Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
グリーのセキュリティ戦略:組織改革成功の秘訣と新たな課題への取り組み
Search
gree_tech
PRO
July 03, 2019
Technology
0
91
グリーのセキュリティ戦略:組織改革成功の秘訣と新たな課題への取り組み
「Akamai Security Conference 2019」で発表された資料です。
https://www.event-entry.net/akamai/sc2019/
gree_tech
PRO
July 03, 2019
Tweet
Share
More Decks by gree_tech
See All by gree_tech
kustomizeをいい感じに使う方法
gree_tech
PRO
3
1.1k
スケーラビリティとコスト管理 Google Cloud Spanner 費用最適化の取り組み
gree_tech
PRO
0
540
「アナザーエデン 時空を超える猫」の5年前のログを引っ越してデータドリブンで事業運用プロセスを改善した話
gree_tech
PRO
0
380
Unity,PHP+Jenkins+GAS 多言語対応を意識させない開発を目指したシステム構築
gree_tech
PRO
0
830
全社総会における「REALITY Spaces」の活用と、Addressableを用いたコンテンツ配信技術について
gree_tech
PRO
0
500
AWSのEKS環境でログ機能を構築/リリースしたお話
gree_tech
PRO
0
380
「ヘブンバーンズレッド」の大規模アップデートにおける国内及び翻訳QAの取り組み
gree_tech
PRO
0
460
アプリ「REALITY」の12言語対応プロセスの仕組みと品質向上の取り組み
gree_tech
PRO
0
700
REALITYアプリのメンテナンスなしでの機能リリースを実現する、Istio導入とB/Gデプロイ実現の取り組み
gree_tech
PRO
0
570
Other Decks in Technology
See All in Technology
TDD - Test Driven Drupal
opdavies
0
3k
Kaggleで学ぶ系列データのための深層学習モデリング
yu4u
7
1.7k
QA経験のないエンジニアリング マネージャーがQAのカジュアル面談に出て 苦労していること・気づいたこと / scrum fest niigata 2024
yoshikiiida
2
670
Exadata Database Service on Dedicated Infrastructure(ExaDB-D) UI スクリーン・キャプチャ集
oracle4engineer
PRO
2
1.7k
20240516 OpenID TechNight Vol.21 「OIDFシェアードシグナルフレームワーク(ID2)を利用してリアルタイムでセキュリティシグナルを共有するための最新情報」
oidfj
0
120
使われないものを作るな!出口から作るデータ分析基盤 / Data Platform Development Starting from the User Needs
amaotone
16
4.7k
B2C、B2B プロダクトマネジメントの違い(および思考の罠) / B2C, B2B PM and reduction fallacy
ykmc09
5
2.4k
OPENLOGI Company Profile
hr01
0
46k
PhpStorm超絶技巧40分集中講義 #phpconkagawa
yusuke
4
780
SLOいつ決めましょう?
abnoumaru
3
790
サービス開発におけるVue3とTypeScriptの親和性について
tsukuha
10
1.8k
AWS CLIの起動が重くてつらいので aws-sdk-client-go を書いた / kamakura.go#6
fujiwara3
6
3.3k
Featured
See All Featured
Documentation Writing (for coders)
carmenintech
60
4k
Building Effective Engineering Teams - LeadDev
addyosmani
33
1.9k
Music & Morning Musume
bryan
41
5.6k
Designing on Purpose - Digital PM Summit 2013
jponch
111
6.5k
Design by the Numbers
sachag
274
18k
Reflections from 52 weeks, 52 projects
jeffersonlam
345
19k
Fantastic passwords and where to find them - at NoRuKo
philnash
39
2.5k
Web Components: a chance to create the future
zenorocha
306
41k
The Mythical Team-Month
searls
217
42k
Making Projects Easy
brettharned
109
5.5k
Practical Orchestrator
shlominoach
183
9.8k
Robots, Beer and Maslow
schacon
PRO
155
8k
Transcript
Copyright © GREE, Inc. All Rights Reserved. Copyright © GREE,
Inc. All Rights Reserved. グリーのセキュリティ戦略 組織改革成功の秘訣と新たな課題への取り組み Jul. 2, 2019 奥村 祐則 (Masanori OKUMURA) 【S-6】
Copyright © GREE, Inc. All Rights Reserved. Introduction 奥村 祐則
(Masanori OKUMURA) グリー株式会社 開発本部 セキュリティ部 部長 GREE-IRT PoC 社歴7年+ セキュリティ専任では1人目の社員 おおよそセキュリティとつく仕事はなんでも 社会人歴は18年くらい なんだかんだでセキュリティばっかりやってる(エンジニア、コ ンサル、監査、CSIRT, etc…) 登壇/メディア掲載歴 Internet Week 2014, myNavi, NCAシーサートワークショッ プ, Akamai Edge Japan 2017, 情報セキュリティマネジメント フォーラム, Gartner Security & Risk Management Summit 2018 など (NY times, AERA, 広報しながわ) 2
Copyright © GREE, Inc. All Rights Reserved. https://corp.gree.net/jp/ja/business/ グリーグループ 事業領域
©Wright Flyer Live Entertainment, Inc./©Ficty
Copyright © GREE, Inc. All Rights Reserved. グリー コーポレートミッション インターネットを通じて、
世界をより良くする。
Copyright © GREE, Inc. All Rights Reserved. グリー 組織図 •
いわゆるコーポレートIT部門 • 商用サービスのインフラ部門 • Data Engineering部門 • CS/QA部門 • セキュリティ 開発本部はバックオフィスとは別の本部として独立して存在 コーポレート本部(バッ クオフィス) 開発本部 (DD) 各事業部門 ©Wright Flyer Live Entertainment, Inc./©Ficty
Confidential Copyright © GREE, Inc. All Rights Reserved. 自警団 グリー
セキュリティ年表 2012 2013 2014 2015 2016 2017 分断期1 1. 自警団 (2011以前 2. 黎明期 (2012くらい 3. 分断期1 バックオフィス・サービスの分断(2013~14くらい 4. 分断期2 ポリシー・インプリの分断(2014~16くらいまで 5. 統一期 (2016後半 6. 大規模インシデント(2016末) 7. 再定義期 真のフルスタックを目指して 2018 1-6 7-12 1-6 7-12 1-6 7-12 1-6 7-12 1-6 7-12 1-6 7-12 1-6 7-12 2019 1-6 7-12 2011 1-6 7-12 黎明期 分断期1 分断期2 統一 期 再定義期
Copyright © GREE, Inc. All Rights Reserved. セキュリティ関連 組織図 •
全社横断の取り組みを進めようとしたが、事業部門の反発を買う • 2014年にはバックオフィス領域だけでISMS認証を取得 分断期1: バックオフィス・サービスの分断 バックオフィス (コーポレート) 開発本部 (DD) 各事業部門
Copyright © GREE, Inc. All Rights Reserved. インシデントの発生 - サーバーへの不正アクセス
プレスリリースを打つ大事故 http://corp.gree.net/jp/ja/news/press/2016/1227-01.html
Copyright © GREE, Inc. All Rights Reserved. • セキュリティと言えばセキュリティ部、と認知してもらおう •
エンジニアも非エンジニアも、お互いを認めよう • フルスタックの原型ができる 統一期:キーワード 「ワンストップ」
Confidential Copyright © GREE, Inc. All Rights Reserved. セキュリティ部 体制
• 2019/07/01時点 セキュリティ 診断チーム Security Assessment Team セキュリティ部 Security Unit 奥村 祐則 セキュリティ 推進チーム Security Operation Team セキュリティ エンジニアリングチーム Security Engineering Team ※エンジニアは兼務者あり、推進チームは業務委託あり
Copyright © GREE, Inc. All Rights Reserved. セキュリティ関連 組織図 •
インシデント対応力を一から見直し • 事業部門とのパイプを強化 再定義期 バックオフィス (コーポレート) 開発本部 (DD) 各グループ会社・各事業部門 ©Wright Flyer Live Entertainment, Inc./©Ficty
Copyright © GREE, Inc. All Rights Reserved. 対外的には: • セキュリティ問い合わせ窓口一本
化による効率化 • オールジャンルセキュリティをア ピールすることで、今まで拾えな かった案件捕捉が可能に (Identification だいじ) "フルスタック" でよかったこと 「テーラーメイド」を心掛けた: • 事業も多角化し、全く同じ悩み・課 題を抱えているということはまず ない
Copyright © GREE, Inc. All Rights Reserved. 非エンジニアリング目線では: • セキュリティ未経験者でもセキュリ
ティ部で活躍出来るように • エンジニアに近くなったことで ◦ 技術的相談 ◦ 定型作業向けフォーム作成・集計 自動化の依頼 が容易になり、より効率化 "フルスタック" でよかったこと(部内) エンジニアリング目線では: • エンジニアリングに注力出来る ◦ 最初は未知の相談案件でも、類似 案件のノウハウを貯めて移管 • エンジニアが対面対応するケース の削減 ◦ 診断により見つかった脆弱性の連 絡・修正トラッキング ◦ 問い合わせ一次対応 • いわゆる渉外(社外・部外)が激 減 ◦ 診断の内製化に注力できた ◦ 診断以外のこともできるようになっ た(海賊版撲滅CP)
Copyright © GREE, Inc. All Rights Reserved. Copyright © GREE,
Inc. All Rights Reserved. インターネットを通じて、 世界をより良くする。
Copyright © GREE, Inc. All Rights Reserved.