社外向け自社サービスや製品のセキュリティ、情シスとしてどう関わる？【東京コミュニティ（IST2） Vol.3活動レポート】
-
│
はじめに
こんにちは！セキュリティコミュニティマネージャの福地です！
企業のサイバーセキュリティを担う立場の人たちが集い、課題や悩みを共有しあうことで日本のセキュリティ対策をより強固にしていきたい――そんな思いから、マクニカではセキュリティコミュニティ「情報セキュリティチーム Tokyo（IST2）」を運営しています。
12月に開催したMeetup Vol.3は、「社外向け自社サービスや製品のセキュリティ、情シスとしてどう関わる？」をテーマに15名の方が集まり、各社の製品のセキュリティへの取り組み、課題についてディスカッションを行いました。
本記事では、当日行われたMeetupの様子をお届けいたします！
イベントアジェンダ
- 『オープニング』
- 『事例講演①』
- 東京海上日動システムズ株式会社 中西 祐介様
- 『事例講演②』
- GMOペイメントゲートウェイ株式会社 高橋 大輔様
- 『事例登壇③』
- アズビル株式会社 上田 祐司様
- 『グループディスカッション』
- 各社の学びや課題の共有
- 課題についてディスカッショング
- 発表
- 『クロージング』
テーマ設定の背景
セキュリティは、今や企業の信頼そのものに直結する時代になり、社内システムの安全性を守るだけではなく、自社サービスや製品リリース前後の脆弱性対応や、万一のインシデント発生時の影響を最小化する体制づくりなど多岐にわたります。
一方で、こうした「プロダクトセキュリティ」や「開発セキュリティ」において、
- 情シスはどう関わるのが現実的なのか
- 開発や事業部門をどう巻き込めばよいか
- 対策の優先順位をどう考えるべきか
など、多くの現場で悩みや試行錯誤が続いています。
そこで第3回目の今回は、「社外向け自社サービスや製品のセキュリティ、情シスとしてどう関わる？」と題し、
情シスの立場で実際に取り組む皆さんの考え方や実践を持ち寄り、ディスカッションを行いました。
当日の様子
事例講演では3社の企業様にご講演いただき、自社が提供するサービス、製品に対するセキュリティの開発・運用・製品それぞれのフェーズに対する日頃の取り組みや工夫が共有されました。
どの講演も実例が多く、会場では写真を撮ったりメモを取ったりする参加者が多くいらっしゃいました。開発ではどうスピードと安全を両立するか、運用では続けられる仕組みをどう作るか、製品では企画段階から守りを組み込むといった、それぞれのリアルな工夫が紹介され、参加者の学びにつながるポイントが満載となり、QAも活発に行われ終始前のめりな空気が流れていました。
グループディスカッションでは「学び」「自社の取り組み」「課題・もやもや」について、ホワイトボードに付箋を貼りながら、テーブルごとにディスカッションをしました。
まとめ
今回のイベントで、事務局が印象に残っているポイントを3つにまとめました。
- 責任と役割を曖昧にしない
アウトソースの有無にかかわらず説明責任は自社に残る。誰が判断し誰が責任を負うかを企画・設計段階で固定化する。 - セキュリティは"後付け"にしない
企画～設計から関与し、SAST/DAST/設計レビューを標準化。チェックリストではなくリスクベースで濃淡を付ける。 - 運用・出荷後まで守る体制
事故が起きやすいイレギュラーをワークフロー化・半自動化・監視で抑制。PSIRT等の横断組織で脆弱性対応を継続する。
今回の3つのポイントが、各社それぞれの立場やフェーズに合わせて、自社なりの関わり方を考えるきっかけになればと思います。
私たちのコミュニティでは、こうした悩みや試行錯誤を、これからも皆さんと一緒に共有していきます。
参加者の反応
今回は、9割を超える参加者の方から「コミュニティ内での情報交換が役に立った」との回答をいただき、非常に盛況なイベントとなりました。
アンケートでも「色んな視点での意見を知ることができた」「自社の課題の解決策のヒントを得られた」と言った学びのコメントや、「同じような悩みを抱えているとわかりホッとした」と言ったような安心のコメントなどポジティブなコメントを多くいただきました。
最後に
「情報セキュリティチーム Tokyo」に是非参加してみたい方は、以下HPからコミュニティへの登録をお待ちしています！
※関西・名古屋にも開催地を拡大中！
※本コミュニティは企業のサイバーセキュリティを担う方限定のコミュニティとなります。
▼Taneva（タネバ）：自社のセキュリティを担う方はどなたでもご参加可能なコミュニティ
▼東京版コミュニティ（対象：マクニカから製品・サービスをご購入いただいているお客様）
▼関西版コミュニティ（対象：マクニカから製品・サービスをご購入いただいているお客様）
▼東海版コミュニティ（対象：マクニカから製品・サービスをご購入いただいているお客様）
