00:03
皆さんこんにちは。 日本で唯一サイバーレジリエンスを社名にしたサイバーレジリエンス株式会社の須田です。 村瀬です。よろしくお願いします。
今日は第3回目ということで、1回、2回目の頭の整理を最初にしたいと思います。
まずサイバーレジリエンス、うちの社名なんですけれども、サイバー攻撃やインシデントを防ぐことに加えて、やられてしまった後の回復までに視野を広げて、受け身の体制をとっておくものという意味です。
そうですね。七転び八起きできる体制を整えておく。
そうです。怪獣が来てから変身するっていうウルトラマンじゃなくて、事前に変身をしておくってことですね。
前回、その第一歩が情報資産の洗い出しということを伝えたんですけれども、会見の台帳を見れば、それで情報資産が洗い出せるかというと、そうではなくて、それに乗ってないものもたくさんあるし、その乗ってないものに対して重大なインシデントが免れてしまうという事案が結構あるということを伝えました。
そうです。そこを私たちがサポートできますので、ご相談お待ちしております。
はい。その後、私も会見の台帳に乗っていない情報資産に気づいてしまいました。
と言いますと?
それはクラウドサーズのアカウントです。
鋭いですね。
私が前職で総務部だったので、思いついたということもあるんですけれども、退職後に退職者のアカウントが使える状態で残ってしまっていたりとか、一時的なプロジェクトの協力会社さんのためのアカウントがプロジェクト終了後に残っていたりとか、
あとは退職するまでもなく、移動した社員のメンバーのアカウントが移動前の部署にそのまま紐づけていたりとか、そういうことも結構ありました。
あるあるですね。そういうのは規定が整備されていないとか、規定があっても運用されていないとかということですね。
そうなんですよね。
あとこれもついついやってしまうんですが、サーズの権限が不要なまでに広がるということです。
それは大きいリスクですね。見ちゃいけないものが見えちゃったりとか、あるいはライセンスを与えすぎてお金の無駄ということもありますよね。
そうなんです。昔は私自身もセキュリティについてあまり感度が良くなかったので、便利さを追求しすぎてしまってアカウントの権限を広げたりとか、
あとはアカウント削除しないというのは、やろうと思えばできるのに仕事の優先順位が低かったりとか、めんどくさいという心理的なハードルがあって、やらないということは結構ありました。
そうですね。これ解体された某役所の中の人、知り合い2人いたんですけれども、聞いた話で、課長のアカウントでログインしっぱなしにしていて、部下の人が全部それを使ってたっていうんですよね。
03:07
気持ちはわかったりしちゃったんですけれども、課長しか見られない情報が必要な時に、いちいち課長にログインしてもらうというのは申し訳なさもあるし、不便なので、自分が課長のアカウントを借りてログインしちゃうということですよね。
そんなところですよね。だから平野社員が、本当は見ちゃいけないんだけれども、有名人の名前を検索して、種と誰々さんは誰々を払っていないとか言って、週刊誌に垂れ込むんですよね。
それはちょっとひどいですね。解体された課長とか。
そうなんですよ。その通りですよ。
ということで、やっと情報資産の棚卸しの話にここから入りたいんですけれども。
でもその前に。
何ですか。
情報資産の洗い出しっていう具体的な作業の上位概念というか、そもそもそれは企業経営の中でどのようなものなのか。
どういうと。
企業統治の一環、ガバナンスの一つってことですね。
そのガバナンスはマネジメントとは違いますか。
ガバナンスの方が上位概念で、その下でさらに解像度を上げて具体的にしたものがマネジメントと言えるかもしれません。
ガバナンスっていうと企業統治全般になってしまうので、今回ここではITガバナンスとかインフォメーションガバナンスといった方が適切かもしれません。
ちょっと具体的にしていただくとイメージつきますね。
ガバナンスができている会社ってどんな会社なのか。
私もガバナンスって結構やってたので、一言で言うと規定類がまず整備されていることかなと思います。
その通りですね。さらにそれを具体的に言うと、さっきの須田さんがお話しされたアカウントの管理もまさにガバナンスですよね。
なるほどですね。
さらにその組織的な体制が取れているかどうか。
なるほど。規定で何々をやると書いていても、それをやる組織がないとか、担当者がいないとかっていうのがダメってことですよね。
あとその記録をちゃんと取っているかっていうのも大事ですよね。
全くその通りなんですよ。だからそもそも規定だけ整備するっていうのもありえない話で、
それに対応した組織、技術、物理的、人的な体制を規定に合わせて同時に作るということじゃないと規定も作るようがない。
会社の体制を整えることと、規定の整備っていうのは同時進行にやらなきゃいけないってことですね。
そうですね。これに絡んでもう一つ重要なことを指摘したいんですよ。
何でしょうか。
サイバー攻撃にやられた会社の記者会見の時に社長が出てきたりしますよね。
それは大変結構なことなんですけれども、その横にいる人が総務部長だったりするわけですよ。
06:03
言いたいこと分かりました。つまり本来座っているはずのCISOという立場の方だったりとか、Cサートの方がいないってことですね。
そうなんです、その通り。イコール組織的な整備が全く取れていない会社ですよってバレちゃってるわけですね。
例えばサッカーが11人でやるものなのに10人しかいない会社だったりとか、AKBは48人いなきゃいけないのに47人しかいないかったりとか、これは逆ネタですけども、うちは本当は旦那さんがいなきゃいけないのにいないとかそういうことですね。
その通りですね。須田さんのその例えもいい例えなんですけれども、もうちょっと正確に言わせてください。
11人でやる競技だったのが12人になったんですよ。なのにメンバーを増やしていないチームだってことですね。
めちゃくちゃそれは分かります。うちの息子がすごく反抗期に入っているので旦那さんいないといけないんですけれども、実はいなくて困っているっていう状態ですね。
すごくてすみません。
いいんですよ。
じゃあちょっと戻しましょうね。確かに村瀬さんは複数の会社で非常権のCISOのような仕事をされてますよね。
そうなんですよ。警察との対応も何回もやってますし、ネット業者とかいろんな会社からセキュリティに対する対応、クレームなんかが来ることは正直言ってあるんですよね。
それに対して私がその会社のシステム担当者として山本に立って対応を何回もやってますよね。
すごいですね。そういうそんな役回りというか難しい役回りを社内に置くというよりも、そもそもそういう立場を人間をサイバーレジリエンスな弊社に頼んで置いておくっていうのも一案ですよね。
本当そうですよ。最後もう一つ強く言いたいことがあります。
何でしょう。
警察対応してってすごく思うんですけれども、サイバー攻撃にやられた会社ってもちろん被害者だって言えば被害者なんですけれども、今はもう被害者面はできません。
と言いますと。
攻撃っていうのはお金のある大企業に対してたまに飛んでくるんじゃなくて、どこの会社に対しても文字通り毎秒来てるんですよ。
僕はいろんなサーバーのログとか見てますけれども、本当に毎秒来てますからね。
今悪いことをしている攻撃者たちの顔が背中が思い浮かんだんですけれども、これってあれですよね。大雨なのに傘をさしてない。大雨って気づいてるのに傘をさしてない状態になっちゃってるってことですよね。
そうなんですよ。濡れるほうが悪いですよね。
そうですそうです。実際に大雨なのに傘をさしてない人を見ると、やばい人だなって思っちゃうし。
そうなんですよ。濡れちゃいました。やられちゃいました。それ自分が悪いでしょって話で、しかもやられちゃって他の会社を攻撃する踏み台にされるわけですよ。
09:06
踏み台?
踏み台に。そうするとサプライチェーン全体に迷惑をかけるということになります。
そうですね。ちょっと前も日本でも自動車の生産工場がそれでストップしたことがありましたよね。
そうなんですよ。だから、逆に言えばそこをちゃんとしておけばいい会社。仕事をたくさん振ってもらえる会社になれる。返信できる。
そうですね。信用に値する会社かどうかっていうのはそういうところでも測られるし、ユーザー目線とか消費者の方はしっかり見てますからね。
そうですね。じゃあ今日はこれぐらいでおしまいしたいと思います。
はい。今日は長かったので最後に少しだけまとめさせてください。
はい。
まず企業統治、ガバナンスの一環として具体的にはITガバナンスっていうのが必要で、それはサッカーで言えば11人の競技だったりするものが12人の競技になったようなものですね。
その通り。
そしてサイバー攻撃にやられるっていうことは今や被害者面はできなくて他人に迷惑をかけるヤバい奴だっていうふうに見なされるってことですね。
その通りです。
はい。ということでありがとうございました。
ありがとうございました。