もし、セキュリティやりたいです！と会社に相談されたときの思考実験
memo
sotaの中の考えを文書化する
各種フレームワークを読み返して復習しながら肉付け、修正する
という流れで書いてる
組み立て方
1. 会社としてやる理由を確立する
2. 取り組む大枠を決める
3. 大枠を運用するための体制を決める
4. 回す
って感じかなぁ
1. 会社としてやる理由を確立する
問いかけ
なぜやりたいですか・やるべきだと思いますか
誰がやりたいと思ってますか
会社の何を守りたいですか
曖昧でもいい
最初から「うちの会社はこういう運用をこの強度でやるべき」と言える会社はない(あったらヤバイ)
「昨今のランサムウェア攻撃の流行に耐性のある組織にする」「内部不正のリスクを最小限に抑える」「個人情報流出等のインシデントは絶対に発生しないようにしたい」くらいからスタートでいい
解像度は追ってあげていけばいい
大事なのは温度感。
(sota memo)温度感をうまく色分けする問いかけがあるのでは。と思ったけど現実は温度感をジャッジするための判断材料がないといけないわけで鶏卵っぽい。セキュリティの真の命題は「こんな状態だけど会社としてどうアプローチしますか。ちなみに手段の松竹梅はこれです」を常に品質高く提示し続けることなのかもしれない
ケーススタディ: ボトムアップかトップダウンか、もしくはハイブリッドか
現場の危機感からボトムアップで動かすやり方とトップダウンで動かすやり方がある
いずれの方法も最終的に会社 = 経営がやるべきと判断することが必要
経営がやらなくていいと言ってるならやれない、会社ってそういうものなので
ここに対する立ち向かい方はいくつかありそう。個々の裁量の範疇で取り組みを進めて拡大していく方法(ボトムアップ)、説明材料を集めてトップ = 経営を説得する方法(トップダウンを起こすためのムーブメント(？))
トップダウンで動き出したとしても、経営がセキュリティ領域でやるべきことを体系立てて整理し、すぐに動かせる状態にあることはほとんど考えられない。
なので実際にはスタートラインに立つまでのフェーズがあるのでは
TODO: 手書きでもう少し煮詰める
https://gyazo.com/d3ac14f998c01a47d5267b49105bdd4e
2. 取り組む大枠を決める
1. 資産を特定する、リスクを洗い出す、対処する、のサイクルを一回しする
2. (sota解釈における)ベースラインを確立する
広くリスク低減に効くプラクティスを実践する(ex, パッチ当て、アカウント管理、資産管理)
(sota memo) 上の2つを完璧にやり切れてればいいですか？という自問自答に答えられるか
3. 大枠を運用するための体制を決める
4. 回す
Question
セキュリティ、やったほうがいいですか
「奪われたり失ったら困るデジタル資産がある」ならやるべき
そして、そんな資産ないよとなることはほぼ考えられないので概ねどの会社もやるべき
ただし以下の2点が難しい
やるべきスコープのグラデーションに大きな幅がある
投資できるリソースの制約に幅がある(基本的にリソースが充足することはない)
特に2点目を考えると基本的には「限られたリソースを以下に効率よく活用し、最大限守りたいものを守るためのリスクヘッジができるか」というゲームになると思ってる
専任のセキュリティチームは必要ですか
言って仕舞えばケースバイケース、チームの組成は選択肢の1つ
ただ、組織規模が大きくなっていったら必然になりうる選択肢でもある
どのような体制であっても下記は抑えたいところ
組織内で会社のセキュリティに一定時間取り組んでいるメンバーが必ずいる
兼務でも専任でもいいが、セキュリティに一定、口数を割く
その性質上、短期で成果を見込めるものではないので中長期で、しかし確実に前に進めていく必要がある取り組み。忍耐が必要
セキュリティをリードするメンバー/チームと経営の距離を一定以内に保つ
セキュリティはお金を生み出す取り組みと綱引きをしなければいけない
綱引きの裏付けとなるのは会社としての優先度になる。正解がない
セキュリティ認証を取るべきか
取らなくてもいいが、有用な場合がある。特に何からやればいいかわからない場合はセキュリティ認証の元となるフレームワークをまずはインプットするのは良い。ISMS認証を取る必要はなくても、ISO27001は参考になるよねという
これ！というセキュリティフレームワークを教えて
TBD
メモ
健全な綱引き、が個人的にはキーワード