Takumiから考えるSecurity_Maturity_Model.pdf

こちらのイベントで登壇した資料です。
https://flatt.connpass.com/event/377261/

■ 解説
セキュリティ診断AIエージェント「Takumi」は診断時に脆弱性のレベルを提案してくれています。しかし、更にソースコードを追跡してトリアージした結果、対応が必要ではないケースも数多く存在します。　ここからセキュリティ成熟度の本質を考察しながら、AIツールと人間の役割分担を考えます。Takumiが「疑わしきを検出」し、人間が「文脈を理解して判断」する。この協働モデルこそが、成熟したセキュリティ組織の姿ではないでしょうか。 この両輪で回すセキュリティ体制についてをお話出来ればと思います。

Transcript

1. © PartnerProp Inc. PRM Partner Relationship Management Takumiから考える Security Maturity Model
2. 自己紹介 株式会社パートナープロップ エンジニアリング部 Head of Engineering 下司 宜治 (げっしー) 新卒でヤフーに入社。 VPoEや部長などを歴任 採用・組織作り・技術的負債 改善からリアーキテクチャ、 SRE、CRE、QA領域などプラットフォーム部分を担当。エン ジニア組織を10名から200名まで拡大。 検索、広告、EC、ERP、EDIなど 多種多様なサービス開発 ・運営経験を持ち、フロントエンドからインフラまでを幅広く担 当。 現職で AI開発を推進。 D-Plus、EMゆるミートアップ、VPoEミートアップ運営 http://fb.me/gessy0129 @gessy0129
3. PartnerProp Inc. 会社紹介
4. 会社紹介 パートナーマーケティング SaaSシステム 　　　　　日本国内で No.1調達額
5. © PartnerProp Inc. パートナーチャネルと ？ 企業間取引 パートナー活用率 80% パートナーチャネルを活用する企業例 事業成⻑のために約8割の企業が利⽤している営業チャネル パートナーチャネル 活用率
6. © PartnerProp Inc. パートナーチャネルと ？ メーカー 顧客 （エンドユーザー） 顧客 パートナー 顧客 顧客 PartnerProp(PRM) パートナーと共に市場拡大推進 CRM 社内営業活動 最適化
7. © PartnerProp Inc. グローバルで パートナーチャネル DX に投資が進む 2031年に市場規模 40兆円へ拡大す る 成長マーケット 米国で ユニコーン企業も登場 大型調達も拡大中 … USD 150M(2021/07) USD 50M(2021/10) USD 29M(2021/05) PRM Partner Relationship Management グローバル PRM マーケット
8. 今日話すこと Takumiから考える Security Maturity Model 実例紹介 今後について
9. PartnerProp Inc. Takumiから考える Security Maturity Model
10. Security Maturity Model 導入検討
11. Security Maturity Model 導入検討
12. PartnerProp Inc. Security Maturity Model 実現 壁
13. Security Maturity Model 実現 壁
17. 現在 運用フロー Takumi 導入と実運用について Security Maturity Model LLMを使った開発をしていない コード規約がない 週２実施 コード追跡に FB 開発にFB
20. 検出内容 フロントエンドでXSS 可能性 コード追跡 HTMLPurifier strip_tags htmlspecialchars 判断 対応不要 フロント単体で 危険に見 えるが、バックエンド 多 層防御で無害化済み
22. 検出内容 他 テナント データに アクセス可能と報告 コード追跡 全テナント横断用APIで正 しい仕様だった 信頼境界 認識齟齬 判断 対応不要 アクセス制御 境界がAPI 種別ごとに異なる
24. 検出内容 認証不備 ある エンドポイントを検出 コード追跡 現在どこからも未使用 認証設計が未完成 既にIssueとして起票済 み 判断 既知課題として管理 脆弱性 存在するが 未使用かつ既知 ため管 理下に
29. Level2とLevel3に 大きな壁がある
30. PartnerProp Inc. 協働モデル Takumiと人間 役割分担
32. Takumiなしで トリアージ対象を見つけられない トリアージ無しで アラート疲れで形骸化する
33. 現在 運用フロー Takumi 導入と実運用について Security Maturity Model LLMを使った開発をしていない コード規約がない 週２実施 コード追跡に FB 開発にFB
37. パートナーマーケティングを実現する 「PartnerProp」と ？