LINEヤフー CISO管掌 組織説明資料

LINEヤフーのCISO管掌について組織説明した資料です。

Transcript

2. 01 02 03 04
4. • •
6. 02 ミ ッ シ ョ ン ・ 役 割 LINEヤフーセキュリティ基本方針 サイバーセキュリティ脅威への 取り組み 1. 情報セキュリティ上の脅威に対して、お客さまの情報を漏洩から守ること（機密性） 2. 24時間365日いつでもお客さまにサービスを提供し続けること（可用性） 3. コンテンツを破壊や改ざんから確実に守ること（完全性） グローバル基準を考慮した 情報システムの構築 高度化するサイバー攻撃を検知し対応するため、米国標準技術研究所（NIST）が定めたサイ バーセキュリティ基準を考慮したうえで情報システムを構築し、サービスを提供
7. 02 ミ ッ シ ョ ン ・ 役 割 LINEヤフーセキュリティ体制 CISOを中心に経営層・事業部門・グループ会社の連携体制を構築し セキュリティ課題に迅速かつ効果的に対応できる組織体制を確立 各事業部門・横断/コーポレート部門 情報セキュリティ責任者 グループ各社 セキュリティ部門 経営会議 セキュリティガバナンス委員会 CISO CISO
8. 02 ミ ッ シ ョ ン ・ 役 割 LINEヤフーのセキュリティ組織の役割 CISO管掌 セキュリティ 統括本部 CISOオフィス本部 セキュリティマネジメント本部 セキュリティエンジニアリング本部 セキュリティ二線監査部 • 規程遵守の監査 • 電通法に則ったデータ利用評価 • 委託先への監査 • 規定整備 • 教育啓発 • 外部認証の維持管理・脆弱性診断 • ID不正対策 • 全社セキュリティ方針・中期計画の策定 • 組織横断プロジェクトのマネジメント • セキュリティリスクアセスメント • グループセキュリティガバナンスに関わる業務 • プロダクトのセキュリティアセスメントや不正対応 • サイバーセキュリティイベントの探知、対応および内部不正の イベントの探知、対応やプライバシーエンジニアリング • セキュリティ設計やセキュリティ施策の実装・運用および継続 的な最適化 CISO
10. 生成AIに関連するセキュリティ施策推進 9 03 取 り 組 み ・ 注 力 領 域 セキュリティ部門におけるAI活用推進の主な施策 Security for AI AI for Security AI技術を社内の業務改善や社外に提供する サービスに活用を推進するうえでのAIを安全に利 用および保護するためのセキュリティ活動 セキュリティ対策へのAI技術の活用をし、業務の 効率化や単純な人手では解決できない課題の 解決を実施 取組概要 取り組み事例 • 開発者が生成AIを実装する際に遵守するセキュリ ティガイドラインの作成 • 特にMCPを利用するケースについては詳細なガイドラ インを提供 • MCPサーバーに脆弱なコードが入り込まないようにす るためのスキャナーの開発・提供 • セキュリティ教育教材を生成AIを使いPodcast化す ることによる学習コスト低減 • 各部門からのセキュリティ問い合わせに対するAI回 答 • AIによるセキュリティオペレーションの自動化 (リサーチ 段階)
11. LINEにおける詐欺行為撲滅の取り組み 10 03 取 り 組 み ・ 注 力 領 域 日々巧妙化するSNS詐欺に対し、LINEヤフーはTrust & Safety領域においても セキュリティ部門にて主体的にユーザー保護を目的とした機能開発および監視体制の強化を推進 注意喚起コンテンツの 公開・配信 モニタリング体制の 強化 詐欺対策機能の 実装と強化 • 警察庁・金融庁などと協働で、 注意喚起ページや詐欺防止アニ メの配信を実施 • 1:1トーク・グループトーク・オープンチャット・ 公式アカウントを対象とした検知システムの 開発と運用を実施 • 人的目視による精度の高い監視を実施 • セキュリティ部門が中心となり、不適切アカウント 停止措置の仕組みを設計・運用 • オープンチャット参加時や公式アカウント追加時 などにおける警告表示機能の実装 • 未認証公式アカウント追加時の警告表示機能 を導入 ※ 通信の秘密にあたるため、1:1トーク・グループトークの内容に関しては、 「通報」されたものに関してのみ部分的な確認を実施しています。 同様に、LINE公式アカウントに関しても「すべての友だちに送られる一斉送 信メッセージ」、「LINE VOOMの投稿」、「プロフィール」など、部分的な確認 を行っています。
13. LINEヤフーのセキュリティ組織の特徴 12 04 特 徴 幅広い業務と 多様な人員構成 全社横断の連携による 信頼性向上 グループ会社間の 密接な連携 •ポリシー策定からセキュリティエンジニアリングまで幅広く担当 •多様なバックグラウンドの専門人材による多面的な課題解決 •全プロダクト・システムのセキュリティ向上の取り組みを実施 •部門間の連携を通じて全社的な信頼性維持・向上を推進 •グループ横断のプロダクト開発・システム利用が活発 •密接なグループ連携でセキュリティレベルを平準化 多様で広範な専門性を活かし、全社およびグループ全体の信頼性向上を支える 1 2 3