監視・運用・社内体制：専任がいない会社のCSIRTと外部の使い方

セキュリティの運用とは、異常に気づき、事故のときに判断し、社内外へ連絡するまでの役割を決めておくことです。専任の担当者がいなくても、役割を決めることはできます。製品より先に、ここから始めます。

何から手を付けるか

順番は、役割を決める、1枚⁠にまとめる、記録を残す、外部を決める、練習する、です。

1. 判断する人、動く人、連絡する人を決める
2. 事故のときの連絡先と判断を1枚に書く
3. 何のログを、どれだけ残すかを決める
4. 頼れる外部の窓口を、平時のうちに決める
5. 年1回⁠、机の上で練習する
6. 足りなければ監視を外部に任せる

専任がいなくても、役割は分けられる

IPAの2024年度の実態調査では、約7割⁠の企業が組織的なセキュリティ体制を整えておらず、専門部署があるのは9.3%でした。調査報告書でも、緊急時の体制を実施または一部実施している企業は39.8%⁠に留まっています。

専任を雇えないのは、多くの会社で同じです。JPCERT/CCのCSIRTマテリアルは、CSIRTを「組織内の情報セキュリティ問題を専門に扱う、インシデント対応チーム⁠」⁠と説明しています。小さな会社では、これを次の4者に割り振って考えます。

大事なのは、社長が不在のときの代理まで決めておくことです。深夜に工場から連絡が来たとき、誰が止める判断をするのかが書いてあれば、それだけで動きが変わります。

1枚⁠の紙に書くこと

事故のあとに調べる余裕はありません。パソコンが使えない場面も考えて、紙でも持っておきます。

公的な窓口は3つ入れておきます。IPAの不正アクセス特別相談窓口⁠は初動の助言と専門業者の案内をしています。JPCERT/CCのインシデント対応依頼と、警察庁が案内する都道府県警察の窓口⁠もあります。

対応の流れを詳しく知りたいときは、JPCERT/CCのインシデントハンドリングマニュアル⁠が使えます。個人データが関わるときの報告は情報漏えい・内部不正⁠に書きました。

ログは、何を残すのか

全部残そうとすると費用も手間も膨らみます。事故のときに「誰が、いつ、どこから入ったか」⁠がわかる範囲から始めます。

• VPNや社外からの接続の記録
• クラウドやメールのログイン記録
• 管理者アカウントの操作の記録
• サーバーとファイアウォールの記録

保存の期間は、気づくまでの時間を考えて決めます。攻撃者は痕跡を消そうとするので、警察庁の報告が示す流れを踏まえると、機器の中だけでなく別の場所にも残しておくと安心です。

ログの保管にはログ管理の製品やクラウドの機能が使えます。集めたログを分析して警告を出すSIEMは強力ですが、見る人がいないと活きません。中小企業の多くは、製品を入れるより監視ごと任せるほうが現実的かもしれません。

監視を外部に任せる範囲

外部に頼むときは、SOCと呼ばれる監視のサービスや、端末の監視を任せるサービスなどがあります。比べるときに確かめたいのは料金より範囲です。

• 通知するだけか、機器の切り離しまでやるのか
• 夜間と休日も見るのか
• 判断を求められる相手は社内の誰か
• 事故のあとの調査は含まれるのか

セキュリティ運用の委託⁠を探すときの手がかりとして、IPAの情報セキュリティサービス基準適合サービスリストには、セキュリティ監視・運用サービスとデジタルフォレンジックサービスの区分があります。IPAがサービスの品質を保証するものではないので、内容は個別に確かめます。

小さな会社なら、サイバーセキュリティお助け隊サービスのように監視と相談をまとめた形もあります。事故のあとの原因調査はフォレンジック調査⁠の専門業者の領域で、平時に候補を決めておくと慌てません。

年1回⁠の机上訓練

訓練といっても、大がかりなものは要りません。「月曜の朝、受注のサーバーが開けず、脅迫文が表示された」⁠と⁠い⁠う場面を設定し、1時間ほど話し合います。誰に連絡するか、取引先にいつ伝えるか、工場は止めるのか。話してみると、連絡先が古い、代理が決まっていないといった穴が見つかります。

工場を含めた体制は工場・製造業のセキュリティに、全体の順番はセキュリティ対策の全体像⁠にまとめています。