リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント

リクルートにおけるセキュリティ施策方針と
CSIRT組織運営のポイント
猪野裕司
グループマネジャー
インシデントレスポンスグループ
サイバーセキュリティエンジニアリング部
株式会社リクルートテクノロジーズ

(C) Recruit Technologies Co.,Ltd. All rights reserved.
自己紹介
2
猪野裕司（いのゆうじ）
株式会社リクルートテクノロジーズ
大手SI子会社にてセールス、製品サポートなどの傍ら、セキュリティに
興味を持ち始め、CTFに参加、勉強会の開催などを実施。
2011年に海外駐在をきっかけに別のキャリアパスを歩み始めたはずが、
帰国をきっかけにセキュリティ界隈に出戻り。やっぱり、セキュリティが好き！
2016年2月リクルートテクノロジーズに入社、10月マネージャー着任。
Hardening Value Chain 優勝チームリーダー、ハンドル名はyumano。
共著「実践CSIRT現場で使えるセキュリティ事故対応」
氏名
所属
略歴

目次
3
2. Recruit-CSIRTの人材方針
3. Recruit-CSIRTのご紹介
5. まとめ
4. Recruit-CSIRTの構想
1. Recruitについて

目次
4
5. まとめ

5
Recruitについて -ビジネスモデル-
世界中の生活者と産業界に「まだ、ここにない、出会い。」を提供。
マッチング
カスタマー
(一般ユーザー)
クライアント
(サービス提供企業)

ライフイベント領域
進学
就職
結婚
転職
住宅購入
車購入
出産/育児
旅行
IT/トレンド
生活/地域情報
グルメ・美容
ライフスタイル領域
選択・意思決定を支援する情報サービスの提供
「まだ、ここにない、出会い。」を実現する
Recruitについて -ビジネスモデル-

7
Recruitについて -ソリューションの変化-
紙からネットへの展開が促進。
ITの進化とともにソリューションの進化も求められる。
PC
紙
スマートデバイス

8
Recruitについて -構成-
リクルートグループは複数の事業会社、機能会社から構成。
リクルートホールディングス
リクルートキャリア
リクルート住まいカンパニー
リクルートライフスタイル
リクルートジョブズ
リクルートスタッフィング
リクルートマーケティングパートナーズ
スタッフサービス・ホールディングス
リクルートマネジメントソリューションズ
リクルートテクノロジーズ
リクルートアドミニストレーション
リクルートコミュニケーションズ
主要な事業会社主要な機能会社
ビッグデータ機能部門
UI設計/SEO部門
テクノロジーR&D部門
事業・社内IT推進部門
インフラ部門
大規模プロジェクト推進部門

目次
9
5. まとめ

３. Recruitのセキュリティ人材方針 –３つの役割-
10
セキュリティ人材を求められるスキルが異なる３つの役割に分割。
それぞれに最適な人材を採用することを方針としている
管
理
者
実
務
者
①経営との懸け橋
② IT Security
プロマネ
③ セキュリティ
技術者（CSIRT/SOC）
取
締
役

３. Recruit-CSIRTの人材方針 –サイバー攻撃の急増-
11
近年、サイバー攻撃が激増。一昨年から約4倍、昨年から約2倍に。
サイバー攻撃の数
128.8億
2013年
256.6億
2014年
2倍
545.1億
2015年出典：ITPro
(上) http://itpro.nikkeibp.co.jp/atcl/column/14/
346926/030700469/
(下) http://itpro.nikkeibp.co.jp/atcl/news/15/
021800582/

３. Recruit-CSIRTの人材方針 –未知の脅威の急増-
12
未知の脅威も急増。
もはや事前のセキュリティ対策だけでは対応できない状況。
出典：Gartner Security Summit 2015 (Webroot)

３. Recruit-CSIRTの人材方針 –人材不足-
13
セキュリティ人材8万人の不足に対し、1年に輩出される人材は0.1万人。
年々人材不足の加速が懸念される。
出典：「情報セキュリティ人材の育成に関する基礎調査」報告書について(IPA)
http://www.ipa.go.jp/security/fy23/reports/jinzai/
1年に輩出される
セキュリティ経験を有する人材
0.1万/年
26.5
万
現在
8万
不足
必要人数
スキル
不足
15.9
万
出典：情報セキュリティ人材不足数等に関する追加分析について（概要）(IPA)
http://www.ipa.go.jp/files/000040646.pdf

３. Recruit-CSIRTの人材方針 –人材不足の加速-
14
東京オリンピックに向け、セキュリティ人材の取り合いが
加速する可能性が高い
出典：読売ICTフォーラム 2015
http://www.yomiuri.co.jp/project/ictforum2015/lecture_u02.html

３. Recruit-CSIRTの人材方針 –人材の内製化-
15
サイバー攻撃の増加に耐えられるよう、セキュリティ人材を確保/教育し、
CSIRT活動の核を内製にて行うことを目指している。
世
間
サイバー攻撃
増
セキュリティ人材
少
方
針
CSIRT活動の核について、
内製にて実施できるよう、セキュリティ人材をそろえる。

目次
16
5. まとめ

2. Recruit-CSIRTのご紹介 –構成-
17
Recruit-CSIRTは2015年4月に設立された組織。
リクルートホールディングス(RHD)、リクルートテクノロジーズ(RTC)、リクルート
アドミニストレーション(RAD)により構成。
外部セキュリティ組織
内部統制担当者/
システムセキュリティリーダ
A社 B社 C社
・・・
RHD＋RTC＋RAD
グループ会社 12社

2. Recruit-CSIRTのご紹介 –RTC内組織-
18
SOC QMG
IRG
CSIRT
技術部隊
IRG
Incident Response Group
QMG
Quality Management Group
SOC
Security Operation Center
サイバー攻撃への対応をリード
・事故発生時の対応支援
・外部関連機関との連携
・早期警戒(脅威情報の収集および対策検討)
・Recruit-CSIRTの運営、各社展開
被害最小化
未然防止早期検知
サイバー攻撃を早期検知し、被害拡大を防止
・グループ共通インフラのセキュリティ監視
・未知マルウェアの監視、解析、一次対応
・被害発生時のフォレンジック (ネットワークおよびPC)
・内部不正のモニタリング
平時からセキュリティを向上、被害を未然に防止
・脆弱性診断、開発者教育などのセキュア開発支援
・セキュリティパッチの情報収集および各社展開
・システム運用の簡易監査

2013.8
RTC内CSIRT設立
2014.6
NCA加盟
2014.12
鴨志田入社
2015.4
Recruit-CSIRTとして再出発
2015.4
マルウェアアナリスト入社
2015.4
外部コンサル着任
2016.4
フォレンジックアナリスト着任
2015.9
マルウェアアナリスト入社
2016.2
インシデントハンドラ入社
2016.3
アプリセキュリティエンジニア入社
準備期間
ひとり
CSIRT
ふたり
CSIRT
みんなでCSIRT
(個人プレー中心)
2016.6
外部ホワイトハッカー着任
2. Recruit-CSIRTのご紹介 –IRG沿革-
19
IRG
スタート時点はひとりCSIRTから始まったが、中途採用を中心に優秀なメンバ
ーを集めながら1年強で高度な技術を持つグループCSIRTを構築
2016.6 FIRST加盟
2016.10
ホワイトハッカー着任
高度組織化
(チームプレー)

2
6
3
7
4
85
1
2. Recruit-CSIRTのご紹介 –IRGメンバ-
20
IRG
組織マネージャ
IRG工数 IRG工数
マルウェア
アナリスト
IRG工数
マルウェア
アナリスト
IRG工数
フォレンジック
アナリスト
IRG工数
ホワイトハッカー
IRG工数
外部
コンサルタント
IRG工数
外部
ホワイトハッカー
IRG工数
アプリセキュリティ
エンジニア

2. Recruit-CSIRTのご紹介 –目的-
21
各社を横串での対応が可能となるRecruit-CSIRTの構築により、
早期警戒及びより迅速な対応が可能に。
CSIRTがない場合 CSIRTがある場合
A社 B社 C社
1
2 3
1
A社 B社 C社
・・・
1
2
3 3 3
外部組織からの情報収集が確実に行えず、
早期警戒が不十分となる
1 外部セキュリティ組織からの情報収集を確実
に実施可能
1
各社がインシデント対応要員を抱える余裕
がなく、迅速に対応できない
2 インシデント対応可能な技術要員が各社横
断的に対応可能
2
インシデント情報が各社横断的に共有され
ず、インシデントからの学習を生かしきれない
3 CSIRTが対応することで、各社で起きたイン
シデント情報の共有/早期警戒が可能
3

目次
22
5. まとめ

４. Recruit-CSIRTの構想 –全体像-
23
どのようなCSIRTでありたいかを重視。
目標は、各社から感謝、経営から信頼される技術力の高いCSIRTの構築。
CSIRT 経営各社
1
2 3
from to fromto
感謝信頼
技術力

４. Recruit-CSIRTの構想 –あるべき姿-
24
CSIRT
技術力
経営各社
1
2 3
技術力のある組織の構築は、3Stepで推進。
Step 2
モチベート
Step 1
採用/育成
Step 3
技術力

４. Recruit-CSIRTの構想 –あるべき姿 (育成)-
25
技術力を持つ人材の調達および育成により、
CSIRTを支える人材の高度化を図る。
CSIRT 経営各社
1
2 3
Step 2 モチベート
Step 1 採用/育成
Step 3 技術力
採用する育成する
技術力の高いCSIRTであることを
アピールすることで、高度な技術力を
持つ人材を集める
セキュリティトレーニングの受講(費用は
会社負担)や、CTFへの参加を推奨し、
技術力を培う

４. Recruit-CSIRTの構想 –あるべき姿 (モチベート)-
26
メンバの技術力を理解・評価。
更に、チーム/個々のプレゼンス向上・社会貢献の実感を促進。
CSIRT 経営各社
1
2 3
Step 3 技術力
社内
社外
1
2
3
1 メンバを理解・評価
• いち専門家として意見を尊重
• メンバの「スゴさ」を理解し、評価
2 社内からの評価
• 社内にて貢献度/技術力の高さを
アピールし、高評価を獲得
3 社外アピール
• 積極的にメディア寄稿やセミナー講演の
機会を提供

４. Recruit-CSIRTの構想 –あるべき姿 (技術力)-
27
インシデント対応の全プロセスを自社内で実施。
CSIRT 経営各社
1
2 3
再発防止対応検知初動対応
• 顧客問い合わせ
• 従業員による報告
• システム/監視
• インシデントの共有
• 教育
• 検知内容の精査
• 暫定対応
• 影響箇所の特定
• 証拠保全
• ログ収集
• 原因・被害調査
• 恒久対策
• バックアップ復元
全プロセスを自社内にて対応
インシデント対応プロセス(例)
Step 3 技術力

４. Recruit-CSIRTの構想 –各社との関係-
28
CSIRT 経営各社
感謝 1
2 3
各社から感謝される組織の構築は、3Stepで推進。
Step 2
ホスピタリティ
Step 1
非強制
Step 3
感謝

４. Recruit-CSIRTの構想 –各社との関係 (非強制)-
29
ルールで強制すると意図せず上下の関係が構築。
強制しないことで、相談しやすい環境を整備。
CSIRT 経営各社
1
2 3
Step 2 ホスピタリティ
Step 1 非強制
Step 3 感謝
ルールで強制した場合ルールで強制しない場合
各社がCSIRTに管理されている意識を持ち、
報告すると各社がインシデント発生について
責められると考える可能性がある
各社がCSIRTに対して仲間意識を持ち、
技術支援が必要な際に、積極的に相談
してもらえる
A社
B社
…
対等関係
A社
B社
…
上下関係

４. Recruit-CSIRTの構想 –各社との関係 (ホスピタリティ)-
30
各社からインシデント対応支援を要請された際は
いつでもどこでも対応。
CSIRT 経営各社
1
2 3
Step 1 非強制
Step 3 感謝
A社
A社顧客
いつでも支援どこでも支援
インシデント対応支援を要請された際は、
平日/休日または昼夜問わず対応にあたる
インシデント対応支援を要請された際は、
グループA社だけでなく、その顧客先へも出
向いて対応にあたる
10:00
PM
AM
19:00
Mon
Tue
Wed
Thu
Fri
Sat
San

４. Recruit-CSIRTの構想 –各社との関係 (感謝)-
31
CSIRTへの技術支援の感謝により、
インシデント発生時の頼れる存在の地位を確立。
CSIRTメンバにとってのモチベーションにもつながる。
CSIRT 経営各社
1
2 3
Step 1 非強制
Step 3 感謝
技術支援
要請
技術支援
インシデント
収束
CSIRTへの
感謝
インシデント
発生
各社
リピート

４. Recruit-CSIRTの構想 –経営との関係-
32
CSIRT 経営
信頼
各社
1
2 3
経営から信頼される組織の構築は、3Stepで推進。
Step 2
実績
Step 1
専門知識
Step 3
信頼

４. Recruit-CSIRTの構想 –経営との関係 (専門知識)-
33
CSIRT 経営各社
1
2 3
CSIRTが技術的見解を示すことで、
経営が発生事象を把握の上、判断を下すことが可能。
Step 2 実績
Step 1 専門知識
Step 3 信頼
CSIRTがない場合 CSIRTがある場合
経営
各社
エスカレーション
？
経営
各社
エスカレーション
!
判断要素
各社からのエスカレーション内容が専門的で
あったり、中身が欠損するなどし、経営にとっ
ては事象の危険度や影響範囲が不明であ
り、経営判断を下すことが困難
CSIRTが現場の状況を把握した上で、過去の経験を
交えて技術的な観点から、事象の危険度や影響範囲
などの判断要素を経営に提供するため、経営判断を
下しやすい

４. Recruit-CSIRTの構想 –経営との関係 (実績)-
34
リスクの高低に関わらず、CSIRTが対応した実績を
月次で報告をするなど、経営へCSIRTの意義を実感させる。
CSIRT 経営各社
1
2 3
Step 2 実績
Step 1 専門知識
Step 3 信頼
リスクレベルがあまり高くないインシデントについ
ては、経営に把握してもらう機会がないため、
CSIRTの意義を感じてもらいにくい。
経営
CSIRT
各社
連携・対応
リスクレベルが高いインシデントについては、
経営にエスカレーションされるため、CSIRT
の意義を感じてもらいやすい。
経営
CSIRT
各社
連携・対応
把握
エスカレーションインシデント数
(イメージ)
リスクレベル中低のインシデントリスクレベル高のインシデント

４. Recruit-CSIRTの構想 –経営との関係 (信頼)-
35
厚い信頼により、CSIRTを維持するための
人・資金を出してもらい、CSIRT運用を円滑に回すことが可能。
CSIRT 経営各社
1
2 3
Step 2 実績
Step 1 専門知識
Step 3 信頼
CSIRT運用
人資金

目次
36
5. まとめ

５. まとめ
37
「どのようなCSIRTでありたいか」とともに、それを支える強い思いが最重要。
思い
CSIRTの方針
セキュリティエンジニアが
活躍/成長できる場を
大切にしたい
技術力の高い
CSIRTをつくる

リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント

More Related Content

What's hot (20)

Viewers also liked (20)

Similar to リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント (20)

More from Recruit Technologies (11)

リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント