セキュリティシステムをマネジメントせよ：セキュリティ、そろそろ本音で語らないか（12）（3/3 ページ）

[三輪信雄（S&Jコンサルティング株式会社），＠IT]

「頑張ってますか」から「ちゃんと守っていますか」へ

　これまでは“セキュリティマネジメントシステム”が構築されているか、いわば「頑張ってますか？」ということが取引相手から求められていました。今後は、具体的に“セキュリティシステムマネジメント”が有効に機能しているか、いわば「ちゃんと守っていますか？」ということが問われるようになるでしょう。お互いのコンセンサスのレベルが上がるのではないでしょうか。

　私はこの統合ログマネジメントサービスそのものが、情報セキュリティの今後の重要なサービス分野であり、長く続くべきものであると考えています。このサービスはこれまでのようなリモート監視、という手法は使えないでしょう。多くの場合オンサイトであったり、イベントだけをリモートで監視して、詳細はオンサイトで処理、ということにもなるでしょう。

　つまり、企業や企業グループはその内部にセキュリティ運用センター（SOC:Security Operation Center）を構築することになります。私はこれをPSOC（Private Security Operation Center）と呼んで数年前からその構築を支援してきましたが、統合ログマネジメントシステムとはまさにこのPSOCで取り扱うべきものです。

　セキュリティ専門家は、このPSOCにおいて統合ログシステムのマネジメント業務やそのサポートを行う役割を担うと考えられます。これまでのクラッカーやウイルスの監視を主に扱ってきた現場に、内部犯行という異質の対象を取り扱うことになるので、組織の再構築が必要になると思われます。

犯罪抑止のためのPSOC

　PSOCという考えを説明し始めたころ「社内の象徴的存在としての見た目が大事」といっていました。この組織はまさに社内犯罪には象徴的な存在にならなければなりませんし、その存在そのものが大きな抑止効果を生むのです。

　とはいうものの、現状では「そもそもログで何ができるの？」ということや「統合ログにすると何がいいことあるの？」ということすら知られていませんし、説明できるコンサルタントやSI業者がほとんどいないことから変えていかなければいけません。

　統合ログに関する取り組みはまだ始まったばかりですが、今後統合ログWGにて活動をしていきます。興味のある方は、ぜひ一緒にあるべきログ管理の姿を作っていきましょう。

Index

セキュリティシステムをマネジメントせよ

Page1
再度問います――ログ、なんのために取ってますか？
なぜログが役に立たないのか
「規模の把握」という難題

Page2
情報漏えい対策の変化
統合ログを設計し、運用する

Page3
「頑張ってますか」から「ちゃんと守っていますか」へ
犯罪抑止のためのPSOC

「セキュリティ、そろそろ本音で語らないか」連載目次

三輪　信雄（みわ　のぶお）

S&Jコンサルティング株式会社
代表取締役
チーフコンサルタント

1995年より日本で情報セキュリティビジネスの先駆けとして事業を開始し、技術者コミュニティを組織し業界をリードした。また、日本のMicrosoft製品に初めてセキュリティパッチを発行させた脆弱性発見者としても知られている。

そのほか多くの製品の脆弱性を発見してきた。また、無線LANの脆弱性として霞が関や兜町を調査し報告書を公開した。Webアプリケーションの脆弱性について問題を発見・公開し現在のWebアプリケーションセキュリティ市場を開拓した。

また、セキュリティポリシーという言葉が一般的でなかったころからコンサルティング事業を開始して、さらに脆弱性検査、セキュリティ監視など日本で情報セキュリティ事業の先駆けとなった。

上場企業トップ経験者としての視点で情報セキュリティを論じることができる。教科書通りのマネジメント重視の対策に異論をもち、グローバルスタンダードになるべき実践的なセキュリティシステムの構築に意欲的に取り組んでいる。また、ALSOKで情報セキュリティ事業の立ち上げ支援を行った経験から、物理とITセキュリティの融合を論じることができる。