システム監査技術者 2016年 午後1 問01

　B社は、中規模のインターネットサービス企業であり、買収した国内の子会社2社を含めて、B社グループとして事業を展開している。 　 〔B社グループの情報セキュリティインシデント対応体制〕 　B社グループは昨年4月、情報セキュリティインシデント（以下、インシデントという）への対応体制強化のために、B社CSIRT（Computer Security Incident Response Team）を設置した。B社グループにおけるB社CSIRTの位置付け、及び国内外の外部CSIRTなどの外部関連組織・外部Webサイトとの関係を、図1に示す。

　B社CSIRTは、B社の役員及び従業員で構成され、メンバは、最高責任者であるCIO、情報セキュリティに精通した専任社員（以下、専任社員という）2名、情報システム部との兼任社員（以下、情シ兼任社員という）2名、及びインシデント対応関連部署（広報部、法務部など）との兼任社員5名である。これらの兼任社員7名は、各子会社の対応する同部署との連絡窓口にもなっている。 　B社CSIRTの対応範囲は、基本的にB社グループ内であるが、必要に応じて外部関連組織と連携して対応する場合がある。 　 〔インシデント対応状況の監査〕 　年度監査計画に基づき、B社内部監査部のシステム監査人2名が、設置後1年を経たB社CSIRTにおけるインシデント対応状況の監査を行った。 　監査の結果、判明した事項は、次のとおりである。 　(1) B社グループが共通で利用している電子メールシステム及びイントラネットを除き、B社グループ各社の情報基盤は、IDSなどの検知システムを含め、それぞれの情報システム部門が独自に管理している。検知システムは、B社CSIRT設置以前に、B社グループ各社が導入していたものである。 　(2) B社CSIRTの最も重要な役割は、情報セキュリティイベント（以下、イベントという）の認知・連絡受付から通知・報告などに至る一連の活動（以下、インシデントハンドリングという）である。その内容を、表1に示す。

　(3) B社CSIRTは、イベントを“B社グループの情報セキュリティに影響を及ぼし、重大な情報セキュリティ事故につながるおそれがある事象”と定義している。さらに、イベントの中でも“重大な情報セキュリティ事故に至り、B社グループに多大な被害を与える事象”をインシデントと定義し、インシデントレスポンスの対象としている。 　(4) B社グループ各社の検知システムで検知されたイベントは、インシデントかどうか自動判定が行われ、インシデントと判定された場合には、B社CSIRTにも自動的に通知される。 　このときに使用される、イベントの検知基準及びインシデントの自動判定基準は、検知システム上で設定されており、これらは、B社CSIRT設置時に一度見直しが行われている。しかし、それ以降は検知システム上の設定が見直されておらず、検知システムで問題が発生するおそれがある。 　(5) 専任社員及び情シ兼任社員は、B社CSIRTに常駐している。情シ兼任社員は、インシデントハンドリングにおいて、トリアージを含め、専任社員の職務を担当することもある。トリアージで使用するインシデント判定マニュアルには、判定のための確認事項及び確認方法が記述されている。このマニュアルは、トリアージについて高いスキルをもつ技術者向けに策定されているので、全ての確認事項について、詳細な確認方法が記述されているわけではない。 　また、情シ兼任社員2名は、専任社員と同等のスキルをもっておらず、トリアージを常に正確に行うのは困難と判断される。このため、確認事項によっては、トリアージが適切に行われないおそれがある。 　(6) 最近、B社CSIRTが、子会社の一つでインシデントレスポンスを行ったとき、一部のネットワーク機器が生成するログレコードの形式が、当該機器のバージョンアップで変更されており、そのまま使用することができなかった。その影響で、被害範囲の特定及び対応策の検討に時間を要し、結果的にインシデントハンドリングの完了が遅れた。 　現在の運用のままでは、インシデントが発生した場合、再度インシデントハンドリングに支障を来すおそれがある。 　(7) B社CSIRT設置の際に外部関連組織との連携体制を構築して以降、定期的な情報交換や外部関連組織リストの更新などを行っていない。外部関連組織との連携体制の維持・強化は、B社CSIRT運用規程で定められているが、日々発生するイベントの認知・連絡受付やトリアージに追われ、後回しになっている。 　その結果、B社グループ内又は外部でインシデントが発生した場合、外部関連組織との連携が迅速かつ有効に行われないおそれがある。