WafCharm導入で激変！プロダクトの未来を守るためのTips

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Copyright coconala Inc. All Rights Reserved. 上場前にどんな状況だったか？ 6 課題の把握が弱く、どの順番で何をすればよいか？が不明確セキュリティに関して、後手後手の状況だった。 ● そもそも「何が課題か？」を正しく認識できていない。 ● リアクティブ的に発生する課題に対しての対応はしているが、もぐらたたきでしかない。 ● セキュリティの全体感を捉えて、体系立てた課題対応を推進する役割がない。

Slide 7

Slide 7 text

Copyright coconala Inc. All Rights Reserved. 上場前はどういう体制でセキュリティと向き合っていたか？ 7 セキュリティエンジニアは不在、兼務で何とか対応 CSIRTを立ち上げたのは上場から半年経過したあと。それまではセキュリティ専門組織はなく、セキュリティエンジニアも不在で、インフラ・SREエンジニアが手の空いたときに対応。プロダクトのグロースを優先するので、もぐらたたきで手一杯。

Slide 8

Slide 8 text

Copyright coconala Inc. All Rights Reserved. 情報セキュリティ対策に関するセキュリティコンサルのアセスメント 8 何ができていて、何ができていないか？の現在地を把握セキュリティだけでなく、内部統制・監査の観点を含めて、現時点でどうなのか？をアセスメントしてもらった。（後述しますが、自社でもアセスメントは定期的に行っています）アセスメント結果を元にまずは何から取り組むべきか？を明確化して、対策を推進した。

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Copyright coconala Inc. All Rights Reserved. セキュリティエンジニア採用と体制構築 11 セキュリティ専任者採用と組織化で役割分担を明確化システムプラットフォームグループ情報システムグループインフラ・ SREチーム（6名） CSIRTチーム（2名） CITチーム（4名） - AWSアカウント分離 - IAMロール整備 - 攻撃対策ソリューション導入 - アクセス権限精緻化 - 新デバイス / OS検証・導入 - アクセス権限精緻化

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Copyright coconala Inc. All Rights Reserved. 定期的に点検とアセスメントを実施する 19 放置すると陳腐化するので、放置しないことが大切攻撃や脅威は日々進化している。一度、セキュリティ対策をして終わりではなく、継続したリファクタリングを行う必要がある。・ソリューションは「導入する」よりも「導入後の運用」が大事・「リアクティブ」な対応だけでなく、「プロアクティブ」な仕掛けが重要