国際標準レベルのセキュリティ組織を作ろう！

199 Views

February 08, 26

スライド概要

【第14回】サイバーセキュリティ勉強会2026冬 in 塩尻 - connpass https://shiojiri-cyber.connpass.com/event/372811/
ISOG-J / SCSKセキュリティ株式会社　武井　滋紀　氏

ohhara

@ohhara_shiojiri

スライド一覧

🤔I'm a beginner.

またはPlayer版

埋め込む »CMSなどでJSが使えない場合

ダウンロード

関連スライド

結局、パスワードは使い回されている～古くて新しい「人の脆弱性」解消のヒント～

ohhara 29.9K

「情報セキュリティ資格について考えてみる」

ohhara 6.5K

ロシアから見たサイバーセキュリティ

ohhara 6.3K

「サイバーセキュリティ人材」について整理してみる

ohhara 4.5K

「クラウドの基礎と、クラウドのセキュリティの基本的な考え方（AWSを例に）」

ohhara 4.1K

教育委員会におけるクラウドセキュリティ

ohhara 4K

各ページのテキスト

SCSKセキュリティ株式会社エバンジェリスト武井滋紀国際標準レベルのセキュリティ組織を作ろう！

自己紹介 SCSKセキュリティ株式会社エバンジェリスト武井滋紀日本セキュリティオペレーション事業者協議会(ISOG-J) 副代表、WG6リーダー InternetWeekプログラム委員(2017-2025) IPA情報処理安全確保支援士カリキュラム検討委員 ITU-T SG17 WP3 Q3 X.1060-rev Editor, X Suppl.44 Editor 情報処理安全確保支援士(009938) ISC2 CISSP, CCSP ISACA CISA ネットワークに関連したシステムの開発や構築を経てセキュリティに関連した業務へ。各社のセキュリティ運用体制などのコンサルティングに従事するとともにエバンジェリストとして活動。4/1より現職。 2 Copyright © SCSK Security Corporation

https://www.ttc.or.jp/publications/sdt_text

10.

11.

12.

X.1060? 2021年6月29日にITU-T(国際電気通信連合の電気通信標準化部門)で国際勧告になった、サイバーリスク対応のための組織のフレームワークタイトル： “Framework for the creation and operation of a cyber defence centre” 配布URL: https://www.itu.int/rec/T-REC-X.1060-202106-I 2022年2月に情報通信技術委員会(TTC)でJT-X1060がTTC標準規格に「サイバーディフェンスセンターを構築・運用するためのフレームワーク」日本語版配布URL: https://www.ttc.or.jp/document_db/information/view_express_entity/1423 12 Copyright © SCSK Security Corporation

https://www.ttc.or.jp/document_db/information/view_express_entity/1423

13.

ITU-T 勧告 X.1060 2021-6-29承認, 2021-10-11英語版公開アラビア語、中国語、スペイン語、フランス語、ロシア語でも公開日本側関係者武智洋, コントリビューター, 日本電気株式会社阿部慎司, エディタ, GMO サイバーセキュリティ byイエラエ株式会社武井滋紀, エディタ, SCSKセキュリティ株式会社永沼美保, ITU-T SG17 WP3 Q3ラポータ, 日本電気株式会社 ITU-T SG17内特設ページ https://www.itu.int/en/ITU-T/studygroups/2022-2024/17/Pages/X1060.aspx 13 Copyright © SCSK Security Corporation

https://www.itu.int/en/ITU-T/studygroups/2022-2024/17/Pages/X1060.aspx

14.

日本セキュリティオペレーション事業者協議会日本セキュリティオペレーション事業者協議会 Information Security Operation providers Group Japan(ISOG-J) 2008年設立、2025年11月現在65社加盟、およそ300人のメンバー (親団体はJNSA。オブザーバーに総務省と経済産業省) 代表：武智洋(日本電気株式会社) 副代表：阿部慎司(GMOサイバーセキュリティ byイエラエ株式会社) 副代表：早川敦史(GMOサイバーセキュリティ byイエラエ株式会社) 副代表：武井滋紀(SCSKセキュリティ株式会社) セキュリティオペレーションガイドライン WG (WG1) 大塚淳平(NRIセキュアテクノロジーズ株式会社) 廣田一貴(三井物産セキュアディレクション株式会社) セキュリティオペレーション技術WG (WG2) 川口洋(株式会社川口設計) セキュリティオペレーション認知向上・普及啓発WG (WG4) 阿部慎司(GMOサイバーセキュリティ byイエラエ株式会社）セキュリティオペレーション連携 (WG6) 武井滋紀(SCSKセキュリティ株式会社) 14 © 2025 ISOG-J

15.

日本セキュリティオペレーション事業者協議会セキュリティ対応組織の教科書第3.2.1版 • 2025-10-17公開 – https://isog-j.org/output/2023/Textbook_soc-csirt_v3.html • • • • • • • • • • • • 第2.1版をITU-T勧告X.1060に合わせて改版したもの • 玉木誠, SCSKセキュリティ株式会社執筆者 • 川田孝紀, NTTセキュリティ・ジャパン株式会社武井滋紀, SCSKセキュリティ株式会社吉田佳音, NECソリューションイノベータ株式会社河島君知, NTTデータ先端技術株式会社彦坂孝広, NTTテクノクロス株式会社野尻泰弘, NTTドコモビジネス株式会社阿部慎司, GMO サイバーセキュリティ byイエラエ株式会社早川敦史, GMO サイバーセキュリティ byイエラエ株式会社井上博文, デロイトトーマツサイバー合同会社角田玄司, ネットワンシステムズ株式会社青木翔, 株式会社日立製作所 • • • • • • • • • • • • • • 本橋孝祐, NTTセキュリティ・ジャパン株式会社藤原稔也, NTTデータ先端技術株式会社後藤秀斗, NTTデータ先端技術株式会社中村裕太, NTTテクノクロス株式会社牧喜弥, NTTドコモビジネス株式会社後藤啓太, オリックス・システム株式会社石川章史, シスコシステムズ合同会社瓜倉格,シスコシステムズ合同会社石橋拓己,シスコシステムズ合同会社稲垣洋平, 株式会社日本総合研究所竹之内一晃, パーソルクロステクノロジー株式会社宇野文康, 日立システムズ株式会社井上圭, 株式会社ラック ISOG-J WG6 メンバー © 2025 ISOG-J

https://isog-j.org/output/2023/Textbook_soc-csirt_v3.html

16.

X.1060ができるまで ITU-T X Suppl.44 ITU-T X.1060 2018 2019 ISOG-J セキュリティ対応組織の教科書第2.1版経済産業省サイバーセキュリティ経営ガイドライン 16 CRIC CSF 統括室キット ITU-T X.1060-rev ITU-T X.sup-cdc ITU-T X.framcdc 2020 2021 オリパラで活用される 2022 ISOG-J 教科書第3.0版 2023 2024 ISOG-J 教科書第3.1版 ISOG-J 教科書第3.2版 2025 ISOG-J 教科書第3.2.1版 ??? TTC標準 JT-X1060 Copyright © SCSK Security Corporation

17.

18.

19.

https://www.ttc.or.jp/document_db/information/view_express_entity/1423

20.

https://www.meti.go.jp/policy/netsecurity/mng_guide.html

21.

いくつかのドキュメントとの関連性経営層経済産業省サイバーセキュリティ経営ガイドライン ITU-T 勧告 X.1060 セキュリティ日本セキュリティオペレーション事業者協議会(ISOG-J) 統括セキュリティ対応組織の教科書第3.2.1版 https://isog-j.org/output/2023/Textbook_soc-csirt_v3.html セキュリティチーム 21 数々のプロセスや管理策のガイドライン日本シーサート協議会の数々のドキュメント ISO/IEC, ISMS, NIST, ENISA… Copyright © SCSK Security Corporation

https://isog-j.org/output/2023/Textbook_soc-csirt_v3.html

22.

https://www.ttc.or.jp/document_db/information/view_express_entity/1423

23.

24.

64のサービスリスト A. CDC/CSCの戦略マネジメント A-1. リスクマネジメント A-2. リスクアセスメント A-3. ポリシーの企画立案 A-4. ポリシー管理 A-5. 事業継続性 A-6. 事業影響度分析 A-7. リソース管理 A-8. セキュリティアーキテクチャ設計 A-9. トリアージ基準管理 A-10. 対応策選定 A-11. 品質管理 A-12. セキュリティ監査 A-13. 認証 B. 即時分析 B-1. リアルタイム監視 B-2. イベントデータ保管 B-3. 通知・警告 B-4. レポート問い合わせ対応 C. 深掘分析 C-1. フォレンジック分析 C-2. 検体解析 C-3. 追及・追跡 C-4. 証拠収集 24 D. インシデント対応 D-1. インシデント報告受付 D-2. インシデントハンドリング D-3. インシデント分類 D-4. インシデント対応・封じ込め D-5. インシデント復旧 D-6. インシデント通知 D-7. インシデント対応報告 E. 診断と評価 E-1. ネットワーク情報収集 E-2. 資産棚卸 E-3. 脆弱性診断 E-4. パッチ管理 E-5. ペネトレーションテスト E-6. 高度サイバー攻撃耐性評価 E-7. サイバー攻撃対応力評価 E-8. ポリシー遵守 E-9. 堅牢化 F. 脅威情報の収集および分析と評価 F-1. 事後分析 F-2. 内部脅威情報の収集・分析 F-3. 外部脅威情報の収集・評価 F-4. 脅威情報報告 F-5. 脅威情報の活用 G. CDC/CSCプラットフォームの開発・保守 G-1. セキュリティアーキテクチャ実装 G-2. ネットワークセキュリティ製品基本運用 G-3. ネットワークセキュリティ製品高度運用 G-4. エンドポイントセキュリティ製品基本運用 G-5. エンドポイントセキュリティ製品高度運用 G-6. クラウドセキュリティ製品基本運用 G-7. クラウドセキュリティ製品高度運用 G-8. 深堀分析ツール運用 G-9. 分析基盤基本運用 G-10. 分析基盤高度運用 G-11. CDC/CSCシステム運用 G-12. 既設セキュリティツール検証 G-13. 新規セキュリティツール検証 H. 内部不正対応支援 H-1. 内部不正対応・分析支援 H-2. 内部不正検知・再発防止支援 I. 外部組織との積極的連携 I-1. 意識啓発 I-2. 教育・トレーニング I-3. セキュリティコンサルティング I-4. セキュリティベンダーとの連携 I-5. セキュリティ関連団体との連携 I-6. 技術報告 I-7. 幹部向けセキュリティ報告 Copyright © SCSK Security Corporation

25.

構築プロセスは３つのフェーズサービスを選ぶ（サービスカタログを作る） • サービスリストを参考に選び、どのサービスをどれくらいの推奨レベルで行うかを決めるどこで行うかを決める（サービスプロファイルを作る） • それぞれのサービスは内製で実施するか、外部委託するか今のスコアと目標のスコアを決める（サービスポートフォリオを作る） • それぞれのサービスのスコアをセルフアセスメントで測る 25 Copyright © SCSK Security Corporation

26.

27.

アセスメントのスコアインソースの場合スコア 5 説明運用が明文化されており、担当者と交代して他者が業務を実施できる 4 サービス内容と得られる結果を理解できているが、想定未満運用が明文化されておらず、別の担当者が一時的に業務の一部を代行できる 3 サービス内容、得られる結果のいずれかが理解できていない 2 サービス内容と得られる結果を理解できていない結果や報告を確認できていないアウトソースでの実装を検討したものの、結果として実施しないと判断したスコア 5 説明 4 3 2 アウトソースの場合明文化された運用はCISOなど権限ある組織長に承認されている運用が明文化されておらず、担当者のみが業務を実施できる 1 実施できていない 1 評価対象外インソースでの実装を検討したものの、結果として実施しないと判断した評価対象外 27 サービス内容と得られる結果を理解でき、想定通り Copyright © SCSK Security Corporation

28.

29.

30.

評価プロセスは構築プロセスでやったことの見直し CDC/CSC サービスリストフェーズ2 フェーズ1 CDC/CSC サービスカタログ推奨レベル選んだサービスは適切だったか？ 30 フェーズ3 CDC/CSC サービスプロファイルサービス割り当てサービスの割り当ては適切だったか？ CDC/ＣＳＣサービスポートフォリオサービスアセスメントスコアは目標通りになったか？ Copyright © SCSK Security Corporation

31.

https://www.ttc.or.jp/document_db/information/view_express_entity/1423

32.

33.

ISOG-Jではないですが JNSAの調査研究部会の配下で新しいWGが動いています「X.1060の64のサービスに各社のサービスをマッピングするWG」リーダー：NTTデータグループ小坂さん。毎月開催中！！まずは対応するサービスに各社のサービスをマッピング、 JNSAのソリューションガイドにX.1060対応サービスとして出たり、国際連携部会からASEAN向けに紹介してもらったり、と夢が広がります 33 Copyright © SCSK Security Corporation

34.

35.