20171216　.NETラボ 勉強会 2017年12月

1. Ver 1.0
更新日 : 2017 年 1２ 月 15 日

2. 自己紹介
• 國吉 麻美（Kuniyoshi Asami）
– 株式会社エクシード・ワン（http://www.exceedone.co.jp/）
– 業務部
– Microsoft MVP
• 主な業務
– Office365設計・導入・構築・運用サポート
– ECサイト立ち上げ（2018/01月OPEN予定）
– 不動産・金融会社へ常駐し、サポート業務
2

3. 企業にとって大事なミッション
•売り上げ
•資金管理
•コンプライアンス管理
•セキュリティ
3

4. そもそもセキュリティ監査って？
自組織の情報資産に対して、
情報セキュリティ対策が適切に行われていることを
法令や規則に照らし合わせて
（第三者が）点検・評価すること。
4

5. 何でセキュリティ監査制度が作られたのか？
5
情報
スパイ 侵入
ウィル
ス
内部犯罪 データ改ざん
なりすまし
盗難
盗聴

6. 何でセキュリティ監査制度が作られたのか？
組織の情報セキュリティの取組みや、有効性を
検証・評価する制度として、
「情報セキュリティ監査制度」が作られる。
6

7. 何で監査が必要なのか？
• 第三者に対しての信頼獲得
• 業界基準などへの適合性の評価
• 課題の明確化
7

8. 実際の企業例
8
取締役社長
内部監査 リスク
コンプライアンス
管理部
ユーザ
・監督省庁
・監査法人
取引先からのIT監査
システム監査
社内

9. LOG・証跡として収集している物（申請関連）
• 管理関連
–特権ID申請
–リモート接続申請
9
• ユーザ関連
–WEB閲覧申請
–ソフトウェアインストール申請
–外部データ出力申請書
–入退社ユーザ一覧
–メーリングリスト作成・設定

10. LOG・証跡として収集している物（ユーザ環境データ）
• 外部データ出力ログ
• Weｂサイトアクセス制限、ログ
• フォルダ・ファイルのアクセスログ
★定期的にログと申請書での差異が
ないか、確認している。
10

11. 棚卸確認作業
毎月1回（月末）に棚卸作業を行う
11

12. 棚卸確認作業
でも 毎月の棚卸し作業は、
『難しい』のが現実
12

13. 管理台帳
13
• ユーザ名
• 部署名
• PC名
• ログインID
• メールアドレス
• メールパスワード
• メール転送設定の有無
• iPhoneのiOSアップデート日
• iPhoneの端末番号・電話
番号
• iPhoneのロック解除パス・
機能制限パス
• PC資産番号
• 管理番号
• PC機器名
• PCスペック
等

14. メーリングリスト
14

15. メールデータバックアップ
メールデータもとても重要なデータ
対象：
●退職者のデータ
●既存のユーザ
15

16. メールバックアップ 簡単に取れなくなった!?
今まで「インプレース電子情報開示と保留リスト」でバックアップ
↓
「コンテンツの検索」でしか、データが取れなくなります。
16

17. 「コンテンツの検索」 使いづらい。。。
今までは、簡単に「インプレース電子情報開示」
↓
これからは「コンテンツの検索」のみ
17

18. Penetration test（ペネトレーションテスト）
18
通称：ペンテスト、ペネトレ、
脆弱性が悪用された場合
どのような影響があるかを攻撃者の目線で
検証することを重点にしたテスト

19. Penetration test（ペネトレーションテスト）
19
社外からの攻撃だけ防げば
安心って本当ですか？

20. 調査範囲
20
ルータ
サーバルーム
ADサーバ Fileサーバ SQLサーバ Info Tracer L2Blocker WSUS
・・・
部署A 部署B

21. 価格帯
21
プラン 考え方 金額感
松 全端末を徹底的に調査 225万
竹 最重要個所は全数調査、
業務PCは部署が同じならば概ね同じ状況にあると考え、
サンプリング調査
105万
梅 最も重要な箇所に絞って調査を実施 60～90万

22. ペネトレ終わった後は
●報告書を提出してもらう（ペネトレ テスター）
●報告書に基づいて、改善のアドバイスをもらう。
（ペネトレ テスター＆情報システム）
●社内で対策計画を立てる。（情報システム）
●対策実行（情報システム）
22

23. クラウドは “危ない” のか
情報セキュリティ監査から見ても、
クラウドは危なくない!!
23

24. 確認は必要です。
■クラウドサービス事業者が行うべき
主要な情報セキュリティ対策
●データセンターの災害対策・侵入対策 など
●データがバックアップされているか
●ハードウェア機器の障害対策
●仮想サーバなどのOS、ソフトウェア、アプリケーション等の
脆弱性（ぜいじゃくせい）の判定と対策 等
24