敵は海賊、週休二日制で定時に帰る
以前、関わっていた顧客のWebサイトがサイバー攻撃を受けたことがありました。
ログを眺めていて気づいたのですが、攻撃の時間帯に妙なパターンがありました。
なぜか毎回、平日の始業直前に攻撃が始まるのです。
夜中でもなく、休日でもなく、祝日も避ける。
しかも律儀に毎営業日。
発信元は（言葉を濁しますが）隣国。
「これ、中の人は公務員なのでは……？」
などと勝手な妄想をしながら、WAFのログを眺めていた記憶があります。
もちろん、攻撃者の勤務体系など笑い話で済ませてよいものではありません。
攻撃は、こちらの都合などお構いなしに“起こる前提”で考える必要がある。
ITIL4の「情報セキュリティ管理プラクティス」は、その考え方をうまく整理してくれます。
ITIL4における情報セキュリティ管理とは
ITIL4の**情報セキュリティ管理（Information Security Management）**プラクティスの目的は、次の一文に集約されます。
組織の情報を、機密性・完全性・可用性の観点から保護すること
いわゆる CIA（Confidentiality / Integrity / Availability） ですね。
ここで大事なのは、セキュリティ ＝ とにかく堅牢にすること、ではなくビジネスに対する「適切な保護レベル」を維持することだという点です。
ITIL4は「セキュリティ部門だけの話」ではない
もう少し大きなスキームで考えたセキュリティについてはこちらもご覧ください
ITIL4とPESTELで読み解く、企業セキュリティのあるべき姿
ITIL4では、情報セキュリティ管理を専任部門だけの責務とは考えません。
以下のようなプラクティスすべてに、情報セキュリティは横断的に関与します。
- 開発
- 運用
- サービスデスク
- サプライヤ管理
- 変更管理
よくある例
- 変更管理をすっ飛ばした夜間リリース
→ 脆弱性混入 - サービスデスクの本人確認が甘い
→ なりすまし対応 - サプライヤ管理不足
→ サプライチェーン攻撃
「どこか一箇所が穴になる」それが情報セキュリティの怖さです。
ISO/IEC 27001との関係
情報セキュリティ管理というと、ISO/IEC 27001を思い浮かべる方も多いと思います。
ざっくり整理すると、
- ISO/IEC 27001
- 「何を満たすべきか（要求事項）」
- ITIL4 情報セキュリティ管理
- 「どう運用に組み込むか（プラクティス）」
という関係になります。認証取得がゴールになり、下記のような状態を防ぐ意味でも、ITIL4の視点は実務寄りで有効です。
- 文書は立派
- 運用は形骸化
実務で意識したいポイント
1. 「完璧」を目指さない
守る価値の低い情報まで過剰に守ろうとすると、下記のような負担につながります。
- コスト増
- 運用負荷増
- 現場疲弊
2. 可用性もセキュリティ
「止めないこと」
「すぐ復旧できること」
これも立派な情報セキュリティです。
3. 人は必ずミスをする
- 教育
- 手順
- 仕組み
上記でカバーする前提に立つのが現実的です。
4. ログは「見る前提」で残す
あとから眺める場合でも、ある程度にはログは価値があります。
- 兆候に気づける
- 妄想できる！（←重要）
おわりに
サイバー攻撃者が定時で帰るかどうかはさておき、こちらは24時間365日、サービスを守る側です。ITIL4の情報セキュリティ管理プラクティスは、
セキュリティを「特別扱い」しないサービスマネジメントの一部として扱うという点で、現場にとてもフィットします。「堅牢さ」よりも「バランス」。敵が海賊でも、こちらは淡々とサービスを守り続けるだけなのです。
一般的マネジメントプラクティス一覧
- アーキテクチャ管理
- 情報セキュリティ管理
- ナレッジ管理
- 測定と報告
- 組織変更の管理
- ポートフォリオ管理
- プロジェクト管理
- 事業関係管理
- リスク管理
10.サービス財務管理
11.戦略管理
12.サプライヤ管理
13.要因及びタレント管理 ← 今回はコレ
14.継続的改善
株式会社ジールができること(宣伝)
AIを活用するためには確かなデータ基盤とPDCAのそもそもPを始めるためのデータの可視化が必要です。ジールではZ-BISS BI製品選定サービスというものを提供しております。はじめてのデータ活用、もっとデータ活用したい方へ。また、数十以上のBI製品を取扱う安心安全のBI選定サービスをご利用になりたい方は、 BI・データ活用の窓口「Z-BISS」 へアクセスしてみてください。