リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント

リクルートにおけるセキュリティ施策方針と
CSIRT組織運営のポイント
猪野裕司
グループマネジャー
インシデントレスポンスグループ
サイバーセキュリティエンジニアリング部
株式会社リクルートテクノロジーズ

(C) Recruit Technologies Co.,Ltd. All rights reserved.
自己紹介
2
猪野裕司（いのゆうじ）
株式会社リクルートテクノロジーズ
大手SI子会社にてセールス、製品サポートなどの傍ら、セキュリティに
興味を持ち始め、CTFに参加、勉強会の開催などを実施。
2011年に海外駐在をきっかけに別のキャリアパスを歩み始めたはずが、
帰国をきっかけにセキュリティ界隈に出戻り。やっぱり、セキュリティが好き！
2016年2月リクルートテクノロジーズに入社、10月マネージャー着任。
Hardening Value Chain 優勝チームリーダー、ハンドル名はyumano。
共著「実践CSIRT現場で使えるセキュリティ事故対応」
氏名
所属
略歴

目次
3
2. Recruit-CSIRTの人材方針
3. Recruit-CSIRTのご紹介
5. まとめ
4. Recruit-CSIRTの構想
1. Recruitについて

目次
4
5. まとめ

5
Recruitについて -ビジネスモデル-
世界中の生活者と産業界に「まだ、ここにない、出会い。」を提供。
マッチング
カスタマー
(一般ユーザー)
クライアント
(サービス提供企業)

ライフイベント領域
進学
就職
結婚
転職
住宅購入
車購入
出産/育児
旅行
IT/トレンド
生活/地域情報
グルメ・美容
ライフスタイル領域
選択・意思決定を支援する情報サービスの提供
「まだ、ここにない、出会い。」を実現する
Recruitについて -ビジネスモデル-

7
Recruitについて -ソリューションの変化-
紙からネットへの展開が促進。
ITの進化とともにソリューションの進化も求められる。
PC
紙
スマートデバイス

8
Recruitについて -構成-
リクルートグループは複数の事業会社、機能会社から構成。
リクルートホールディングス
リクルートキャリア
リクルート住まいカンパニー
リクルートライフスタイル
リクルートジョブズ
リクルートスタッフィング
リクルートマーケティングパートナーズ
スタッフサービス・ホールディングス
リクルートマネジメントソリューションズ
リクルートテクノロジーズ
リクルートアドミニストレーション
リクルートコミュニケーションズ
主要な事業会社主要な機能会社
ビッグデータ機能部門
UI設計/SEO部門
テクノロジーR&D部門
事業・社内IT推進部門
インフラ部門
大規模プロジェクト推進部門

目次
9
5. まとめ

３. Recruitのセキュリティ人材方針 –３つの役割-
10
セキュリティ人材を求められるスキルが異なる３つの役割に分割。
それぞれに最適な人材を採用することを方針としている
管
理
者
実
務
者
①経営との懸け橋
② IT Security
プロマネ
③ セキュリティ
技術者（CSIRT/SOC）
取
締
役

３. Recruit-CSIRTの人材方針 –サイバー攻撃の急増-
11
近年、サイバー攻撃が激増。一昨年から約4倍、昨年から約2倍に。
サイバー攻撃の数
128.8億
2013年
256.6億
2014年
2倍
545.1億
2015年出典：ITPro
(上) http://itpro.nikkeibp.co.jp/atcl/column/14/
346926/030700469/
(下) http://itpro.nikkeibp.co.jp/atcl/news/15/
021800582/

３. Recruit-CSIRTの人材方針 –未知の脅威の急増-
12
未知の脅威も急増。
もはや事前のセキュリティ対策だけでは対応できない状況。
出典：Gartner Security Summit 2015 (Webroot)

３. Recruit-CSIRTの人材方針 –人材不足-
13
セキュリティ人材8万人の不足に対し、1年に輩出される人材は0.1万人。
年々人材不足の加速が懸念される。
出典：「情報セキュリティ人材の育成に関する基礎調査」報告書について(IPA)
http://www.ipa.go.jp/security/fy23/reports/jinzai/
1年に輩出される
セキュリティ経験を有する人材
0.1万/年
26.5
万
現在
8万
不足
必要人数
スキル
不足
15.9
万
出典：情報セキュリティ人材不足数等に関する追加分析について（概要）(IPA)
http://www.ipa.go.jp/files/000040646.pdf

３. Recruit-CSIRTの人材方針 –人材不足の加速-
14
東京オリンピックに向け、セキュリティ人材の取り合いが
加速する可能性が高い
出典：読売ICTフォーラム 2015
http://www.yomiuri.co.jp/project/ictforum2015/lecture_u02.html

３. Recruit-CSIRTの人材方針 –人材の内製化-
15
サイバー攻撃の増加に耐えられるよう、セキュリティ人材を確保/教育し、
CSIRT活動の核を内製にて行うことを目指している。
世
間
サイバー攻撃
増
セキュリティ人材
少
方
針
CSIRT活動の核について、
内製にて実施できるよう、セキュリティ人材をそろえる。

目次
16
5. まとめ

2. Recruit-CSIRTのご紹介 –構成-
17
Recruit-CSIRTは2015年4月に設立された組織。
リクルートホールディングス(RHD)、リクルートテクノロジーズ(RTC)、リクルート
アドミニストレーション(RAD)により構成。
外部セキュリティ組織
内部統制担当者/
システムセキュリティリーダ
A社 B社 C社
・・・
RHD＋RTC＋RAD
グループ会社 12社

2. Recruit-CSIRTのご紹介 –RTC内組織-
18
SOC QMG
IRG
CSIRT
技術部隊
IRG
Incident Response Group
QMG
Quality Management Group
SOC
Security Operation Center
サイバー攻撃への対応をリード
・事故発生時の対応支援
・外部関連機関との連携
・早期警戒(脅威情報の収集および対策検討)
・Recruit-CSIRTの運営、各社展開
被害最小化
未然防止早期検知
サイバー攻撃を早期検知し、被害拡大を防止
・グループ共通インフラのセキュリティ監視
・未知マルウェアの監視、解析、一次対応
・被害発生時のフォレンジック (ネットワークおよびPC)
・内部不正のモニタリング
平時からセキュリティを向上、被害を未然に防止
・脆弱性診断、開発者教育などのセキュア開発支援
・セキュリティパッチの情報収集および各社展開
・システム運用の簡易監査

2013.8
RTC内CSIRT設立
2014.6
NCA加盟
2014.12
鴨志田入社
2015.4
Recruit-CSIRTとして再出発
2015.4
マルウェアアナリスト入社
2015.4
外部コンサル着任
2016.4
フォレンジックアナリスト着任
2015.9
マルウェアアナリスト入社
2016.2
インシデントハンドラ入社
2016.3
アプリセキュリティエンジニア入社
準備期間
ひとり
CSIRT
ふたり
CSIRT
みんなでCSIRT
(個人プレー中心)
2016.6
外部ホワイトハッカー着任
2. Recruit-CSIRTのご紹介 –IRG沿革-
19
IRG
スタート時点はひとりCSIRTから始まったが、中途採用を中心に優秀なメンバ
ーを集めながら1年強で高度な技術を持つグループCSIRTを構築
2016.6 FIRST加盟
2016.10
ホワイトハッカー着任
高度組織化
(チームプレー)

2
6
3
7
4
85
1
2. Recruit-CSIRTのご紹介 –IRGメンバ-
20
IRG
組織マネージャ
IRG工数 IRG工数
マルウェア
アナリスト
IRG工数
マルウェア
アナリスト
IRG工数
フォレンジック
アナリスト
IRG工数
ホワイトハッカー
IRG工数
外部
コンサルタント
IRG工数
外部
ホワイトハッカー
IRG工数
アプリセキュリティ
エンジニア

2. Recruit-CSIRTのご紹介 –目的-
21
各社を横串での対応が可能となるRecruit-CSIRTの構築により、
早期警戒及びより迅速な対応が可能に。
CSIRTがない場合 CSIRTがある場合
A社 B社 C社
1
2 3
1
A社 B社 C社
・・・
1
2
3 3 3
外部組織からの情報収集が確実に行えず、
早期警戒が不十分となる
1 外部セキュリティ組織からの情報収集を確実
に実施可能
1
各社がインシデント対応要員を抱える余裕
がなく、迅速に対応できない
2 インシデント対応可能な技術要員が各社横
断的に対応可能
2
インシデント情報が各社横断的に共有され
ず、インシデントからの学習を生かしきれない
3 CSIRTが対応することで、各社で起きたイン
シデント情報の共有/早期警戒が可能
3

目次
22
5. まとめ

４. Recruit-CSIRTの構想 –全体像-
23
どのようなCSIRTでありたいかを重視。
目標は、各社から感謝、経営から信頼される技術力の高いCSIRTの構築。
CSIRT 経営各社
1
2 3
from to fromto
感謝信頼
技術力

４. Recruit-CSIRTの構想 –あるべき姿-
24
CSIRT
技術力
経営各社
1
2 3
技術力のある組織の構築は、3Stepで推進。
Step 2
モチベート
Step 1
採用/育成
Step 3
技術力

４. Recruit-CSIRTの構想 –あるべき姿 (育成)-
25
技術力を持つ人材の調達および育成により、
CSIRTを支える人材の高度化を図る。
CSIRT 経営各社
1
2 3
Step 2 モチベート
Step 1 採用/育成
Step 3 技術力
採用する育成する
技術力の高いCSIRTであることを
アピールすることで、高度な技術力を
持つ人材を集める
セキュリティトレーニングの受講(費用は
会社負担)や、CTFへの参加を推奨し、
技術力を培う

４. Recruit-CSIRTの構想 –あるべき姿 (モチベート)-
26
メンバの技術力を理解・評価。
更に、チーム/個々のプレゼンス向上・社会貢献の実感を促進。
CSIRT 経営各社
1
2 3
Step 3 技術力
社内
社外
1
2
3
1 メンバを理解・評価
• いち専門家として意見を尊重
• メンバの「スゴさ」を理解し、評価
2 社内からの評価
• 社内にて貢献度/技術力の高さを
アピールし、高評価を獲得
3 社外アピール
• 積極的にメディア寄稿やセミナー講演の
機会を提供

４. Recruit-CSIRTの構想 –あるべき姿 (技術力)-
27
インシデント対応の全プロセスを自社内で実施。
CSIRT 経営各社
1
2 3
再発防止対応検知初動対応
• 顧客問い合わせ
• 従業員による報告
• システム/監視
• インシデントの共有
• 教育
• 検知内容の精査
• 暫定対応
• 影響箇所の特定
• 証拠保全
• ログ収集
• 原因・被害調査
• 恒久対策
• バックアップ復元
全プロセスを自社内にて対応
インシデント対応プロセス(例)
Step 3 技術力

４. Recruit-CSIRTの構想 –各社との関係-
28
CSIRT 経営各社
感謝 1
2 3
各社から感謝される組織の構築は、3Stepで推進。
Step 2
ホスピタリティ
Step 1
非強制
Step 3
感謝

４. Recruit-CSIRTの構想 –各社との関係 (非強制)-
29
ルールで強制すると意図せず上下の関係が構築。
強制しないことで、相談しやすい環境を整備。
CSIRT 経営各社
1
2 3
Step 2 ホスピタリティ
Step 1 非強制
Step 3 感謝
ルールで強制した場合ルールで強制しない場合
各社がCSIRTに管理されている意識を持ち、
報告すると各社がインシデント発生について
責められると考える可能性がある
各社がCSIRTに対して仲間意識を持ち、
技術支援が必要な際に、積極的に相談
してもらえる
A社
B社
…
対等関係
A社
B社
…
上下関係

４. Recruit-CSIRTの構想 –各社との関係 (ホスピタリティ)-
30
各社からインシデント対応支援を要請された際は
いつでもどこでも対応。
CSIRT 経営各社
1
2 3
Step 1 非強制
Step 3 感謝
A社
A社顧客
いつでも支援どこでも支援
インシデント対応支援を要請された際は、
平日/休日または昼夜問わず対応にあたる
インシデント対応支援を要請された際は、
グループA社だけでなく、その顧客先へも出
向いて対応にあたる
10:00
PM
AM
19:00
Mon
Tue
Wed
Thu
Fri
Sat
San

４. Recruit-CSIRTの構想 –各社との関係 (感謝)-
31
CSIRTへの技術支援の感謝により、
インシデント発生時の頼れる存在の地位を確立。
CSIRTメンバにとってのモチベーションにもつながる。
CSIRT 経営各社
1
2 3
Step 1 非強制
Step 3 感謝
技術支援
要請
技術支援
インシデント
収束
CSIRTへの
感謝
インシデント
発生
各社
リピート

４. Recruit-CSIRTの構想 –経営との関係-
32
CSIRT 経営
信頼
各社
1
2 3
経営から信頼される組織の構築は、3Stepで推進。
Step 2
実績
Step 1
専門知識
Step 3
信頼

４. Recruit-CSIRTの構想 –経営との関係 (専門知識)-
33
CSIRT 経営各社
1
2 3
CSIRTが技術的見解を示すことで、
経営が発生事象を把握の上、判断を下すことが可能。
Step 2 実績
Step 1 専門知識
Step 3 信頼
CSIRTがない場合 CSIRTがある場合
経営
各社
エスカレーション
？
経営
各社
エスカレーション
!
判断要素
各社からのエスカレーション内容が専門的で
あったり、中身が欠損するなどし、経営にとっ
ては事象の危険度や影響範囲が不明であ
り、経営判断を下すことが困難
CSIRTが現場の状況を把握した上で、過去の経験を
交えて技術的な観点から、事象の危険度や影響範囲
などの判断要素を経営に提供するため、経営判断を
下しやすい

４. Recruit-CSIRTの構想 –経営との関係 (実績)-
34
リスクの高低に関わらず、CSIRTが対応した実績を
月次で報告をするなど、経営へCSIRTの意義を実感させる。
CSIRT 経営各社
1
2 3
Step 2 実績
Step 1 専門知識
Step 3 信頼
リスクレベルがあまり高くないインシデントについ
ては、経営に把握してもらう機会がないため、
CSIRTの意義を感じてもらいにくい。
経営
CSIRT
各社
連携・対応
リスクレベルが高いインシデントについては、
経営にエスカレーションされるため、CSIRT
の意義を感じてもらいやすい。
経営
CSIRT
各社
連携・対応
把握
エスカレーションインシデント数
(イメージ)
リスクレベル中低のインシデントリスクレベル高のインシデント

４. Recruit-CSIRTの構想 –経営との関係 (信頼)-
35
厚い信頼により、CSIRTを維持するための
人・資金を出してもらい、CSIRT運用を円滑に回すことが可能。
CSIRT 経営各社
1
2 3
Step 2 実績
Step 1 専門知識
Step 3 信頼
CSIRT運用
人資金

目次
36
5. まとめ

５. まとめ
37
「どのようなCSIRTでありたいか」とともに、それを支える強い思いが最重要。
思い
CSIRTの方針
セキュリティエンジニアが
活躍/成長できる場を
大切にしたい
技術力の高い
CSIRTをつくる

リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (20)

Similar to リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント

Similar to リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント (20)

More from Recruit Technologies

More from Recruit Technologies (11)

Recently uploaded

Recently uploaded (8)

リクルートにおけるセキュリティ施策方針とCSIRT組織運営のポイント