ココナラのセキュリティ組織の体制・役割・今後目指す世界

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Copyright coconala Inc. All Rights Reserved. セキュリティ業務に関する体制 5 専任者は社内情シス中心で、プロダクトは分業で対応プロダクトプラットフォーム情報システムインフラ・ SREチーム（5名） CSIRTチーム（2名） CITチーム（4名） - AWSアカウント分離 - IAMロール整備 - 攻撃対策ソリューション導入 - アクセス権限精緻化 - 新デバイス / OS検証・導入 - アクセス権限精緻化

Slide 6

Slide 6 text

Copyright coconala Inc. All Rights Reserved. 取り組み事例その1：情報セキュリティに関する交通整理 6 何ができていて、何ができていないか？の現在地を把握セキュリティだけでなく、内部統制・監査の観点を含めて、現時点でどうなのか？をアセスメントしてもらった。（後述しますが、自社でもアセスメントは定期的に行っています）アセスメント結果を元にまずは何から取り組むべきか？を明確化して、対策を推進した。

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Copyright coconala Inc. All Rights Reserved. 取り組み事例その3：社内情シスのセキュリティソリューション導入 8 会社のフェーズにおけるリスクを先回りして対処前述のアセスメントの状況を元に最適な打ち手を検討。たとえば、以下の課題に対してソリューションの選定・ PoC・運用設計・運用を行う。・情報持ち出しに対する制御 / トラッキングができない・アカウント改廃の抜け漏れが発生する

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Copyright coconala Inc. All Rights Reserved. 取り組み事例その5：各種セキュリティモニタリング 10 毎営業日モニタリングを実施し、アクションを創出する毎営業日17:00時点の情報で定点確認（WAFログ以外も含めて、レポート作成）問題があれば、毎営業日18:00に集まり、確認・議論当日〜翌日以降のアクションを決めて、チケット化 ※↑は定常運用なので、異常が発生した場合は　アラートを発報し、随時調査しています！

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Copyright coconala Inc. All Rights Reserved. 定期的に点検とアセスメントを実施する 14 放置すると陳腐化するので、放置しないことが大切攻撃や脅威は日々進化している。一度、セキュリティ対策をして終わりではなく、継続したリファクタリングを行う必要がある。・ソリューションは「導入する」よりも「導入後の運用」が大事・「リアクティブ」な対応だけでなく、「プロアクティブ」な仕掛けが重要

Slide 15

Slide 15 text

Fin