日本セキュリティオペレーション事業者協議会（ISOG-J）
NTTテクノクロス株式会社 武井 滋紀

先日、ISOG-J セキュリティオペレーション連携WG(WG6)より、「マネージドセキュリティサービス(MSS)選定ガイドライン　Ver.2.0」を成果物として公開いたしました。
本ドキュメントの初版は2010年8月に公開されたもので、ISOG-J最初期の成果物です。なんと、10年越しの更新となりました。

この文書では、一般的なユーザーが新たにマネージドセキュリティサービスを選んで導入するためには、どんなポイントがあるか、どのようなことを事前に検討しておくことでサービス事業者と話をスムーズに進めることができるかなどを解説しています。

2017年夏くらいに「セキュリティ対応組織(SOC/CSIRT)の教科書」リリース後のWebのアクセス統計を眺めている際に、2010年に公開した本ドキュメントもときどき参照されている事に気が付きました。
自分たちでも改めて内容を確認したところ、今の変化に合わせた方が良いのではという案が出て、更新のための議論が始まりました。

初版では、当時の一般的な構成としてFWやIPS/IDSを導入しSOCで監視して、インシデントが発生したら通知するというサービスを中心に書かれていました。
サービスの選定までの流れや確認したい事項など、今でも全体としての流れは大きく変化はしていない、本質を捉えたよい成果物であることが確認できました。

しかしながらこの10年でいろいろな状況の変化がありました。
例えばクラウドサービスとして提供されるサービスがとても増えました。この場合、セキュリティ対策機器による境界防御は機能せず、新たな導入パターンとして考える必要があります。
境界面の防御だけではなく、組織内部にあるクライアント端末の防御を行うEDR(Endpoint Detection and Response)などのサービスも出ています。
そのほか、セキュリティが求められる分野にも広がりが出てきました。標的型攻撃に対する訓練など、人や組織に対するサービスも一般的になりました。
CSIRTを持つ組織も多くなり、必要なセキュリティ機能についてユーザが自ら取捨選択できるようになりました。アウトソースについても単一のサービスの場合や複数のサービス場合もあります。それぞれの組織でどこまで行うかも様々で、セキュリティサービスに求めるレベルも様々となりました。

ここで重要になるのは、「どのサービスが良いサービスなのか」といった単純な比較ではなく、「自分たちは何を守るべきか、どうやって守りたいのか」を明らかにして、それに合ったレベルや価格のサービスを選ぶ、ということです。
初版でも同様にポイントごとの確認事項があり、それを確認しながら合ったサービスを提供してくれるサービス事業者を選ぶ内容で書かれています。

初版のドキュメントから確認する事項自体は大きくは変化していないものの、それを取り囲む状況やシステムの環境は大きく変化しています。今回の更新では、選択肢も増えていることから表以外はほぼ書き直す形になりました。
本ドキュメントの最後で複数の事例を採り上げました。初版に掲載していた事例も参考になると考え、残してあります。

10年越しの更新ではありますが議論から公開まではおよそ2年くらいかかりました。執筆やレビューなど協力をいただいたメンバーには感謝いたします。

JNSA会員を含め、ユーザ側やサービス提供者側など、多くの視点で活用いただきたいと考えています。活用していくなかで悩んだ点や新たな問題点などあれば、フィードバックを頂ければ幸いです。

成果物ダウンロードページ
https://isog-j.org/output/2020/MSS-Guideline_v200.html

 

＃連載リレーコラム、ここまで

＜お断り＞本稿の内容は著者の個人的見解であり、所属企業及びその業務と関係するものではありません。

＜ワンクリックアンケートお願い＞
今回のメールマガジン第195号の感想をお寄せください。
https://ux.nu/cPakf
※googleアンケートフォームを利用しています。

☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。

============================================================

☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡　<http://www.jnsa.org/aboutus/ml.html>

*************************************
JNSAメールマガジン　第195号
発信日：2020年9月18日
発　行：JNSA事務局　
*************************************