情報処理安全確保支援士 2021年 春期 午後2 問01

　 　N社は、従業員800名のドラッグストアチェーンである。グローバルに事業を展開する海外の企業B社のブランドライセンスを取得し、同ブランドの下、国内80店舗の展開、及びN社Webサイト（以下、通販サイトという）での通信販売を行っている。N社は、消費者向けの会員制度を設けており、会員は商品購入時に特典を受けられる。N社の組織図を図1に示す。

　N社は、情報セキュリティ委員会を設置している。同委員会は、経営陣が委員となり、情報セキュリティについての基本方針（以下、基本方針という）及び重要な課題を取り扱う。セキュリティ対策は主にシステム部が担っており、セキュリティインシデント（以下、インシデントという）が発生した場合は、対応チームを立ち上げて対応する。基本方針では、消費者に影響を与えるインシデントの場合、社外に向けて速やかに情報開示することを挙げている。 　B社は、同社がブランドライセンスを提供する店舗運営会社を対象にしたインシデント対応ポリシ（以下、B社インシデント対応ポリシという）を定めている。B社インシデント対応ポリシは、インシデントによるB社ブランドの毀損を最小限にすることを目的として策定された。 　N社は、B社インシデント対応ポリシを順守する契約をB社と締結しており、N社でインシデントが発生した場合は、B社のセキュリティ担当部署（以下、B社セキュリティ部という）に報告し、指示に基づき対応する。分析対象となるログは、N社のシステム部が取得し、インシデント発生時にはB社セキュリティ部に送信する。 　通販サイトは、Z社が提供するクラウドサービス（以下、Zサービスという）上に構築し、設計、開発及び運用をV社に委託している。Zサービス上には開発用システムも構築している。また、各店舗の情報を一元管理し、運営を支援するためのシステム（以下、店舗管理システムという）をN社に設置しており、設計、開発及び運用の一部を外部に委託している。N社が利用するシステム及びネットワークの概要を図2に、開発用システムの概要を図3に、N社の脆弱性管理プロセスを図4に示す。

〔インシデントの発生と対応〕 　ある日、複数の会員からN社のお客様相談室に、身に覚えのない商品購入を知らせる電子メールが届いたという連絡があった。N社は、対応チームを立ち上げて調査した結果、通販サイトが不正アクセスを受けたと判断した。N社は、直ちにこのインシデント（以下、インシデントPという）をB社セキュリティ部に報告した。N社とB社セキュリティ部が協力して対応したが、問題が幾つか発生し、対応を終えるまでに1か月掛かった。 　インシデントPについて、判明した被害状況及び対応の概要を図5に示す。

〔インシデント対応方法の変更〕 　インシデントPの対応が一段落した後、N社の経営陣は、N社で今後インシデントが起きた場合には、N社の基本方針に従って対応する契約に変更したいとB社に申し入れた。B社は、この申入れに対し、次の条件を満たすことを前提として了承した。 　条件1：N社は、ISO/IEC27001を利用して、自社の情報セキュリティ対策を評価し、その結果と対策案についてB社の了承を得る。 　条件2：N社は、B社の支援なしにインシデント対応を行う体制を整備し、その体制についてB社の了承を得る。 　条件3：N社は、インシデント対応後、B社に事後報告を行う。ただし、両社で別途定める基準によって、B社ブランドを著しく毀損するインシデントと判断された場合は、直ちにB社に報告し、対応を協議する。 　 　N社は、条件1～3を含め、包括的なインシデント対応体制を実現するプロジェクトを発足させた。システム部のG部長を責任者に、システム部のHさんを担当者にそれぞれ任命するとともに、情報セキュリティ分野でコンサルティングサービスを展開するE社に支援を依頼した。E社のコンサルタントである情報処理安全確保支援士（登録セキスペ）のT氏がN社を支援することになった。 　 　〔条件1への対応〕 　条件1に対応すべく、Hさんは、情報セキュリティ対策の評価をT氏に依頼した。T氏は、ISO/IEC27001附属書Aを基に評価し、指摘事項と対策案を表1のとおりに整理した。

　N社は、T氏の対策案を参考に、N社としての対策をまとめ、B社の了承を得た。 　 〔条件2と条件3への対応〕 　条件2と条件3に対応すべく、Hさんは、図6に示すN社インシデント対応ポリシ案を作成し、T氏のレビューを受けた。 　

　次は、レビューの際のT氏とHさんの会話である。 　 　T氏　：インシデント対応プロセスも整理すべきです。NISTの文書SP 800-61 Rev. 2に記載されているインシデント対応のライフサイクルを図7に示します。

　Hさん：分かりました。図6の一部として整理します。ところで、今後のインシデント対応における技術面について不安があります。 　T氏：インシデント対応サービスを提供し、登録セキスペが多数在籍する専門事業者が幾つかあります。そのような事業者に支援を依頼するとよいと思います。 　Hさん：分かりました。表2に専門事業者とその役割を追加します。 　 　N社は、検討結果を取りまとめ、B社の了承を得た。 　　 〔新たなインシデントの発生と対応〕 　N社インシデント対応ポリシの運用を開始してから約1か月後の11月22日、V社は、不審な利用者アカウント（以下、AC-Xという）がR1サーバに作成されていることを見付け、N-CSIRTに報告した。G部長は、インシデントであると判断し、初期調査をHさんに指示した（以下、このインシデントをインシデントQという）。Hさんは、V社と協力してインシデントQについて調査した。その結果を図8に示す。

　図9は、FW2において、AC-Xが作成されてから発見されるまでの4日間、通信に成功した全てのパケットを対象とし、通信方向、接続元及び宛先のIPアドレス、サービスの組合せで通信量を集計し、降順に並べたものである。Hさんは、⑤図9を基に、不正ログインを行ったと推測される接続元IPアドレスを割り出した。

　Hさんから調査結果について報告を受けたG部長は、R1サーバの隔離を指示した上で、インシデントQは重大なインシデントの可能性があると判断し、PTを発足させた。PTは専門事業者の支援を受けて調査を行い、R1サーバには、脆弱性L及び脆弱性Mが残っていることが判明した。脆弱性Lと脆弱性Mの概要、及びそれぞれの対応を見送った経緯とその理由を表3に、PTによる調査結果を図10に示す。

　この報告を受けたG部長は、幸いにも被害が限定的であり、顧客への影響が全くないことから、インシデントQについて情報開示する必要はないと判断し、情報セキュリティ委員会に報告し承認を得た。 　その後、G部長は、利用者アカウントのパスワード変更、R1サーバの復旧、脆弱性L及び脆弱性Mを解消する脆弱性修正プログラムの適用、⑨SSH接続及びHTTP接続を使った攻撃から開発用システムを保護するための措置などを指示した。 　 〔脆弱性管理プロセスの改善〕 　インシデントPと比較してインシデントQの対応は迅速に行われ、N-CSIRTのインシデント対応は有効であると、N社の経営陣からもB社からも一定の評価を得た。一方、インシデントQでR1サーバが不正にログインされたことを考えると、⑩図4（イ）及び（ウ）において、悪用される可能性の評価についての観点の不足、又は影響の評価についての観点の不足があり、悪用される可能性又は影響を過小評価したのではないかという指摘があった。そのため、脆弱性管理プロセスを見直すことにした。 　 　インシデントPの終息から1年後、表1の指摘事項及びインシデントQで明らかになった課題は全て解決できた。N-CSIRTは、関係者の訓練を進め、更に迅速かつ効果的なインシデント対応が可能になった。