製品セキュリティのおしごと / Product Security

Slide 1

Slide 1 text

製品セキュリティのおしごとサイボウズ株式会社開発本部 Cy-PSIRT 長友比登美（@naga_hito）

Slide 2

Slide 2 text

whoami ▌長友比登美（ながとも・ひとみ）  サイボウズ株式会社開発本部 Cy-PSIRT  大阪拠点所属  Iターン勢（九州→東京→大阪）  Twitter: @naga_hito

Slide 3

Slide 3 text

今日のお話 ▌製品セキュリティにかかわるお仕事ってどんなことをするの？ ▌バグバウンティのお話（時間があれば）

Slide 4

Slide 4 text

サイボウズ株式会社について ▌「チームワークあふれる社会を創る」ために活動している会社 ▌チームワークを支えるためのアプリケーションを開発・販売  グループウェア、メール共有システム、業務アプリ構築サービス等 ▌累計13万社の企業、1050万ユーザが利用  日本国内・サイボウズ全体・2021年7月末時点

Slide 5

Slide 5 text

セキュリティの仕事 ▌セキュリティを扱う分野は多種多様 ▌今回は「製品のセキュリティ」のお話し  主にPSIRTと呼ばれる組織の話

Slide 6

Slide 6 text

PSIRTとは① Product：製品・プロダクトの Security：セキュリティ Incident：インシデント・問題に Response：対応する Team：チーム

Slide 7

Slide 7 text

PSIRTとは② ▌もう少しかみ砕くと  「自分たちが作っている製品のセキュリティ」に注目して活動する  自分たちが作っている製品にセキュリティ上の問題が起きたときに対処をするチーム  自分たちの作っている製品にセキュリティ上の問題が起こらないように対策するチーム

Slide 8

Slide 8 text

CSIRTとのちがい ▌対象が違う  CSIRT：組織・情報システムの情報セキュリティ  PSIRT：作ったもののセキュリティ

Slide 9

Slide 9 text

やっていること① ▌脆弱性の検出・評価  自社内での脆弱性の調査  製品そのものの脆弱性  製品で利用しているライブラリに含まれる、公表済みの脆弱性  第三者機関による脆弱性診断  バグバウンティの運営（詳しくは後程）

Slide 10

Slide 10 text

やっていること② ▌脆弱性情報の公開  第三者機関による脆弱性診断の結果公開  改修された脆弱性情報の公開  JPCERT/CC等、公的機関への届け出

Slide 11

Slide 11 text

やっていること③ ▌製品セキュリティに関する相談窓口  社内外からの問い合わせに対応  開発者に寄り添う、開発者をセキュリティの側面から支援する

Slide 12

Slide 12 text

楽しい・大変なところ① ▌製品をより良くする活動はおもしろい  パズルを解いていくような感覚  新しい機能に不具合を見つけられたときの楽しさ  不具合がありそうなのにうまく引き出せないときはしんどい

Slide 13

Slide 13 text

楽しい・大変なところ② ▌人とのかかわりの多い仕事  様々なポジションの人と様々なことをやりとりする  うまく伝えられないことも多々ある  サービスを作るチーム・動かすチームがあってこそのPSIRT、他チームへのTrust ＆ Respectが大事なんだろうなと思います

Slide 14

Slide 14 text

楽しい・大変なところ③ ▌広範な知識を求められる  技術の知識はもちろん、法律、コミュニケーション、開発手法など、さまざまな知識が要求される  いくら勉強しても足りない、とはいえやることが尽きないので楽しいとも思える

Slide 15

Slide 15 text

バグバウンティ① ▌日本語では「脆弱性報奨金制度」と呼ばれることが多い ▌許可されているサービスに対して、ルールに沿って脆弱性を見つけ、未知の脆弱性だった場合に対価として報奨金をお支払いする制度のこと

Slide 16

Slide 16 text

バグバウンティ②：サイボウズの場合 ▌2014年6月から開始  2021年ももちろん開催中 ▌1件当たり最大100万円お支払い（※2021年時点） ▌安全に検証するためのテスト環境をご用意 ▌「サイボウズ報奨金制度」で検索

Slide 17

Slide 17 text

バグバウンティ③ ▌サイボウズ以外の組織でも実施している  BugBounty.jp や Hackerone などで探すもよし  Googleなどで検索して探すもよし ▌ルールを守ってたのしく探してみましょう

Slide 18

Slide 18 text

まとめ ▌PSIRTは製品セキュリティを中心に扱うチーム ▌PSIRTには色々な機能がある  開発者をセキュリティの視点で支援する ▌バグバウンティ、興味があったらぜひ挑戦してみてください