みんなあつまれ！セキュリティ運用の森（前編）Internet Week 2023

インターネットのインフラを支えるプロフェッショナル達の「オフ会」こと Internet Week 2023 が、11 月 15 日（水）から 11 月 22 日（水）の期間開催される。前半はオンラインで、後半の 3 日間はリアル会場（今年も東京大学伊藤謝恩ホール）開催。主催は一般社団法人日本ネットワークインフォメーションセンター（JPNIC）。 ScanNetSecurity 編集部の記憶が確かなら、暗号化した ZIP ファイルを送る日本の「セキュリティ劇場」を「PPAP」と公然と揶揄したステキな講演の最初期を、ほかならぬこの Internet Week 会場で聞いた気がする。このように毎回セキュリティ関連セッションが充実している Internet Week だが、ネットワークなどのトレンド全般も一括で押さえられることがもうひとつの魅力でもある。 また、CISSP 認定保持者をはじめとする ISC2 メンバーは、1 時間で 1 CPE クレジットを取得できる（全プログラム対象）。しかも有料カンファレンスとはいっても Black Hat USA とかガートナー セキュリティ &amp; リスク・マネジメント サミット のように稟議がまず通らないような背筋が寒くなる金額でも決してない。志の高い技術者なら自己投資として充分払える金額だと思う。 セキュリティセッションが充実、ネットワークやインフラ全般のトレンドをキャッチアップ、財布にも優しい、CPE クレジットも貯まる。もう最高である。 本稿では開催 3 日目の 11 月 20 日(月)に行われるプログラム「あつまれ！セキュリティ運用ピーポー」について、プログラム委員でもある日本セキュリティオペレーション事業者協議会（ISOG-J）の武井滋紀氏、日本シーサート協議会の林郁也氏に見どころを聞いた。なお今回は前編である。--──「あつまれ！セキュリティ運用ピーポー」と口に出すのがちょっと恥ずかしいタイトルなのですが親しみやすさはすごくあると思います。なぜセキュリティを「運用」する人に焦点を当てたのでしょうか？武井：セキュリティのトレンドやそれを取り巻く状況は日々変わり続けています。いまやサイバーセキュリティは「ビジネスリスク」「経営課題」と認識され、セキュリティの担当の皆さんや責任者の方、CISO の方など、日々広がり続けるセキュリティの関連業務や新たなキーワードに追われる日々だと思います。そんな運用現場の方が気になる旬な話をお届けするため、このセッションを企画しました。──「運用ピーポー」「シーサートピーポー」「X.1060ピーポー」と 3 パートに分かれています。それぞれ詳しく教えて下さい（1）あつまれ！ 運用ピーポー ～脆弱性対応方法の振返りと、今後の展開～（2）あつまる！ シーサートピーポー ～訓練演習、教育ノウハウを共有してよかった話（3）あつまれ！ X.1060ピーポー ～セキュリティ対応組織の教科書の活用～武井：「あつまれ！運用ピーポー」では、脆弱性の対応について解説します。システムは作ったら終わりではなく、運用に入ってからが本番で、長い期間セキュアに安定稼働させることが必要となります。継続的に発生する脆弱性をどのように扱うか、実際に課題に直面している方、将来直面するであろう方に向けてお話しします。林：「あつまる！ シーサートピーポー」では、訓練や演習、教育ノウハウの共有成功事例をご紹介します。いざという時に備えたルールや技術的なものを含む各種の仕組が有事にちゃんとワークするかを事前に訓練や演習で試しておくことは非常に大事です。一方でセキュリティ教育には、事故の発生率を抑制する効果も確実にあると考えています。 これら訓練・演習・教育は、これまで各社個別に創意工夫と苦労が積み重ねられてきました。日本シーサート協議会では、有志のメンバーが集まってワーキンググループを立ち上げ、訓練・演習・教育に関わる成果物や文書、知見等を共有し議論する試みを行っており、これがとてもよい効果が出ていますので、皆さまにこの成果を共有します。そして、もっとこの動きを広めたいと思っています。武井：「あつまれ！ X.1060ピーポー」については、セキュリティ対応組織の教科書としての、ITU-T 勧告 X.1060 の活用についてお話したいと思っています。ITU-T 勧告 X.1060 が公開されてからおよそ 2 年。実際に活用する国が世界各地で出てきており、日本の知見が詰まったドキュメントが世界で活用されています。日本では、日本セキュリティオペレーション事業者協議会（ISOG-J）から世界に先駆けた実用書となる「セキュリティ対応組織の教科書」第 3.1 版が 10 月 17 日に出されました。 X.1060 やその日本語の JT-X1060、セキュリティ対応組織の教科書第 3.1 版、それぞれドキュメントは出ているが「どう活用したら良いかわからない」「どこから手をつけて良いかわからない」「最低限どこからやればいいの」等々、色々なフィードバックをいただいています。それらを踏まえ、どう活用するかという視点でこのセッションを企画しました。──セッションの構成や講師依頼など、セッションを組み立てるとき気をつけたポイントがあれば教えて下さい武井：脆弱性対応の振り返りについては、脆弱性管理と一口で言っても、多様な切り口や分野、側面があります。すべてをひとくくりにして議論をすると噛み合わないだけではなく、なんとなく理解できた気はしても、実際に直面した課題に対応できないことになってしまいかねません。多面的に紐解いていただける知見のある方に講師を依頼しました。林：私は、訓練・演習・教育とは、セキュリティ対策や体制作りの最後の最後の仕事、作った仏に魂を入れるような非常に重要な営みだという思いがあります。講演を依頼した日本シーサート協議会の渡辺さん、井出さんのお二人と、この思いを一つにして議論を重ね準備しています。参加していただければ、各組織にフィットする大事な知見を必ず持ち帰っていただけると思っています。武井：「あつまれ！ X.1060ピーポー」については、フレームワークはあくまでフレームワークであり、どうやって活用するかこそが何よりも重要です。実は日本は X.1060 の活用において世界をリードしていて、国内での質問やフィードバックが最終的に世界の役に立っている状況です。ITU-T の X.1060 の議論に参加しているわたくし武井が講演者として、お話や議論ができればと思います。（後編につづく）元の記事を読む