EMConf JP 2025 懇親会LT / EMConf JP 2025 social gathering

https://2025.emconf.jp/
EMConf JP 2025の懇親会スポンサーとしてLTを行ったスライドです

PSIRTの立ち上げに関するエピソードを話しました

PSIRT立ち上げに関してはこちらをご覧ください
https://tech.smarthr.jp/entry/2025/02/26/195338

Transcript

1. えっ、ぜんぜん詳しくない 分野のチームを立ち上げるん ですか！？ 2025.02.27 Thu. EMConf JP 2025@懇親会 スポンサーLT すがわら まさのり(@sugamasao) SmartHR エンジニアマネージャー
3. だれ？
4. • SIer 5年 • 自社サービス会社 10年 • SmartHR 5年 <———— イマココ • 長年プログラマーとしてやってきた • ここ2.5年くらいは専業のマネージャー @sugamasao プログラマー 17.5年 EM 2.5年 自己紹介 期間
5. @sugamasao 自己紹介（趣味） Rubyﾁｮｯﾄわかる > amazon著者セントラルより引用 ※共著含む
6. えっ、ぜんぜん詳しくない 分野のチームを立ち上げるん ですか！？
7. • マネージャーをやっていると（主語デカ） 未知のものもやっていかなくてはいけない • どう考えて新しいチームを作るんだ……とい う参考になれば
8. 今日お伝えしたいポイント
9. • 未知のものを考えていく事例 • PSIRTというもの • 組織立ち上げ時にやったこと 今日お伝えしたいポイント
10. • 未知のものを考えていく事例 • PSIRTというもの • 組織立ち上げ時にやったこと 今日お伝えしたいポイント
11. えっ、ぜんぜん詳しくない 分野のチームを立ち上げるん ですか！？
12. えっ、ぜんぜん詳しくない 分野のチームを立ち上げるん ですか！？
13. ぜんぜん詳しくない分野
14. • 長年Webアプリケーション開発をしてきた • バックエンド、フロントエンド、プログラミ ング、インフラ、チーム開発…… • 隣接する領域はある程度経験したと思ったが 私のバックグラウンド
15. ある日の上長（2024年当時のVPoE）との会話 VPoE「なんか、セキュリティ？ってやつ？必要っぽ くない？」
16. ある日の上長（2024年当時のVPoE）との会話 ワイ「なんか、セキュリティ？ってやつ？必要っぽ い気がする！」
17. • 社内にはすでにセキュリティ組織がある • SmartHR全体のセキュリティ対策は行われ ていた ◦ セキュリティ監視やペネトレーションテ スト、脆弱性診断 etc セキュリティ？ってやつ？(1)
18. • 他方で、プロダクトサイドにフォーカスした セキュリティ組織はなかった • プロダクトサイドとして、適切にリスクをコ ントロールして開発できていたか？と問われ ると回答が難しい ◦ （意識してないわけじゃないよ！） セキュリティ？ってやつ？(2)
19. • 3ラインモデルでいうところの、第1ライン がない ◦ 既存の組織は第1.5〜2ラインに該当する セキュリティ？ってやつ？(3)
20. • ガバナンスとリスクコントロールのためのフ レームワーク 3ラインモデル(1) Three Lines Model Updated Japanese
21. • 第1ラインと第2ラインが協調することでリス クをコントロールできる 3ラインモデル(2) Three Lines Model Updated Japanese
22. ワイ「なんか、セキュリティ？ってやつ？必要っぽ い！」
23. ワイ「必要なのはわかったけれど、どうしたら良い か何もわからないんだが？」
24. えっ、ぜんぜん詳しくない 分野のチームを立ち上げるん ですか！？
25. • セキュリティに関するコンサルを見つけて相談 する？ • プロダクトサイドにおいてはインフラ方面のセ キュリティになるだろうから、セキュリティに 強いインフラチーム的なものを作る？ 何もわからなさすぎて迷走
26. 勘所がわからなさすぎてHowに飛びつきすぎてい た。冷静になりましょう
27. • 品質保証部で取り組んでいること、今後の方針 について聞いてみる • 社内のセキュリティユニットに課題感や参考と なる情報を聞いてみる まずは社内で情報収集しましょう
28. 💡ここら辺の情報をまとめて、社内異動や求人を出 せると良いかな
29. ワイ「プロダクトのセキュリティについて、課題感 や今後の見通しかありますか」 セキュリティエンジニア氏「プロダクトサイドだ と、PSIRTという概念があるんですよね！」 セキュリティエンジニア氏「課題感もあるので一緒 に調べていきましょう！」
30. ワイ「！！！！」
31. ワイ「PSIRT、そういうものがあるのか」
32. PSIRT
33. • 未知のものを考えていく事例 • PSIRTというもの • 組織立ち上げ時にやったこと 今日お伝えしたいポイント
34. PSIRT(Product Security Incident Response Team) 自社で製造・開発する製品・サービスに対するセキュリティの向上や、インシデント（不具合や 障害など）への対応を目的とする組織です。日本語では「製品セキュリティインシデント対応 チーム」となり、製品やサービスの安全性を高めることや、インシデントが発生した際にはユー ザーサポートを含む対応を行うことを目的としています PSIRT（ピーサート）とは？ CSIRTとの違いも解説 | 株式会社 日立ソリューションズ・クリエイト
35. 社内のセキュリティエンジニア氏に相談してみたと ころ、あらゆるものが劇的に動きはじめる
36. ワイ「やることはわかってきたので、求人票出して ユニット作るような体制作っていかねば💨」 セキュリティエンジニア氏「PSIRT組織やその立ち 上げに興味あるんですよね」 セキュリティエンジニア氏「PSIRT立ち上げ支援の ドキュメントが公開されているので、一緒に読みま しょう！」
37. ワイ「！！！！」
38. 社内のセキュリティユニットの方に相談してみたと ころ、あらゆるものが劇的に動きはじめる
39. 紆余曲折あったものの、こうなった
40. • 2025/1 PSIRTユニット立ち上げ ◦ 構成メンバー ▪ ワイ（兼務） ▪ セキュリティエンジニア氏（兼務）
41. 結論
42. • 社内での情報収集はだいじ • Willがあり、スキルの高い人が見つけられれば儲 けもの（今回は儲けすぎである） • やらなかったけど、やっても良かったこと ◦ 社外で、あるていど組織規模が大きい会社に いるEMなど知り合いの伝手で相談してみても 良かった ◦ コンサルや壁打ちをしてくれる人との契約
43. 結論？
44. 組織 is 作って終わりではない
45. とくに、立ち上げたけど周囲から「なんかよくわか らんな」と思われないようにしたい
46. SmartHRでのPSIRT組織はチートポ用語でいうとこ ろのイネイブリングチームなので、周囲への認知や 期待値を揃えるのがだいじ
47. 組織をどう立ち上げていくか
48. • 未知のものを考えていく事例 • PSIRTというもの • 組織立ち上げ時にやったこと 今日お伝えしたいポイント
49. • インセプションデッキの作成 • ロードマップの作成 • 社内外へのPSIRTユニット立ち上げましたドキュ メントの作成 やったこと
50. アジャイルサムライ――達人開発者への道 | コンピュータ・一般書,プログラミング・開発,開発技法 | Ohmsha 'インセプションデッキは、プロダクトづくりに関わるメンバーが各々の意見を持ち寄っ て共通認識をつくり出すための大事な質問、もしくは対話の場を指す。インセプション デッキの内容は10個の手ごわい質問（タフクエッション）で構成される。 チーム立ち上げ時期やプロダクトの方向性を見直すタイミングで質問の解となるデッキ （スライド）をメンバーと対話しながら作成や更新を行う。インセプションデッキは書 籍『アジャイルサムライ』の中でJonathan Rasmussonによって紹介された。' インセプションデッキ | Agile Studio インセプションデッキ is なに
51. • 我々はなぜここにいるのか？ • エレベーターピッチ • パッケージデザイン • やらないことリスト • ご近所さんを探せ • 解決案 • 夜も眠れなくなるような問題 • 期間を見極める • なにを諦めるかはっきりさせる • 何がどれだけ必要なのか 10個の質問 is なに
52. インセプションデッキ詳細 インセプションデッキ | Agile Studio 我々はなぜここにいるのか？ `顧客は誰か、なぜこの事業に取り組むのかの背景や目的が揃うようにする。 チームメンバーが同じ「なぜ」の目的にフォーカスできれば、各状況で的確 な判断をして、メンバー同士や周囲と対立解消に役立ち、また目的に沿った 斬新なアイデアを提案できる。` エレベーターピッチ `案件を知らない人向けにテンプレを使って30秒以内で簡潔明瞭に説明できる ようにする。周囲のステークホルダーの協力を要請しやすくなるほか、価値 にフォーカスしてプロダクトバックログの優先順位の判断材料にも使える。`
53. インセプションデッキの作成
54. エレベーターピッチの代わり（30秒では済まない） PSIRTを立ち上げました！プロダクトセキュリティを組織的に強化する仕組みづくりに向けて - SmartHR Tech Blog
55. • インセプションデッキを作成することでお互いの イメージがかなり言語化された ◦ どんな方向性にしたいのか ◦ どんな人たちと関わっていくのか ◦ 懸念していることは何か インセプションデッキを作ってみて
56. ロードマップ作成の大きな参考になった インセプションデッキで話した内 容をベースにロードマップを作成 することができた 特に以下の2つが元ネタになりや すかった • 解決案 • 夜も眠れなくなるような問題
57. まとめ
58. • インセプションデッキべんり • マネージャーとプレイヤー間で認識や期待値を調 整できて大変たすかる ◦ 言語化だいじ • インセプションデッキがあると、その後のアウト プットの指針になるのでオススメ
59. おわり
60. がんばって最高の組織を作っていこうな
61. Appendix • PSIRT（ピーサート）とは？ CSIRTとの違いも解説 • PSIRT Services Framework と PSIRT Maturity Document ◦ PSIRT立ち上げ支援のドキュメント • PSIRTを立ち上げました！プロダクトセキュリティを組織的に 強化する仕組みづくりに向けて - SmartHR Tech Blog • アジャイルサムライ――達人開発者への道 | コンピュータ・一 般書,プログラミング・開発,開発技法 | Ohmsha • インセプションデッキ | Agile Studio