バックナンバー

  • 2024/05/17 (Fri) 15:30
    ★☆★JNSAメールマガジン 第287号 2024.5.17☆★☆
  • 2024/05/03 (Fri) 15:30
    ★☆★JNSAメールマガジン 第286号 2024.5.3☆★☆
  • 2024/04/19 (Fri) 15:30
    ★☆★JNSAメールマガジン 第285号 2024.4.19☆★☆
  • 2024/04/05 (Fri) 15:30
    ★☆★JNSAメールマガジン 第284号 2024.4.5☆★☆
  • 2024/03/22 (Fri) 15:30
    ★☆★JNSAメールマガジン 臨時号 2024.3.22☆★☆
  • 2024/03/08 (Fri) 15:30
    ★☆★JNSAメールマガジン 第283号 2024.3.8☆★☆
  • 2024/02/23 (Fri) 15:30
    ★☆★JNSAメールマガジン 第282号 2024.2.23☆★☆
  • 2024/02/09 (Fri) 15:30
    ★☆★JNSAメールマガジン 第281号 2024.2.9☆★☆
  • 2024/01/26 (Fri) 15:30
    ★☆★JNSAメールマガジン 第280号 2024.1.26☆★☆
  • 2024/01/12 (Fri) 15:30
    ★☆★JNSAメールマガジン 第279号 2024.1.12☆★☆
  • 2023/12/26 (Tue) 16:00
    ★☆★JNSAメールマガジン 臨時号 2023.12.26☆★☆
  • 2023/12/22 (Fri) 15:30
    ★☆★JNSAメールマガジン 第278号 2023.12.22☆★☆
  • 2023/12/08 (Fri) 15:30
    ★☆★JNSAメールマガジン 第277号 2023.12.8☆★☆
  • 2023/11/24 (Fri) 15:30
    ★☆★JNSAメールマガジン 第276号 2023.11.24☆★☆
  • 2023/11/10 (Fri) 15:30
    ★☆★JNSAメールマガジン 第275号 2023.11.10☆★☆
  • 2023/10/27 (Fri) 15:30
    ★☆★JNSAメールマガジン 第274号 2023.10.27☆★☆
  • 2023/10/13 (Fri) 15:30
    ★☆★JNSAメールマガジン 第273号 2023.10.13☆★☆
  • 2023/09/29 (Fri) 15:30
    ★☆★JNSAメールマガジン 第272号 2023.9.29☆★☆
  • 2023/09/15 (Fri) 15:30
    ★☆★JNSAメールマガジン 第271号 2023.9.15☆★☆
  • 2023/09/01 (Fri) 15:30
    ★☆★JNSAメールマガジン 第270号 2023.9.1☆★☆
  • 2023/08/18 (Fri) 15:30
    ★☆★JNSAメールマガジン 第269号 2023.8.18☆★☆
  • 2023/08/04 (Fri) 15:30
    ★☆★JNSAメールマガジン 第268号 2023.8.4☆★☆
  • 2023/07/21 (Fri) 15:30
    ★☆★JNSAメールマガジン 第267号 2023.7.21☆★☆
  • 2023/07/07 (Fri) 15:30
    ★☆★JNSAメールマガジン 第266号 2023.7.7☆★☆
  • 2023/06/23 (Fri) 15:30
    ★☆★JNSAメールマガジン 第265号 2023.6.23☆★☆
  • 2023/06/09 (Fri) 15:30
    ★☆★JNSAメールマガジン 第264号 2023.6.9☆★☆
  • 2023/05/26 (Fri) 15:30
    ★☆★JNSAメールマガジン 第263号 2023.5.26☆★☆
  • 2023/05/12 (Fri) 15:30
    ★☆★JNSAメールマガジン 第262号 2023.5.12☆★☆
  • 2023/04/28 (Fri) 15:30
    ★☆★JNSAメールマガジン 第261号 2023.4.28☆★☆
  • 2023/04/14 (Fri) 15:30
    ★☆★JNSAメールマガジン 第260号 2023.4.14☆★☆
  • 2023/03/31 (Fri) 15:30
    ★☆★JNSAメールマガジン 第259号 2023.3.31☆★☆
  • 2023/03/17 (Fri) 15:30
    ★☆★JNSAメールマガジン 第258号 2023.3.17☆★☆
  • 2023/03/03 (Fri) 15:30
    ★☆★JNSAメールマガジン 第257号 2023.3.3☆★☆
  • 2023/02/17 (Fri) 15:30
    ★☆★JNSAメールマガジン 第256号 2023.2.17☆★☆
  • 2023/02/03 (Fri) 16:05
    ★☆★JNSAメールマガジン 第255号 2023.2.3☆★☆
  • 2023/01/20 (Fri) 15:30
    ★☆★JNSAメールマガジン 第254号 2023.1.20☆★☆
  • 2023/01/06 (Fri) 17:30
    ★☆★JNSAメールマガジン 第253号 2023.1.6☆★☆
  • 2022/12/23 (Fri) 15:30
    ★☆★JNSAメールマガジン 臨時号 2022.12.23☆★☆
  • 2022/12/16 (Fri) 15:30
    ★☆★JNSAメールマガジン 第252号 2022.12.16☆★☆
  • 2022/12/02 (Fri) 15:30
    ★☆★JNSAメールマガジン 第251号 2022.12.2☆★☆
  • 2022/11/18 (Fri) 15:30
    ★☆★JNSAメールマガジン 第250号 2022.11.18☆★☆
  • 2022/11/04 (Fri) 15:30
    ★☆★JNSAメールマガジン 第249号 2022.11.4☆★☆
  • 2022/10/23 (Sun) 15:00
    ★☆★JNSAメールマガジン 特別号 2022.10.23 ☆★☆
  • 2022/10/21 (Fri) 15:30
    ★☆★JNSAメールマガジン 第248号 2022.10.21☆★☆
  • 2022/10/07 (Fri) 15:30
    ★☆★JNSAメールマガジン 第247号 2022.10.7☆★☆
  • 2022/09/23 (Fri) 15:30
    ★☆★JNSAメールマガジン 第246号 2022.9.23☆★☆
  • 2022/09/09 (Fri) 15:30
    ★☆★JNSAメールマガジン 第245号 2022.9.9☆★☆
  • 2022/08/26 (Fri) 15:30
    ★☆★JNSAメールマガジン 第244号 2022.8.26☆★☆
  • 2022/08/12 (Fri) 15:30
    ★☆★JNSAメールマガジン 第243号 2022.8.12☆★☆
  • 2022/07/29 (Fri) 15:30
    ★☆★JNSAメールマガジン 第242号 2022.7.29☆★☆
  • 2022/07/15 (Fri) 15:30
    ★☆★JNSAメールマガジン 第241号 2022.7.15☆★☆
  • 2022/07/01 (Fri) 15:30
    ★☆★JNSAメールマガジン 第240号 2022.7.1☆★☆
  • 2022/06/17 (Fri) 15:30
    ★☆★JNSAメールマガジン 第239号 2022.6.17☆★☆
  • 2022/06/03 (Fri) 15:30
    ★☆★JNSAメールマガジン 第238号 2022.6.3☆★☆
  • 2022/05/20 (Fri) 15:30
    ★☆★JNSAメールマガジン 第237号 2022.5.20☆★☆
  • 2022/05/06 (Fri) 15:30
    ★☆★JNSAメールマガジン 第236号 2022.5.6☆★☆
  • 2022/04/22 (Fri) 16:00
    ★☆★JNSAメールマガジン 第235号 2022.4.22☆★☆
  • 2022/04/08 (Fri) 15:30
    ★☆★JNSAメールマガジン 第234号 2022.4.8☆★☆
  • 2022/03/25 (Fri) 15:30
    ★☆★JNSAメールマガジン 第233号 2022.3.25☆★☆
  • 2022/03/11 (Fri) 15:30
    ★☆★JNSAメールマガジン 第232号 2022.3.11☆★☆
  • 2022/02/25 (Fri) 15:30
    ★☆★JNSAメールマガジン 第231号 2022.2.25☆★☆
  • 2022/02/11 (Fri) 10:00
    ★☆★JNSAメールマガジン 第230号 2022.2.11☆★☆
  • 2022/01/28 (Fri) 15:30
    ★☆★JNSAメールマガジン 第229号 2022.1.28☆★☆
  • 2022/01/14 (Fri) 16:00
    ★☆★JNSAメールマガジン 第228号 2022.1.14☆★☆
  • 2021/12/24 (Fri) 16:00
    ★☆★JNSAメールマガジン 臨時号 2021.12.24☆★☆
  • 2021/12/24 (Fri) 12:00
    ★☆★JNSAメールマガジン 第227号 2021.12.24☆★☆
  • 2021/12/10 (Fri) 15:30
    ★☆★JNSAメールマガジン 第226号 2021.12.10☆★☆
  • 2021/11/26 (Fri) 15:30
    ★☆★JNSAメールマガジン 第225号 2021.11.26☆★☆
  • 2021/11/12 (Fri) 15:30
    ★☆★JNSAメールマガジン 第224号 2021.11.12☆★☆
  • 2021/10/29 (Fri) 16:00
    ★☆★JNSAメールマガジン 第223号 2021.10.29☆★☆
  • 2021/10/15 (Fri) 15:30
    ★☆★JNSAメールマガジン 第222号 2021.10.15☆★☆
  • 2021/10/01 (Fri) 15:30
    ★☆★JNSAメールマガジン 第221号 2021.10.1☆★☆
  • 2021/09/17 (Fri) 15:30
    ★☆★JNSAメールマガジン 第220号 2021.9.17☆★☆
  • 2021/09/06 (Mon) 14:45
    ★☆★JNSAメールマガジン 第219号 2021.9.6☆★☆
  • 2021/08/20 (Fri) 16:45
    ★☆★JNSAメールマガジン 第218号 2021.8.20☆★☆
  • 2021/08/06 (Fri) 15:00
    ★☆★JNSAメールマガジン 第217号 2021.8.6☆★☆
  • 2021/07/23 (Fri) 15:30
    ★☆★JNSAメールマガジン 第216号 2021.7.23☆★☆
  • 2021/07/09 (Fri) 15:00
    ★☆★JNSAメールマガジン 第215号 2021.7.9☆★☆
  • 2021/06/25 (Fri) 15:30
    ★☆★JNSAメールマガジン 第214号 2021.6.25☆★☆
  • 2021/06/11 (Fri) 15:30
    ★☆★JNSAメールマガジン 第213号 2021.6.11☆★☆
  • 2021/06/04 (Fri) 15:30
    ★☆★JNSAメールマガジン 臨時号 2021.6.4☆★☆
  • 2021/05/28 (Fri) 15:30
    ★☆★JNSAメールマガジン 第212号 2021.5.28☆★☆
  • 2021/05/21 (Fri) 15:30
    ★☆★JNSAメールマガジン 臨時号 2021.5.21☆★☆
  • 2021/05/14 (Fri) 14:30
    ★☆★JNSAメールマガジン 第211号 2021.5.14☆★☆
  • 2021/04/30 (Fri) 12:30
    ★☆★JNSAメールマガジン 第210号 2021.4.30☆★☆
  • 2021/04/16 (Fri) 13:30
    ★☆★JNSAメールマガジン 第209号 2021.4.16☆★☆
  • 2021/04/02 (Fri) 16:30
    ★☆★JNSAメールマガジン 第208号 2021.4.2☆★☆
  • 2021/03/19 (Fri) 15:30
    ★☆★JNSAメールマガジン 第207号 2021.3.19☆★☆
  • 2021/03/05 (Fri) 15:30
    ★☆★JNSAメールマガジン 第206号 2021.3.5☆★☆
  • 2021/02/19 (Fri) 16:00
    ★☆★JNSAメールマガジン 第205号 2021.2.19☆★☆
  • 2021/02/05 (Fri) 15:00
    ★☆★JNSAメールマガジン 第204号 2021.2.5☆★☆
  • 2021/01/22 (Fri) 16:30
    ★☆★JNSAメールマガジン 第203号 2021.1.22☆★☆
  • 2020/12/25 (Fri) 15:30
    ★☆★JNSAメールマガジン 第202号 2020.12.25☆★☆
  • 2020/12/11 (Fri) 16:30
    ★☆★JNSAメールマガジン 第201号 2020.12.11☆★☆
  • 2020/11/27 (Fri) 16:30
    ★☆★JNSAメールマガジン 第200号 2020.11.27☆★☆
  • 2020/11/13 (Fri) 16:00
    ★☆★JNSAメールマガジン 第199号 2020.11.13☆★☆
  • 2020/10/30 (Fri) 16:00
    ★☆★JNSAメールマガジン 第198号 2020.10.30☆★☆
  • 2020/10/16 (Fri) 15:30
    ★☆★JNSAメールマガジン 第197号 2020.10.16☆★☆
  • 2020/10/02 (Fri) 16:30
    ★☆★JNSAメールマガジン 第196号 2020.10.2☆★☆
  • 2020/09/18 (Fri) 16:00
    ★☆★JNSAメールマガジン 第195号 2020.9.18☆★☆
  • 2020/09/04 (Fri) 15:45
    ★☆★JNSAメールマガジン 第194号 2020.9.4☆★☆
  • 2020/08/21 (Fri) 15:30
    ★☆★JNSAメールマガジン 第193号 2020.8.21☆★☆
  • 2020/08/07 (Fri) 15:30
    ★☆★JNSAメールマガジン 第192号 2020.8.7☆★☆
  • 2020/07/10 (Fri) 15:30
    ★☆★JNSAメールマガジン 第191号 2020.7.10☆★☆
  • 2020/06/30 (Tue) 12:14
    ★☆★JNSAメールマガジン 第190号 2020.6.26☆★☆

★☆★JNSAメールマガジン 第217号 2021.8.6☆★☆

2021/08/06 (Fri) 15:00
★☆★JNSAメールマガジン 第217号 2021.8.6☆★☆

こんにちは
JNSAメールマガジン 第217号 をお届けします。
JNSAのホームページでもご覧いただけます。
JNSAメールマガジン https://www.jnsa.org/aboutus/ml.html#passed

コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。

今回のメールマガジンは損害保険ジャパン株式会社の小中俊典様にご寄稿いた
だきました。

【連載リレーコラム】
DX推進におけるスマートなセキュリティ統制
        
                       損害保険ジャパン株式会社 
                IT企画部 セキュリティエバンジェリスト
                              小中 俊典

昨今、企業におけるDXへの取り組みが推奨されており、DX銘柄の選定も開始
されています。当社も2015年から基幹システムのDX※1に取り組み始め、よ
うやく損害保険サービスの共通となるベース機能が完成しました。DXと言う
と、業務革新×デジタル化がメインで語られることが多いことと思います。一
方、セキュリティ体制・対策については、既存のままで良いという判断が多い
と理解しています。

当社の場合も、過去何十年もエンハンス開発で継ぎ接ぎしながら延命させてき
たシステムに対して組織も人も業務も適合していたため、この部分への革新×
デジタル対応がDXのメインとなりプロジェクトはぐんぐん進んでいきました。
当然、サービス・プロダクトに対するセキュリティ体制・対策はそれほど考慮
されておらず、従来型のままでした。ここで言うところの従来型とは、品質管
理体制内で行うセキュリティ対策であり、ヒアリングや紙をベースとした旧来
の管理手法のことを指します。
ちなみに、DXプロジェクトにおいては先進的な取り組みも多分に含まれるこ
ととなり、この仕組みでは十分なセキュリティ対策やガバナンスを適切なタイ
ミングで効かせることができない状況になります。

当社もDXプロジェクト発足当初は上記従来型で進めたため、品質管理の一部
としてのセキュリティ対策を実施し、ガバナンスを強化しようとしたものの不
十分であると気付かされました。そのきっかけとなったものは、DXプロジェ
クトにおけるオープンソースソフトウェア(OSS)利用促進と自社開発環境提
供の2つでした。具体的には開発においてOSSを積極利用する形でインフラ
やアプリケーションを構築すること、開発環境として自社がCI/CD環境を用
意し当社内環境で開発からリリースまでを一気通貫で実現できるように開発者
へ環境を提供することです。

CI/CDとは「継続的インテグレーション/継続的デリバリー」のことで、ビルド・
テスト・デプロイを自動化し開発プロセスを高速化する手法のことです。これ
により、開発成果物を当社で詳細に管理(SBOM管理※2)することができる
ようになり、結果的に、従来型請負開発や品質管理では発見できないような脆
弱性を早期に発見しました。特に、当社のプロジェクトではOSSを積極利用し
たため、開発中工程でライブラリ単位での脆弱性を開発者が発見する等、脆弱
性管理と対応を自社で行う必要性にも気づかされました。

上記の様なセキュリティ課題は従来型の品質管理部門による手法や体制で発見
し、対処することは困難であるということが分かると思います。(工程完了の
タイミングで発見されても誰もうれしくない)当社において必要な施策は正確
な脆弱性検知に基づいた影響分析と対策優先順位であると理解し、CIO判断の
もと従来型の品質管理部門から独立し、従来型の管理手法や紙での管理ではな
いセキュリティも新しい仕組みを導入し、デジタルでプロジェクトを支えると
いう考えのもと、セキュリティDX実現に向け以下4つに取り組むという目標
を持ってセキュリティ専門チームを立ち上げました。昨今でいうPSIRT※3で、
これは業界問わず早い段階での有効な組織の立ち上げとなったのではないかと
思います。このチームは当社損害保険サービスを構成する各プロダクトに対し
てセキュリティ面で支援しつつ、ガバナンスを効かせるという役割を担いまし
た。
(1)ルール、マインドの解凍と再構成
(2)ビジョン、問題提起、イニシアティブ形成
(3)自動化試行とフィットしたツール選定、活用
(4)セキュリティ統制チームと開発チームのコラボレーション

上記4つのうちセキュリティDXを成し遂げるために肝になるのは(4)でした。
最終的に脆弱性対応をするのは開発現場であり、セキュリティレベルを高める
のは当たり前とし、その上で現場生産性阻害を極力低減する姿勢抜きにセキュ
リティDXは達成困難だと思いました。そのためにはセキュリティ担当者がセ
キュリティ原理主義者にならないように自身に気を配り(特にツール導入する
と今まで見えなかったものが見えるようになるため、その傾向が顕著)、現場
の負担感に目を配り、できればその負担感を極力減らすような志向にて新たな
問題提起し、イニシアティブをもって、解決策を導入できればよりスマートに
セキュリティDXを達成できるものと考えています。

※1当社DX https://www.sompo-japan.co.jp/-/media/SJNK/files/news/2021/20210601_2.pdf?la=ja-JP
※2SBOM https://www.synopsys.com/blogs/software-security/ja-jp/software-bill-of-materials-bom/
※3PSIRT https://www.jpcert.or.jp/research/psirtSF.html


#連載リレーコラム、ここまで

<お断り>本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。

<ワンクリックアンケートお願い>
今回のメールマガジン第217号の感想をお寄せください。
https://ux.nu/1d9Wo
※googleアンケートフォームを利用しています。

【部会・WGからのお知らせ】
★セキュリティしんだん(31)
「今からでもやるべき「敵を知る」ために。」を公開しました。
 株式会社エヌ・ティ・ティ・データ 井上克至様にご寄稿いただきました。
 https://www.jnsa.org/secshindan/index.html

★JNSAソリューションガイドに「情報セキュリティ10大脅威 2021」に対応
 したソリューション検索を掲載しました。
 https://www.jnsa.org/JNSASolutionGuide/IndexAction.do

★組織で働く人間が引き起こす不正・事故対応WGのインタビュー連載
 「働く自衛官の満足度の向上・維持」を掲載しました。
 ・特別編 金沢工業大学虎ノ門大学院
 https://www.jnsa.org/result/soshiki/index.html

★【会員限定】会員交流部会主催勉強会開催
 8月23日(月)、8月24日(火)両日とも15時から16時半予定
 「続・ゼロトラスト夏期講習会 ~ゼロトラスト、その後どうなった?~」
 と題しまして開催いたします。
 近日中にご参加お申込み開始予定です、お楽しみにお待ちください。

【事務局からのお知らせ】
★JNSAソリューションガイドでは、会員企業が
 開催するオンラインイベント/セミナー情報をご覧いただけます。
 https://www.jnsa.org/JNSASolutionGuide/IndexAction.do

★無料でご利用いただけます!「情報セキュリティ理解度チェックサービス」
 https://slb.jnsa.org/eslb/
 組織の情報セキュリティ向上のための一助としてご活用下さい。

★リモートワークに活用ください!
「緊急事態宣言解除後のセキュリティ・チェックリスト」
 https://www.jnsa.org/telework_support/telework_security/index.html

★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。ご注意ください。

☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
 office@jnsa.org

☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡 <http://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン 第217号
発信日:2021年8月6日
発 行:JNSA事務局 office@jnsa.org
*************************************