総関西サイバーセキュリティＬＴ大会（第34回）基調講演１　情シス部門にとってのゼロトラストセキュリティ

https://youtu.be/J-aNtEhCNe8 ご参加頂きありがとうございました！ そして、沢山のご質問（動画20:50〜28:19／5件）ありがとうございました。ご参考までに質問から分かる範囲でお答えさせて頂きましたが、限られた時間の中で説明しきれない点もあったかと思います。 このような皆さんのご質問を元にして、次回登壇に向け準備を進めて参りたいと思います。 Q1：お気に入りのNISTはありますか？ A1：リスクマネジメントフレームワークやゼロトラストアーキテクチャなどSPシリーズは沢山あると思います。お気に入りは思い浮かばなくて・・・問われた趣旨とは異なるかもしれませんが、１つではなく組み合わせることが大切だと感じます。例えばゼロトラストアーキテクチャ(SP800-207)を導入して、様々な問題が引き起こされたと感じる方も多いと思います。例えばアイデンティティ(SP800-63)とか、他の視点からのリスクマネジメントフレームワーク（SP800-37）が必要だったりとか、それぞれ個別に用意されているので、それを紐解いていくことがすごく大事だと思いました。困ったときにはコンサルタントにご相談下さい。 Q2：中小企業がSPシリーズを適用するのはハードルが高いのでは？ A2：仰る通りだと思います。そこでマネジメントフレームワーク(SP800-37)の参考資料(6.ゼロトラスト・アーキテクチャと既存の連邦ガイダンスとの連携の可能性)として「中小企業の情報セキュリティ対策ガイドライン」を紹介させて頂きました。連邦政府が使っているものを民間企業が使うとなるとハードルが高いと思います。但しNISTが10年かけてアイデアを集めたゼロトラストアーキテクチャなど読み解くことで、より効率的で効果的な対策ができると思います。そこは私のようなコンサルタントが架け橋になりたいと考えます。 Q3：「中小企業の情報セキュリティ対策ガイドライン」あれでも難しいと思う100人以上の会社に適用することはできても、10人ぐらいの会社では難しいのでは？ A3：総務省事業のテレワークセキュリティ相談窓口で1年間程やらせてもらった時に、10人ぐらいの企業規模の相談者様も含まれておりました。まず何がお困りなのか聞いた上で、ガイドラインからピックアップして説明致しました。なお、ガイドラインを簡略化してしまうと情報が抜け落ちたところのリスクが上がるため、やはり間にコンサルタントが入って補完することが大切だと感じます。 Q4：企業規模もさることながらマルチベンダー環境でのゼロトラスト移行は上手くいかない。ネットワーク基盤：A社、認証基盤：B社、業務システムはC社 A4：マルチベンダーの場合、それぞれ持ち寄って組み合わせるときに、実装レベルで特性を理解していないと難しいと思います。 但し今回お伝えしたかった点は、情シス部門にリスクマネジメントフレームワーク（SP800-37）を利用して欲しいことです。 費用対効果という点も含めて「何をどこまで実現したい」という要件を出して、各ベンダーがベストな提案してくれることもありますし、その調整役としてコンサルタントが入る場合もあります。最終的には自分達で「何をどこまで実現したい」かを明確に持ってもらいます。 なお途中で手戻りや失敗や上手くいかないこともある中で、しっかりと乗り越えていくためには、情シス部門がリスクマネジメントフレームワーク（SP800-37）を用いて予め体制作りをすることが必要だと思います。 Q5：ユーザー企業として、ヒト・モノ・カネが無い中で完全的なものをやることが難しい中で、どう切り捨てることを考えていけば良いですか。 A5：要件を出す側の人が「何をどこまで実現したい」のか明確に持ってもらうことが必要です。しかし、場合によっては難しいことなので、調整役としてのコンサルタントが必要かもしれません。Read less