DXとセキュリティ - IPA Digital Symposium 2021

Slide 1

Slide 1 text

%9ͱηΩϡϦςΟ *1" %JHJUBM4ZNQPTJVN ΞελϦεΫɾϦαʔν ΤάθΫςΟϒϦαʔνϟ Ԭా ྑଠ࿠ SJPUBSP!STSDIKQ © Asterisk Research, Inc.

Slide 2

Slide 2 text

AppSec Supporting Company © Asterisk Research, Inc. アスタリスク・リサーチ - セキュリティ実践を成⻑と発展に貢献

Slide 3

Slide 3 text

ついにアフターコロナ到来？ (c) Riotaro OKADA / Asterisk Research, Inc.

Slide 4

Slide 4 text

ίϩφՒͰফඅऀαΠυͰ͸%9͸ࣗવʹਐΜͩɻ اۀͰ΋σδλϧωΠςΟϒͳଧͪख͕ग़͍ͯΔɻ 消費者向けサービス • D2C・デリバリー • サブスク就業環境・就業条件 • リモートワーク • 分散型・ジョブ型出張・観光 • バーチャルツアー • SNS・動画共有情報 • 安全確保アパレル • お出かけ消費壊滅 • 使い⼼地など実質優先コミュニケーション • オンライン会議 • チャット医療・ヘルスケア • 電話・オンライン診療 • カルテ連携セールスプロモーション • デジタル・ツール • SFA 業務プロセス改⾰ • 専⾨SaaS活⽤ • 電⼦契約教育・訓練 • オンライン教育 • ⾮同期・余裕時間組織ガバナンス • フラットへの再設計 • 中間管理職不要論融資決済 • ネット融資 • キャッシュレス多様化する連携 • 専⾨サービス • クラウドソーシング

Slide 5

Slide 5 text

チャット系グループウェアオンライン会議系社内SNS インストール型総合ナレッジ共有日報社内報総合ワークフロー総合エンジニアコンサルマーケティングプラットフォーム型 Webサイトクラウドソーシング型総合クリエイティブテスター・入力翻訳・ライティング・編集オンラインセミナー・イベント人事コミュニケーション営業周辺ツールホワイトボードノーコード iPaaS HP ECサイトフォームハード系 MA / CRMツール名刺管理メール商談関連フォームアタック D セールス支援顧客管理セールスセールス HR系人事評価エンゲージメント向上エンゲージメント測定ツール日程調整デザイン採用関連人事関連オンライン1on1 オンライン福利厚生リモート人材活用エージェント型エンジニア 2021/02/08 現在 (c) Riotaro OKADA / Asterisk Research, Inc. اۀ΋ੜ͖࢒ΓΛ͔͚ͯ σδλϧʹେ͖͘ґଘͤ͟ΔΛ ಘͳ͘ͳͬͨɻ

Slide 6

Slide 6 text

マルウェアウェブの仕組みを利⽤した攻撃フィッシングウェブアプリケーションへの攻撃スパム DDoS id盗難データ漏洩内部脅威ボットネット物理的な操作/損害/盗難/紛失情報漏洩ランサムウェアサイバースパイクリプトジャッキング年逆⾵：脅威は変化している

Slide 7

Slide 7 text

ʮࣄۀܧଓ Մ༻ੑ ΛͰ͖ͳ͘ͳΔෆ҆ʯ͸ґવେ͖͍ 個⼈順位組織スマホ決済の不正利⽤ 1位ランサムウェアによる被害フィッシングによる個⼈情報等の詐取 2位標的型攻撃による機密情報の窃取ネット上の誹謗・中傷・デマ 3位テレワーク等のニューノーマルな働き⽅を狙った攻撃メールやSMS等を使った脅迫・詐欺の⼿⼝による⾦銭要求 4位サプライチェーンの弱点を悪⽤した攻撃クレジットカード情報の不正利⽤ 5位ビジネスメール詐欺による⾦銭被害インターネットバンキングの不正利⽤ 6位内部不正による情報漏えいインターネット上のサービスからの個⼈情報の窃取 7位予期せぬIT基盤の障害に伴う業務停⽌偽警告によるインターネット詐欺 8位インターネット上のサービスへの不正ログイン不正アプリによるスマートフォン利⽤者への被害 9位不注意による情報漏えい等の被害インターネット上のサービスへの不正ログイン 10位脆弱性対策情報の公開に伴う悪⽤増加 ৘ใηΩϡϦςΟେڴҖ ৘ใॲཧਪਐػߏൃද 逆⾵：事業継続が脅かされている

Slide 8

Slide 8 text

ࣄۀ෦໳ͷηΩϡϦςΟϦςϥγʔͷෆ଍͕ ૊৫త੬ऑੑͱͯ͠ࣄۀϦεΫʹͭͳ͕Δ ೝূΩʔͷͧΜ͍͟ͳѻ ͍ɺΞΧ΢ϯτ؅ཧෆࡏ ΏΔ͗͢Δ ݖݶઃఆ มߋ؅ཧෆ଍ σʔλอଘͷ ෆಁ໌ੑ ෆ༻ҙͳ "1*ར༻ίʔυ ίϯτϩʔϧͰ͖ ͳ͍ ύϑΥʔϚϯε σʔλΤΫεϙʔ τແཧͳαʔϏε αʔϏεαΠυͷ ηΩϡϦςΟϨϕ ϧෆ໌ ো֐ରԠ͕ ͹Β͹Β © Asterisk Research, Inc.

Slide 9

Slide 9 text

2022 セキュリティ侵害被害の報告義務（罰則付き）プライバシーに関する社会の要請は⾼まっている

Slide 10

Slide 10 text

ڥքઢ๷ޚͷऴ͑Μ (c) Riotaro OKADA / Asterisk Research, Inc. endpoint endpoint • Endpoint • Network • Application • User • Data

Slide 11

Slide 11 text

個⼈情報 ID・パスワード物理的境界線防御従来型/Monolithのセキュリティ

Slide 12

Slide 12 text

データ全体モニタリングアプリケーションアクセスコントロール Cloud Nativeのセキュリティ

Slide 13

Slide 13 text

σδλϧԽͷಓ͸Πόϥͷಓ͔͠΋ٯ෩ɻ • ڴҖ͸มԽ͍ͯ͠Δ • ࣄۀܧଓ͕ڴ͔͞Ε͍ͯΔ • ηΩϡϦςΟϦςϥγʔෆ଍͕໰୊Λෳࡶʹ • ϓϥΠόγʔʹؔ͢Δࣾձͷཁ੥ͷߴ·Γ (c) Riotaro OKADA / Asterisk Research, Inc.

Slide 14

Slide 14 text

2ɿ%9ͷηΩϡϦςΟ͸Ͳ͏ͨ͠Β͍͍Ͱ͠ΐ͏͔ ϓϩτλΠϓ ύΠϩοτɾࢼݧతಋೖ ૊৫తల։ D 3JPUBSP0,"%""TUFSJTL3FTFBSDI *OD 1.プロトタイプの挑戦 •アドホックが当然 2.仕組み化導⼊の挑戦 •ユーザ・部⾨は限定的 3. 組織的展開と発展への挑戦 •⼊れ替えを⾒据えた組織展開

Slide 15

Slide 15 text

ରཱతηΩϡϦςΟ͸ήʔτ΢ΣΠɻ ʠηΩϡϦςΟʡ • ϙϦγʔઈର • طଘͷηΩϡϦςΟɾ৘ใอޢϙϦγʔ • ϗϫΠτϦετ • ໰୊ࢦఠத৺ • ར༻લͷηΩϡϦςΟ੬ऑੑ਍அ • ୈࡾऀతՁ஋ • ݱ৔ʹϑΟοτ͠ͳ͍ݖݶઃఆ ݱ৔ʡ • ࣮ݱɺεϐʔυɺϝϦοτ༏ઌ • ϙϦγʔ९क͸ɺ્֐ཁҼͱͷೝࣝ • *%ɾύεϫʔυ࢖͍ճ͠ • 1P$༻ແྉϢʔβΞΧ΢ϯτͷཚൃ • ϕϯμʔϓϩμΫτධՁͳ͠Ͱͷਪਐ D 3JPUBSP 0,"%""TUFSJTL3FTFBSDI *OD

Slide 16

Slide 16 text

ର࿩తηΩϡϦςΟ͸ΨʔυϨʔϧɻ ४උ࡞ۀͷର࿩ %9ؔ࿈ςΫϊϩδͷௐࠪͱબఆ αʔϏεϓϩόΠμͷධՁ ҆શͳ࣮ݧ৔ͷߏங Ϋϥ΢υઃఆ σʔλϨΠΫ΍1P$ͳͲʣ ৘ใͱॿݴͷௐୡ ࣮ફஈ֊ͷର࿩ %FW0QTνʔϜͷΤϯύϫʔ ΞΫηε੍ޚ αʔϏεͱϢʔβΛؚΉ ϞχλϦϯάͷઃܭͱߏங ར༻ঢ়گͱҟৗͷ೺Ѳ ؀ڥͷΞοϓσʔτࢧԉ ϢʔβɾτϨʔχϯάࢧԉ D 3JPUBSP0,"%""TUFSJTL3FTFBSDI *OD

Slide 17

Slide 17 text

ʮ%9ͷอޢཁૉʯ ̐ͭʹߜΓ·͢ D 3JPUBSP0,"%""TUFSJTL3FTFBSDI *OD データレイクアクセス制限アプリケーションモニタリング

Slide 18

Slide 18 text

2ɿ%9ͷηΩϡϦςΟ͸Ͳ͏ͨ͠Β͍͍Ͱ͠ΐ͏͔ 1.プロトタイプの挑戦フェーズ • コンセプト：アドホックは当然 / POCの壁にならないように。 • データレイク：安全な実験場の確保が⼤事 • アクセス制限関連：アカウント管理と運営 • アプリケーション：後フェーズのための実現技術の⽅式調査 • モニタリング：プラットフォームの監視 D 3JPUBSP0,"%""TUFSJTL3FTFBSDI *OD データレイクアクセス制限アプリケーションモニタリング

Slide 19

Slide 19 text

(c) Riotaro OKADA / Asterisk Research, Inc. 新設項⽬︓A04安全が確認されない不安な設計順位上昇︓A01 アクセス制御の不備 A02 暗号化の失敗 A05 セキュリティの設定ミス A06 脆弱で古くなったコンポーネント A09 セキュリティログとモニタリングの失敗 ॏେηΩϡϦςΟϦεΫ

Slide 20

Slide 20 text

2ɿ%9ͷηΩϡϦςΟ͸Ͳ͏ͨ͠Β͍͍Ͱ͠ΐ͏͔ 2.仕組み化導⼊の挑戦フェーズ • コンセプト：仕組みに対話的に貢献する • データレイク：クラウド設定、連携⽅式のレビュー • アクセス制限：ユーザ・部⾨は限定的だが、Weakest Linkはユーザ⾃⾝ • アプリケーション：DevOpsサイクル構築のバックサポート/ツール整備 • モニタリング：利⽤状況の定点把握と異常処理の模索 D 3JPUBSP0,"%""TUFSJTL3FTFBSDI *OD データレイクアクセス制限アプリケーションモニタリング

Slide 21

Slide 21 text

CIS Controls v8 2021/5リリース新設管理項⽬「サービスプロバイダ」 (c) Riotaro OKADA / Asterisk Research, Inc. 21

Slide 22

Slide 22 text

2ɿ%9ͷηΩϡϦςΟ͸Ͳ͏ͨ͠Β͍͍Ͱ͠ΐ͏͔ 3. 組織的展開と発展への挑戦フェーズ • コンセプト：DX実践のガードレールになる • データレイク：安全な設定と詳細な利⽤モニタリングの導⼊ • アクセス制限：データとアプリケーションの両⽅に展開 • アプリケーション：DevOpsチームのエンパワー/柔軟なテスト⼿法の提供 • モニタリング：定期共有とインシデントアラートの構築 D 3JPUBSP0,"%""TUFSJTL3FTFBSDI *OD データレイクアクセス制限アプリケーションモニタリング

Slide 23

Slide 23 text

಺੡ԽνʔϜͷΤϯύϫʔɻ %FTJHO r ઃܭ *NQMFNFOUr ࣮૷ “シフトレフト”でセキュアなビジネスを実現 © Asterisk Research, Inc. ⼊⼒データ信頼の条件採⽤する認証メカニズム認証と認可データと制御の分離暗号化と機密データの識別外部コンポーネントの影響ログ、エラーの取扱要件想定脅威の分析データベースアクセスエンコーディングとエスケープ⼊⼒値検証 IDと認証管理アクセス制御データ保護ログ、モニタリングの機能エラー処理と例外処理設計を反映する「コード」の管理と改善がキモ

Slide 24

Slide 24 text

ϞχλϦϯά͕%FW0QTγϑτϨϑτʹͭͳ͕Δ (c) Riotaro OKADA / Asterisk Research, Inc.

Slide 25

Slide 25 text

どこをどのように改善するかまでエンパワーする脆弱性修正のベストフィックスロケーション

Slide 26

Slide 26 text

·ͱΊ%9ͷηΩϡϦςΟɾόΠɾσβΠϯ 1.プロトタイプフェーズ • アドホックが当然 • 安全な実験場の確保が⼤事 • 技術実現の⽅式調査の⽀援 2.仕組み化導⼊フェーズ • Weakest Linkはユーザ⾃⾝ • 利⽤状況の把握と異常の定義 • DevOpsサイクル構築 3. 組織的展開と発展フェーズ • モニタリングの定期共有 • アラートとインシデント対応 • DevOpsチームのエンパワー D 3JPUBSP0,"%""TUFSJTL3FTFBSDI *OD データレイクアクセス制限アプリケーションモニタリング

Slide 27

Slide 27 text

セキュリティとDXの成功の秘密：対⽴から対話への変⾰ (c) Riotaro OKADA / Asterisk Research, Inc. 27

Slide 28

Slide 28 text

$*40ϋϯυϒοΫ • ʮ$*40ϋϯυϒοΫʯ • ͷষͱͷίϥϜ • ཧղΛਂΊΔͭͷ෇ষ • શϖʔδɺ໊ͷࣥචਞ • ೥ץʹ͙࣍վగ৽൛ɻ 2021年

Slide 29

Slide 29 text

ञҪਅٷ͞Μ ノンフィクションライターとして⾏政から⺠間までを対象に幅広く記事執筆 2021年

Slide 30

Slide 30 text

ΠΧηϯλʔ 2021年 https://ikacenter.com/

Slide 31

Slide 31 text

ίʔϓͬ͞ΆΖ 2021年

Slide 32

Slide 32 text

53*"- 2021年

Slide 33

Slide 33 text

%9͸ϏδωεͷσβΠϯ ໰୊ղܾ͚ͩʹ͔ͭ͏΋ͷ͔ͳʁ D 3JPUBSP0,"%""TUFSJTL3FTFBSDI *OD

Slide 34

Slide 34 text

͋Γ͕ͱ͏͍͟͝·ͨ͠ 岡⽥良太郎 [email protected]