発を効率化するため © Demae-can Co., Ltd. 5
6. 2. 出前館の現状 セキュリティ目線で マイクロサービスって難しい・・・ 1. 技術スタックの多様化 2. 攻撃経路が増加 3. 認証境界が増加 など © Demae-can Co., Ltd. 6
7. 2. 出前館の現状 入社後に取り組んだことは以下の3点です 設計 各マイクロサービスに共通する セキュリティ運用の設計・実装 ② 計測 運用のモニタリング・安定化 （KGI/KPIの月次報告、脅威トレンド収集） ③ 連携 CTEMで運用間の連携を強化 ① 7 © Demae-can Co., Ltd.
8. まとめ 少人数体制だからこそ、守る優先順位を決める # 設計 スコープの 1 明確化 対応基準の 2 標準化 詳細 • Tacticalインテリジェンスは深刻な脅威 • リソースを最大限活 に限定 用する基盤の構築 • リスク受容基準の明確化 • 閾値と例外条件を定義し、共通基準によ • 判断の高速化 る判定 • 属人化排除 緊急対応対象 • CVSS単独ではなく、悪用データと攻撃 3 の限定 経路・資産の重要度で優先順位付け 4 効果 • リスクベースの脆弱 性管理を実現 運用間の連携 • CTEMを活用し、優先度の高い脅威・脆 • 限られたリソースで 強化 弱性をSOC・ASM・担当部署と連携 成果を最大化 © Demae-can Co., Ltd. 8
9. 3. 脅威インテリジェンスの設計・実装 Before(課題) After 重大な脆弱性を散発的に対応 目的・対応基準・情報源を定義 脅威トレンドが追えていない KGI/KPIを設定し、月次で傾向を把握 提供先が不明確 意思決定者・ASM・SOCへFB <目的> • サイバー攻撃へのプロアクティブな対策と早期発見 • 自社にカスタマイズしたセキュリティの実装 • 意思決定者にセキュリティトレンド情報を提供する © Demae-can Co., Ltd. 9
10. 3. 脅威インテリジェンスの設計・実装 「選択と集中」ポイント1 • スコープの明確化 • 他運用へのFBや中長期目線で活用 できるStrategic / Operational に集中 • 例外条件 • Tacticalも例外基準を設け、深刻 な脆弱性に関連するIoCをキャッ チアップできるフローを整備 （SSVCなどを活用） © Demae-can Co., Ltd.
11. 3. 脅威インテリジェンスの設計・実装 「選択と集中」ポイント2 • 脆弱性対応基準の標準化 • まずIPAの指標（※）を参考に 「CVSS7.0以上かつEPSS10%以上」を 自社の閾値として脅威レベルを判定 • さらに資産の重要度を加味して、最終的 な対応優先度を決定 • 閾値明確化の目的 • 判断の高速化・属人化排除・リスク受容 基準を明文化するため。 ※出典：IPA「脆弱性対応におけるリスク評価手法のまとめ」 © Demae-can Co., Ltd.
12. 4. 脆弱性対応がリソースを圧迫 課題 打ち手 開発・セキュリティ双方のリソース を圧迫し、ビジネス成長を阻害 対応優先度の高い脆弱性へリソース を集中 <背景> <詳細> • AI支援で長年潜在していた影響範囲の • リスク受容基準を明確化 広い低レイヤー脆弱性が相次いで発見 • 例：Copy Fail(CVE-2026-31431) • マイクロサービスでは影響判断が 難しい © Demae-can Co., Ltd. • 閾値・再評価条件などを定義 • ※定義した閾値を超えた場合は 即時修正対応へ移行 • リスクベース脆弱性管理を導入 12
13. 4. 脆弱性対応がリソースを圧迫 「選択と集中」ポイント3 • 緊急対応対象の限定 • EPSSによる悪用可能性、KEVによる悪用実績、攻撃経路・資産の重要度 で優先順位付け • 例外条件 • 認証不要RCEなどの深刻な脆弱性は、Tacticalインテリジェンスの IoC収集フローで運用していた既存の例外基準と統合し、緊急対応へ接続 • 例：React2Shell（CVE-2025-55182） © Demae-can Co., Ltd. 13
14. 5. CTEM導入による連携強化 個別運用の整備から横断連携のフェーズへ 基盤構築完了 新たな課題 • 脅威インテリジェンス /ASM/SOCの運用基 盤を整備 • 優先度基準が運用ごと に分散 • DevSecOpsの合意形 成完了 →導入体制整備中 • 連携条件・連携先が未 定義（属人化） CTEMで共通化 • 優先度基準を統合 • 連携条件・FB先を明文 化 優先度の高い脅威・脆弱性に対して「検知→判断→対応→改善」の FBループを確実に実施する © Demae-can Co., Ltd. 14
15. 5. CTEM導入による連携強化 CTEM：継続的脅威エクスポージャー管理 • 脆弱性・設定ミス・攻撃経路など のエクスポージャーを継続的に管 理する5段階のフレームワーク • CTEM Maturity Model（※）を 指標として活用 ※出典：SANS Institute「Introducing the CTEM Maturity Model」 © Demae-can Co., Ltd. 15
16. 5. CTEM導入による連携強化 CTEM導入効果の一例：検証結果を各運用の対応・改善へスムーズに連携 <SOC｜検知改善> 侵害有無の確認・検知ルールへ反映 <Validation> • 悪用動向の継続監視 • 対策実効性の検証 <Prioritization｜基準再適用> 検証結果を優先度基準で再判断 <Mobilization｜対応実行> 修復・緩和策完了まで追跡 <P.12のリスクベース脆弱性管理を含む優先度基準の共通化> <Before> CTI内で優先 度基準を個別管理 CTEMの Prioritizationへ移管 <After> ASM等の 各運用で共通利用 16 © Demae-can Co., Ltd.
17. まとめ 【再掲】少人数体制だからこそ、守る優先順位を決める # 設計 スコープの 1 明確化 対応基準の 2 標準化 詳細 • Tacticalインテリジェンスは深刻な脅威 • リソースを最大限活 に限定 用する基盤の構築 • リスク受容基準の明確化 • 閾値と例外条件を定義し、共通基準によ • 判断の高速化 る判定 • 属人化排除 緊急対応対象 • CVSS単独ではなく、悪用データと攻撃 3 の限定 経路・資産の重要度で優先順位付け 4 効果 • リスクベースの脆弱 性管理を実現 運用間の連携 • CTEMを活用し、優先度の高い脅威・脆 • 限られたリソースで 強化 弱性をSOC・ASM・担当部署と連携 成果を最大化 © Demae-can Co., Ltd. 17
18. コラム：出前館でのAI利用場面 CTEM 主な用途 フェーズ 利用 度 Scopin ・要件整理・ドキュメント作成支援 g ・MITRE ATT&CK Technique抽出 △ ・脆弱性/OSINT情報の収集→加工 Discov ・概要・影響情報の抽出 ery ・エクスポージャー検出プログラムの作成 ・CVSS/EPSS/KEV等の整理 Prioriti ・SSVC判定に必要なOSINT詳細調査 zation ・攻撃経路・資産状況を加味した評価 Valida tion ・SOC検知ルールの素案作成 Mobili zation ・チケット起票 ・PoCの有効性チェック ・依頼文面/アナウンス文面の作成補助 © Demae-can Co., Ltd. ◎ ◎ ◦ △ 18
19. さいごに 出前館では、セキュリティ人材積極採用中です！ 詳しくは出前館リクルートサイトで 情シス・エンジニアも積極採用中 • 情報システム（IT戦略） • インフラエンジニア（IT基盤） • SRE • データベースエンジニア • サーバーサイドエンジニア • フロントエンドエンジニア • QAエンジニア © Demae-can Co., Ltd.
20. THANK YOU. ご清聴ありがとうございました © Demae-can Co., Ltd.