Ｗｅｂ教材一覧＞ 法規・基準＞ 情報セキュリティ関連

ＣＳＩＲＴガイド

JPCERTコーディネーションセンター
「ＣＳＩＲＴガイド」（２０１５年）

https://www.jpcert.or.jp/csirt_material/files/guide_ver1.0_20151126.pdf

ＣＳＩＲＴガイドの目的

情報セキュリティの問題が、もはやシステム管理者だけの問題ではなく、経営層が積極的に関与しなければならない問題である。このような中で、組織の情報セキュリティ対策として注目されているのが、組織内の情報セキュリティ問題を専門に扱う CSIRT(シーサート: Computer Security Incident Response Team) の構築である。

本書は CSIRT 構築前に読む「読み物」という位置づけである。
情報セキュリティ対策として、自組織内に CSIRT を構築しようと考えて いる ＣＩＯ (Chief Information Officer、最高情報責任者) などの経営層、CSIRT のメンバーになる可能性のある社員に、CSIRT とはどのような組織でどのような活動をするのか、また CSIRT には何が必要なのかといった点を簡潔に説明している。

企業内で発生したセキュリティ問題に対応するための CSIRT「組織内 CSIRT」に対象を絞った「推奨」であり、「標準規格」を示すものではない。

目次

　1. CSIRT とは？
　　1.1 インシデントと CSIRT
　　1.2 サービス対象 と CSIRT
　2. CSIRT の必要性
　3. CSIRT に求められること
　　3.1 信頼の輪の重要性
　　3.2 信頼の輪の作り方
　　3.3 CSIRT のコミュニティ
　4. CSIRT の位置づけ
　5. CSIRT にあらかじめ必要なこと
　　5.1 サービス対象の明確化
　　5.2 活動目的の明確化
　　5.3 サービス内容の定義
　　5.4 通信チャネルの設置
　6. インシデントハンドリング概論
　　6.1 インシデントマネジメント、ハンドリング、レスポンス
　　6.2 インシデントハンドリングの機能
　　6.3 インシデントハンドリングの流れ
　7. CSIRT 構築にあたって
　　7.1 CSIRT のメンバー
　　7.2 設備

1. CSIRT とは？

CSIRT（Computer Security Incident Response Team) とは、「コンピュータセキュリティインシデント(以降「インシデント」と略)に対応するチーム」です。

1.1 インシデントと CSIRT

情報セキュリティにおける「インシデント」とは、
コンピュータウイルスやサービス運用妨害攻撃、情報漏えいなど、IT システムの正常な運用または利用を阻害する (実害のある) 事象だけでなく、
そのような事象に繋がる可能性のある (まだ実害のない) 弱点探索 (プローブ、スキャン)
なども含まれます。

CSIRT の任務

CSIRT が行なうのがインシデント対応です。

  1. インシデントを検知し、あるいはその報告を受けることにより認知し、影響の拡大を防ぐとともに、
  2. 情報を収集して分析を加え、インシデントの全体像や原因について把握し、
  3. 復旧措置や再発防止のための措置を取る
一連の活動を指します。

このような背景から「組織的なインシデント対応」が必要となってきており、それを実現するための実装が CSIRT です。
　CSIRT は必ずしも「インシデント対応を専門に行なう部署」である必要はありません。必要なのは「インシデント対応を専門に行なう機能」としての CSIRT であり、組織によっては他の関連業務と兼務したメンバーによる部署を横断した形態で CSIRT の機能のみを実装している例は少なくありません。

未然防止と事後対策

インシデントの発生には、次のような原因があります。
（1）パッチの適用忘れなどの人為的ミス
（2）未知の(公知になっていない＝回避策のない)脆弱性の悪用
（3）技術的な対応の限界
（4）必ず存在してしまう社員の意識に頼る事項
　複雑多岐に渡るため、インシデントの発生を完全に防ぐことは不可能であるという「事故前提」の意識の下、
　　インシデント発生時に「いかにして被害を最小限に食い止めるか」
　　発生後「いかにして速やかに復旧するか」
が重要であり、あらかじめインシデント対応体制を構築しておくことが推奨されます。

1.2 サービス対象とCSIRT

CSIRT (の機能) はサービス対象によって、次のように分類されます。

2. CSIRT の必要性

CSIRT を構築することで得られる「メリット」

  1. 情報セキュリティ (インシデント関連) に関する情報管理
  2. (組織内のインシデントに関する) 統一された窓口
  3. (外部との) インシデント対応に必要な信頼関係の構築

3. CSIRT に求められること

3.1 信頼の輪の重要性

3.2 信頼の輪の作り方

サービス対象からの信頼を得るためには、まず CSIRT の存在をサービス対象に充分に認知してもらうことがもっとも重要です。

ＰｏＣ (Point of Contact)

3.3 CSIRT のコミュニティ

4. CSIRT の位置づけ

厳然たるチーム (=部署) として実装される場合もありますが、バーチャルなチームとして、他業務と兼務するメンバーによる「CSIRT 機能」として実装される場合もあります。また文字通りチームとして複数のメンバーによって構成されることもあれば、規模の小さな組織では CSIRT 機能を有した個人である場合もあります。
　　(1) 経営層直下にある場合
　　(2) 経営層直下にあるリスク管理委員会の下にある場合
　　(3) 経営層直下にあり、リスク管理委員会と並立している場合

5. CSIRT にあらかじめ必要なこと

5.1 サービス対象の明確化

CSIRT にとってのサービス対象者 (活動範囲) が誰であるかということを明確に定義すること

5.2 活動目的の明確化

被害の局限化・最小化、被害からの迅速な復旧など、いくつかの目的が考えられますが、優先順位付けをしておくことで、あらかじめ対応マニュアルを用意していない「予期せぬインシデント」にも速やかに対応できます。

ミッションの例

5.3 サービス内容の定義

事後対応型サービス

　・アラートと警告
　・インシデントハンドリング
　　　インシデント分析
　　　オンサイトでのインシデント対応
　　　インシデント対応支援
　　　インシデント対応調整
　・脆弱性ハンドリング
　　　脆弱性分析
　　　脆弱性対応
　　　脆弱性対応調整
　・アーティファクトハンドリング
　　　アーティファクト分析
　　　アーティファクト対応
　　　アーティファクト対応調整

事前対応型サービス

　・告知
　・技術動向監視
　・セキュリティ監査または審査
　・セキュリティツール、
　　　アプリケーション、インフラ、およびサービスの設定と保守
　・セキュリティツールの開発
　・侵入検知サービス
　・セキュリティ関連情報の提供

セキュリティ品質管理サービス

　・リスク分析
　・ビジネス継続性と障害回復計画
　・セキュリティコンサルティング
　・意識向上
　・教育 / トレーニング
　・製品の評価または認定

通信チャネルの設置

6. インシデントハンドリング概論

6.1 インシデントマネジメント、ハンドリング、レスポンス

拡大図

、

6.2 インシデントハンドリングの機能

拡大図

6.3 インシデントハンドリングの流れ

拡大図

次のような「繰り返し」の結果として最終的な解決に導きます。

7. CSIRT 構築にあたって

7.1 CSIRT のメンバー

7.2 設備