僕たちは何を守っているのか？ビジネスを守る、ヌーラボのセキュリティ実践

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. 企業情報設⽴：2004年上場市場：東証グロース上場年⽉⽇：2022年6⽉28⽇従業員数（連結）：159⼈ (2024年3⽉31⽇現在、グループ全体) オフィス：福岡（本社）、東京、京都、ニューヨーク、アムステルダムフルリモートで、オフィスへ出社しても家から仕事をしてもOK

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. Nulab Passとは、ヌーラボが提供するアプリのセキュリティとガバナンスを、組織全体で一元管理するためのサブスクリプションです。 BacklogやCacooを含むすべてのヌーラボ製品でご利用いただけます。 https://cacoo.com/

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Slide 41

Slide 41 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. 当時の対応ユーザーへの速やかな通知と注意喚起 IDとパスワードの使いまわしによる不正アクセスにご注意ください脆弱なパスワードの登録制限セキュリティ強化のためヌーラボアカウントで脆弱なパスワードは使⽤できなくなります 2段階認証（2FA）の強化より安全にヌーラボアカウントにログインできるようになりました！

Slide 42

Slide 42 text

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Slide 45

Slide 45 text

Slide 46

Slide 46 text

Slide 47

Slide 47 text

Slide 48

Slide 48 text

Slide 49

Slide 49 text

Slide 50

Slide 50 text

Slide 51

Slide 51 text

Slide 52

Slide 52 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. security.txt とは？ウェブサイトにセキュリティポリシーやサイトの脆弱性を発⾒したときの連絡先を記載するための標準化された形式 RFC 9116 - A File Format to Aid in Security Vulnerability Disclosure ホワイトハッカーやセキュリティ研究者が脆弱性を発⾒するとまずはこのファイルから報告先を探す

Slide 53

Slide 53 text

Slide 54

Slide 54 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. 窓⼝を設置する以前は‧‧‧ ● 外部の⼈がサービスの脆弱性を発⾒したものの、適切な報告窓⼝が⾒つからないことで脆弱性が放置された可能性がある ● 会社のお問い合わせフォームから脆弱性を報告してくれたものの、サービスに関する様々なお問い合わせと混在して⾒落とし、報告者への返答が遅くなり、意図せず脆弱性が公開されそうになった

Slide 55

Slide 55 text

Slide 56

Slide 56 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. セキュリティ‧バイ‧デザイン (Security by Design ) は内閣サイバーセキュリティセンター(NISC)により「情報セキュリティを企画‧設計段階から確保するための⽅策」として定義されている政府情報システムにおけるセキュリティ‧バイ‧デザインガイドライン（第2版）企画‧設計のフェーズからセキュリティ対策を組み込んでおくことで設計思想や組織⽂化としてセキュリティを根付かせる考え⽅情報セキュリティを企画‧設計段階から確保する

Slide 57

Slide 57 text

Slide 58

Slide 58 text

Slide 59

Slide 59 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. Sonarqubeが検出してくれるセキュリティ脆弱性 ● ⼀般的な脆弱性 ○ SQLインジェクション、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）など、代表的なセキュリティ脆弱性を検出 ● OWASP Top 10への対応 ○ OWASP（Open Web Application Security Project）が公開しているWebアプリケーションの脆弱性ランキング「OWASP Top 10」に対応した検出ルールを備えている ● 機密情報の漏洩 ○ ハードコードされたパスワード、APIキーなど、機密情報がソースコード内に含まれている箇所を検出

Slide 60

Slide 60 text

Slide 61

Slide 61 text

Slide 62

Slide 62 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. セキュリティアウェアネストレーニングとは？組織内の全メンバーを対象に、セキュリティに関する意識や知識、⾏動を向上させるために⾏う教育‧啓発活動のこと技術的な対策だけでなく、社員⼀⼈ひとりが⽇常業務で適切な⾏動を取れるように、リスクや脅威を認識させることが⽬的

Slide 63

Slide 63 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. 扱うテーマ例 ● 安全なパスワードの設定⽅法や管理ツールの利⽤促進など、パスワード管理の重要性 ● 怪しいメールやリンクの⾒分け⽅、不審なメール受信時の対応⽅法など、フィッシング攻撃対策 ● 不正アクセスを狙った⼼理的な攻撃⼿法（なりすまし、電話での誘導など） ● 安全なリモートワークの実践のための、公衆Wi-Fi利⽤時の注意点、端末管理、VPN接続の重要性など ● 情報漏洩の防⽌のための機密情報や個⼈情報の取り扱いルールと責任 ● インシデントを発⾒した際の報告ルートや対応⼿順

Slide 64

Slide 64 text

Copyright Nulab Inc. All Rights Reserved. Copyright Nulab Inc. All Rights Reserved. どうやって実施しているかセキュリオを利⽤することで、ブラウザ上から毎週3問ずつ実施しているその場で答え合わせができ解説も読めるので、少しずつ知識が定着する⼿軽に実施できるので回答率も⾼めセキュリティ意識の向上と⽂化の醸成のため、⾃主性を尊重しつつ参加を奨励している（参加率全社員の60%程度）

Slide 65

Slide 65 text

Slide 66

Slide 66 text