金融機関等向けサイバーセキュリティ支援活動記～FIT2024～

こんにちは、MIです。

ファイブドライブは、2024年8月20日に「金融機関向けサイバーセキュリティ管理態勢支援サービス」をプレスリリースし、展示会や金融機関の皆さまとのお打ち合わせなどを通じて本格的な支援活動に入っています。

この活動記では、活動で得た気づきやいただいたご意見など、皆さんにご活用いただけそうな情報を共有してまいります。

FIT2024

今回は、2024年10月17日～18日に出展社として参加したFIT2024の記録をお伝えします。

「FIT（Financial Information Technology）」（金融国際情報技術展）は、2000年に誕生した、金融総合専門紙「ニッキン」（日本金融通信社）が主催する国内最大の「金融機関のためのITフェア」です。

FIT2024|digital FIT

出展内容

2024年に10月4日に金融庁からサイバーセキュリティガイドラインが出されたタイミングでもあるので、セキュリティ管理態勢の支援サービスをお伝えする場としました。

中でも、関心を集めているＴＬＰＴ（脅威ベースのペネトレーションテスト）については、本質的にどのように考えていけばいいのか、FIT内でセミナーを開催いたしました。

（参考）金融庁「金融分野におけるサイバーセキュリティに関する
ガイドライン」 

ブースの様子

ブースでは、ポスター展示と係員のご説明という簡易なものでしたが、２日間で多くの金融機関や関係者の皆さまにお越しいただき、サイバーセキュリティ管理への関心の高さを実感しました。

お立ち寄りいただいた皆さまが、どんな課題感を持っているのか、何に困っているのかなどなど管理の奥深さが伝わってまいりました。

お立ち寄りいただいた皆さま、誠にありがとうございました。

TLPTセミナー

セミナーでは、ファイブドライブ代表の宮本と技術担当者が、『リアルなサイバー攻撃事例を対策に活かすために～自組織に見合ったＴＬＰＴ実施方法～』という題名の講演をおこないました。

セミナーでは、前半で宮本代表が最近のサイバー攻撃動向や事業環境の変化を受け、対策範囲が広くなったことを取り上げ、後半では、TLPT技術者が目的や手法、考え方を解説いたしました。

以下は、資料の一部を抜粋したものと、その要点です。

（前半）宮本代表の講演

①セキュリティ対策の変化

最近ではオープン化やクラウドの利用が増加によって、以前とは業務環境が格段に違うわけですが、使われる用語も似たようなアルファベット表記が数多く登場していますよね。ここに書かれてるアルファベット、皆さん何のことかわかりますか？

②セキュリティ対策のアプローチ変化

これまでの防御のみに主眼を置いてきたコンプライアンス型のセキュリティ対策から、最近では自組織や自組織と同じ業態で脅威情報を整理する脅威ベース型のセキュリティ対策が重要視されていますよね。

ここでは変化という表現を用いて説明していますが、実際にはそれぞれの特徴を理解して、サービスを使い分ける、または併用するなど個社状況にあわせて対策をおこなっていくことになるのだろうと考えています。

ここに、お客様それぞれの違いが大きく表れるところなので、私たちファイブドライブもしっかりお客様とお話しながら状況を掴んでご提案していかなくてはなりません。

（後半）TLPT技術担当者の講演

セミナー後半では、TLPT実施経験を持つ担当者が登壇して、TLPTのを実施するにあたって基本的な内容（目的や効果）と、さらに踏み込んで効果的に実施するための注意点などについて時間の限りご説明をしました。

まとめ

最後に宮本代表から、「まとめと全体のポイント」について解説

自組織にあったTLPTであることや、委託する際には脅威インテリジェンスとペネトレーションテスト双方ができること、緻密な情報分析とリアルな攻撃に関する知見があると良いことなどを解説しました。

セミナー資料抜粋

セミナーに参加した皆さまからは、「コスト観点からの説明がわかりやすかった」、「100％の防御は難しく、効率的な投資が必要と感じた」といった、セキュリティ投資に関する声や、「攻撃シナリオについて自組織の経済的利益（サイバー攻撃者が狙うもの）とは何かを想定することが難しい」といった、実際の実施に向けた課題に関する声をいただきました。

セミナー最後の質疑応答で活発にご質問をいただきましたが、セミナー時間内では足りなくなってしまったため、希望される方には、改めてご説明させていただくことにいたしました。

「セミナー資料が欲しい、説明して欲しい」そんな皆様へ

ファイブドライブでは、「金融機関向けサイバーセキュリティ管理態勢に関する相談窓口（問合せフォーム）」を設置して、金融機関や関係組織の皆さまからご相談を受け付けています。

2024年11月6日のプレスリリースを参考にいただき、フォームに「FITセミナー資料を希望、説明を希望」と記載いただければ対応しますので、お気軽にお声がけください。

本サービスをご利用いただけるのは、金融機関（証券・保険・ノンバンクなども含む）および、金融機関系列会社に限定していますが、それ以外の業種の方でご興味がある場合もお声がけをいただければ幸いです。

今後、金融機関以外の業種にも同様の相談窓口の拡大を検討してまいります。

詳細は、以下参考リリースをご確認ください。

参考リリース

①「金融機関向けサイバーセキュリティ管理態勢に関する相談窓口の設置」

②「金融機関向けサイバーセキュリティ管理態勢支援サービス」

サービスの選び方～金融機関向けサイバーセキュリティ管理態勢整備支援サービス～

こんにちは、サービス企画MIです。

今回は、２０２４年８月２０日にリリースした、「金融機関向けサイバーセキュリティ管理態勢支援サービス」について、その背景となる話と、サービスの考え方を書いていきます。

昔話？

金融業界の中では著名な金融情報システムのガイドラインとして、金融情報システムセンター（FISC：フィスク）の安全対策基準（正式には、「金融機関等コンピュータシステムの安全対策基準・解説書」）というものがあります。

安全対策基準は、世の中の情勢変化に併せて改訂されていますが、2015年6月29日に発表された8版追補改訂は、具体的にサイバーセキュリティの対応態勢の在り方について記載されたものとして注目されました。2015年ですから、もうすぐ10年経過するのですが、当時の状況は、海外で金融機関を狙った大規模なサイバー攻撃事案が発生しており、国内でもリスク認識を高めていかなければならないという雰囲気はあったものの、攻撃対応を経験した組織が少なく、どこか他人事のような空気があったように思います。

「これじゃいかん」ということでしょう。安全対策基準が改訂され、金融庁の監督指針と呼ばれる文字通り金融監督を実施するための指針の中でも、サイバーセキュリティに関する記述が多く盛り込まれました。

（参考）金融庁HP

さて、当時、海外で発生していた事案としてどのような事案が起きていたのでしょう。金融機関にとって、対策を検討する参考として重要なものに、2013年3月に韓国で発生した同時多発型のサイバー攻撃があります。

【韓国でのサイバー攻撃概要】

1. 2013年3月20日14時頃、韓国の放送局、金融機関でコンピュータ端末がダウンし、再起動ができない状態となった
2. 後の調査で、サイバー攻撃者がシステム内部に侵入後、パッチ管理システムを乗っ取り、内部端末がマルウェア感染し、時限爆弾的にハードディスクを破壊した
3. 放送局や金融機関6社で、3万台以上のパソコンが感染
4. 金融機関では、被害確認等を含めてATMが一時利用できない状況に陥った

簡潔に書いていますので、詳細はお調べください。

金融システムが一時的にでも停止したこの事件は、相当なインパクトを持って国内金融業界に受け止められました。

この事件が発生した後に発行されることとなったFISCの安全対策基準の論点でも、ネットワーク分離などの被害拡大を防止するような対策など、侵入防御だけでなく、侵入された場合でも被害を食い止める対策の重要さなどが記載されるなど、サイバー攻撃が実際に発生することを想定した対応態勢を構築することが重要であることされています。

こう振り返ってみると、実際に発生した事案をケーススタディとしている点を含め、基本的な態勢整備の考え方は変わらないように思えます。

新たなガイドラインの意味は？～境界防御の限界と脅威の変化～

さて、その後の2020年くらいまでの話ですが、サイバーセキュリティ技術は年々高度化され、ネットワーク分離関連、防御・検知関連、監視サービスなど、情報システムが組織の建物内にある前提での境界防御を中心として進められてきました。が、同時に年々新たなサイバー攻撃手法が繰り出されて”イタチゴッコ”と表現する人もいましたね。クラウドサービスも以前から存在はしていましたが、まだまだ利用側が使いこなせない等で、情報資産管理の中心は境界線内としていた組織が多かったのではないでしょうか。

そうこうしてるうちに時代は移り変わり、守り側にも大きな状況変化が訪れます。

そのひとつがコロナ禍です。

リアルな出勤に制限がかかり、自宅など外部から情報資産にアクセスをして業務せざるを得ない状況が出てきました。これにより、クラウドの利活用やリモートワークなど、金融機関の建物以外の場所に情報資産を置いたり、外部からアクセスできる仕組みの導入が一気に進んだことで、守り手の守備範囲が広がり、境界防御の発想だけでは不足するようになりました。

さらに地方では、人口減少問題を抱えるケースもあり、ITの利活用に頼るケースは今後も増加していくことが考えられます。

総務省｜令和5年版 情報通信白書｜クラウドサービス

一方で、サイバー攻撃者にとってこれはチャンスです。境界防御やネットワーク分離によってインターネット環境から簡単には目当ての情報にたどり着けない状況から、リモートワーク等で利用する個人のアカウント情報やクラウドサービスの設定不備などを探るなど、いわゆるアタックサーフェスが広がったのです。

サイバーリスクの特定と対応計画を診断会社として支援

今回リリースをした、「金融機関向けサイバーセキュリティ管理態勢整備支援サービス」は、このような脅威の変化が今後も起き得る中で、サイバー攻撃者から見た組織リスクをお客様と一緒に考えて、そのお客様の状況にフィットする施策をご提案することを目的としています。

1. 脅威分析（サイバー攻撃者の手法など、金融業界や個別組織固有の脅威の分析）
2. リスク洗い出し（ソフトウェアやハードウェア脆弱性、クラウド設定不備など）
3. リスク評価（脆弱性を突かれた際の事業への影響分析）
4. 態勢評価（実際のサイバー攻撃にシステム、人、プロセスが対応できるか

個別サービス

金融機関のサイバーセキュリティ管理の項目に照らした支援サービス例を挙げてみたものがこちらの表です。

プレスリリースでも掲出していますが、これは一例となっていますので、予算や範囲、時期など個別事情を教えていただければ、一緒に考えて、より良い提案をさせていただきます。

最後に

今回もお読みいただいてありがとうございました。

いわゆるガイドラインに記載されていることは、過去の事案をケーススタディとしていることもありますので、なぜここに書かれてることをやらねばならないのか？を読み解くことで、「ということは、あれもやらなくちゃ」と関連して他の対策にも繋がることがあります。ひとつのブログでは到底書ききれず細かくなってしまうので、また機会がありましたら書いてみたいと思います。

さて、私たちファイブドライブは、技術力を活かした個別のサービス力を磨くことを得意としていますが、今回のサービスのように、俯瞰した考えでお客様と会話することで、個別のサービスを組み合わせたり範囲や内容をカスタマイズしてご提案していくことが可能です。

それによって、お客様が計画的に、コストパフォーマンス良く対策を実施できるようご協力できれば幸いです。

脅威ベースのペネトレーションテスト（ＴＬＰＴ）支援サービスの価値とは？

お立合い、TLPT

こんにちは。ファイブドライブのymです。

この度、弊社では「

脅威ベースのペネトレーションテスト（ＴＬＰＴ）支援サービスのリリースについて | 株式会社ファイブドライブのプレスリリース

」をリリースしました。本サービスの概要がPRTIMESで記載されています。その内容は...

「組織を狙うサイバー攻撃脅威を分析し、脅威ベースの実戦的な攻撃シナリオに基づく侵入テストを実施することで、組織（システム）のレジリエンスを評価するサービス」

何を言っているのかわかりますか？この内容だけでは、どのような価値を提供してくれるのか？組織が持つどのような課題やニーズを満たしてくれるのか？などの疑問が生じると思います。

本ブログ記事では、本サービスがお客様のどのような課題やニーズを満たすことができるのかをお伝えします。また、TLPTを知らない、もしくは概要を知っている方にも、業務の導入や実施に関して、多くの疑問や不安が生じると思います。そのため、本ブログではそのような疑問や不安を感じる方に向けた情報も一緒に提供しています。この機会にぜひご一読いただき、弊社サービスを知り、うまく活用いただけると幸いです。

あなたを満たす、そのサービスへ

本サービスで満たされる課題やニーズをお伝えする前に、まずは弊社が提供する「脅威ベースのペネトレーションテスト（ＴＬＰＴ）支援サービス」の実施概要を説明します。より具体的なイメージをお持ちいただけるかと思います。

本サービスの概要

本サービスは、４つのフェーズによって構成されており、すべて弊社技術担当の正社員が実施します。

脅威インテリジェンス（脅威インテリジェンスの導出）

お客様情報から、組織を取り巻く脅威動向を調査・分析し、組織を狙う脅威アクターとその攻撃発生可能性を導出します。

基本的にお客様にて実施いただく作業はないため、弊社からの脅威インテリジェンス結果の報告をお待ちください。

攻撃シナリオの策定（攻撃シナリオ作成及び検証、テスト計画書作成）

攻撃が発生する可能性の高い脅威アクターによる攻撃手法を整理し、対象システムに対する攻撃手法を確立します。

事前にお客様から対象システムのシステム構成図・ネットワーク構成図等を提供いただき、より実践的な攻撃シナリオの作成に努めます。最後に、弊社から攻撃シナリオ及びテスト計画書の内容について報告します。

テスト及びレビュー（テスト実施、テスト結果レビュー）

攻撃シナリオ及びテスト計画書に基にテストを実施し、結果内容を報告します。

テスト実施時、ブルーチーム（SOC/CSIRT）※の作業担当者へは事前通知しませんが、チームの作業責任者には事前通知を行い、インシデントの初動対応フェーズまではブルーチーム側で対応いただきます。テスト実施後は、弊社の攻撃結果に対するブルーチームの対応結果をレビューします。

ブルーチーム評価の観点は、ブルーチーム対応態勢含むセキュリティ対策における予防・検知・対応の各フェーズにおいて弊社攻撃に対応できたかです。ブルーチームの対応がインシデント対応フローや対応手順に則って作業されているかの評価は、別サービスとなりますのでご注意ください。

※ブルーチーム: 攻撃者に扮したレッドチーム（弊社）に対し、セキュリティ状況を維持することで情報システムの安全な運用に責任を有するチーム。通常はCSIRT（SOC、NOC、システムの運用担当等を含む場合もある）が担当。

レジリエンス評価（評価工程）

レッドチーム（弊社攻撃チーム）によるテスト結果とブルーチームレビューの結果から、事後の改善計画に役立つサイバーレジリエンス評価を行います。

基本的にお客様にて実施いただく作業はないため、弊社からのテスト結果報告をお待ちください。

組織が持つ課題やニーズを満たすために

本サービスの大枠を知っていただいたところで、どのような課題やニーズを満たせるのかをお伝えします。

本サービスを検討するお客様の課題やニーズとして、以下のようなご相談例が挙げられます。

上記以外にも「この部分に着目して実施したい」等の要望もあるかとおもいます。弊社ではご相談内容にあわせて、お客様ごとに実施内容を組み立てご提案することが可能です。

なお、本サービスは、ブルーチーム対応態勢含むセキュリティ対策を評価の観点としているため、お客様のセキュリティ対策環境において、組織・人・ツール・プロセスが統合的に準備されていることが望ましいと言えます。その前段として、システムにおける脆弱性対策やセキュリティ対策製品の有効性調査を網羅的に実施したい場合は、脆弱性診断やペネトレーションテスト等、弊社の別サービスにて対応可能なため、ご相談ください。

サービス提供までの流れ

TLPTを実施するにあたり、費用面や実施期間、対応リソース等で抱える懸念点は様々かと思います。弊社では、お客様ごとの課題・ご要望に沿った実施内容を柔軟にご提案します。

そして感動のフィナーレへ

ここまでサービスの概要からサービス提供の流れを説明してきました。

本サービスは、その提供内容の複雑さから、本サービスの利用を検討しているお客様から多くの悩みや疑問をお問い合わせいただいています。本ブログで、その疑問や悩みを少しでも解消いただけましたら幸いです。本ブログをお読みになって、「読んでも内容がイマイチつかめなかった」「さらに詳細を知りたい」という方は、本サービスについてお気軽にお問い合わせください。

また、ファイブドライブでは、今回ご紹介したTLPTを含め、評価対象や目的に応じて選べるように複数の演習・訓練サービスご用意しています。「どのような種類があるのか」、「どのように選べばいいのか？」、「演習をすることでどのように組織強化に生かせるのか？」について別記事で纏めていますので、ぜひご一読ください。

関連記事

サービスの選び方～疑似攻撃を用いたサイバー攻撃対応演習支援サービス～

https://fivedrive-techblog.hatenablog.com/entry/service_select_exercise

そのほか、「セキュリティ対策って何から始めたらいいの？」「まずはシステム上のセキュリティ態勢を網羅的に知りたい」という方には、脆弱性診断やペネトレーションテスト等、多様なサービスご用意していますので、弊社HPをご覧ください。

お問い合わせも随時受け付けています。

ファイブドライブサービスメニュー：https://www.fivedrive.jp/service/

ファイブドライブのymは、いつでもあなたのご連絡を待ちしております。

See you again!

サービスの選び方～疑似攻撃を用いたサイバー攻撃対応演習支援サービス～

はじめに

こんにちは、企画担当のMIです。
「サービスの選び方」は、ファイブドライブがご提供する数あるサービスについて、お客様視点で目的やニーズに沿って選んでいただけるように、読み解くシリーズブログです。
今回は、その中から疑似攻撃を用いたサイバー攻撃対応演習支援サービス（以下「演習サービス」）についてご紹介します。

演習サービスは、評価対象や目的に応じて複数ご用意しているのですが、サービス名称だけでは、それぞれの関連性や違いがわかりにくいように思われます。

そこで本ブログでは、「どのような種類があるのか」、「どのように選べばいいのか？」、「演習をすることでどのように組織強化に生かせるのか？」といった観点でご整理しながら紹介します。
本ブログ内容が、組織演習を検討する際に、少しでも役立ちますと幸いです。

演習サービスとは？

昨今のサイバー攻撃は絶えず多様化・高度化を続けている状況であるため、守り手である組織側でも、継続的にセキュリティシステムのアップデート、脆弱性診断によるセキュリティホールの検出やパッチ管理などの技術的対策のほか、社内ルール整備、教育訓練などの人的な対策を実施していると思います。

一方で、実際のサイバー攻撃対応経験を豊富に持つ組織は必ずしも多くはないため、「実施した対策がサイバー攻撃に耐えうるのかは、起きてみないとわからない。」と課題感をお持ちではないでしょうか。

ファイブドライブの演習サービスでは、そのような課題に対して、実際に起きうるサイバー攻撃を疑似的におこなうことで、セキュリティ（チーム、システム）が正常に稼働するのか、また人（職員等）の対応が手順どおりに実施できるのかなど、対策が妥当か検証して改善につなげることを目的としています。

演習サービスの種類

演習サービスは、評価対象や目的に沿って選べるように複数種類をご用意しています。

上記の表で取り上げたサービスは、一見バラバラな名前や内容に見えると思いますが、整理しますと、大きく２つの特徴に分けられます。

ひとつは、標的型攻撃への対応に目的を絞って試行し、職員やシステム稼働の評価を行うこと。
もうひとつは、個社や業種の脅威を把握したうえで、実際に起きそうなサイバー攻撃を試行してセキュリティチームやシステム稼働の評価を行うこと。

この２つの特徴にサービスを振り分けて、それぞれの概要を紹介していきます。

①標的型攻撃対応に絞った職員やシステム稼働の評価する演習

標的型攻撃メール訓練

多くの組織で、職員啓発や連絡体制の確認する訓練として取り入れていると思います。
ファイブドライブでも多くの案件に携わっており、最近では、メールに添付されたファイルやメール文内のURLを開封した”開封率”だけでなく、内部での”報告率”に主眼を置いた訓練のほか、実施後の教育まで実施しています。

ハイブリッド型メール訓練

上記の標的型攻撃メール訓練と並行して、システム向けの疑似攻撃を並行でおこなう演習です。
これは、「実際に標的型攻撃メールを受信した際には、職員とセキュリティ（チームやシステム）は連動して対処するはずであり両方を評価したい。」という問題意識を持たれてるお客様ニーズに応えるためにご用意したサービスです。

②個社や業種の脅威を把握後、実戦を想定した疑似攻撃によるセキュリティチーム、システム稼働を評価する演習

レッドチームテスト　と脅威ベースのペネトレーションテスト（TLPT）

この２つのサービスは、どちらも個社や業界特有の脅威情報を洗い出すことで、実際に起きうる攻撃を想定して実施する演習です。

実施にあたっては、ファイブドライブがサイバー攻撃者（レッドチーム）として事前に入手した脅威シナリオに沿った疑似攻撃を実施します。その攻撃に対して、お客様セキュリティ部門（ブルーチーム）側では、これまで構築してきた対策や手順に沿った対応をおこなっていただきます。

その結果、主に以下のような検証と評価をおこないます。

検証
レッドチーム（攻撃側のチーム）が疑似攻撃を仕掛けることで、防御メカニズムの稼働・・・つまり検知・防御、監視機能等が正常に働くか検証する。
評価
ブルーチーム（組織のCSIRTなど）の動きと結果を突き合わせるレビューをおこない、不足点などを洗い出し、事後対策検討の参考としていただく。
さらに
脅威ベースのペネトレーションテスト（TLPT）では、評価の内容を纏めて経営層に向けたサマリーとしてご報告をおこないます。

（TLPTのサービスの詳細ついては  こちらのブログを是非ご覧ください。

ここまでの説明について、工数（実施に必要な時間や手間）をイメージして纏めると以下の表のようになります。（工数が増えるほど、コストや実施期間増に繋がります）
標的型攻撃メール訓練（１～2か月程度）
簡易なシミュレーションによって組織人としての対応力向上に目的を絞っているため、かかる工数や準備の手間も簡易で済みます。

ハイブリッド型メール訓練（２～３か月程度）
メール訓練とシステム向け演習の双方を企画するため、工数は標的型攻撃メール訓練よりも多く必要となります。一方で、シナリオを標的型攻撃に絞っていることから、（個社や業界特有のシナリオを導出する）レッドチームテストやTLPTと比べて工数が少なくなります。

レッドチームテスト、TLPT（４か月～）
いずれも最初に脅威インテリジェンスを実施して、個社・業界特有のシナリオを導出する必要があるため、工数や準備にかかる手間はより多くかかります。
TLPTに関しては、さらに経営層を交えたレジリエンス評価と組織の成熟度を評価する内容になるため最も工数を要するサービスとなります。

実際のお引き合い時は、個々の状況やご要望によってカスタマイズをおこないますので、こちらに記載している内容を参考にご相談いただければ幸いです。

演習の実施結果は、どのように組織態勢強化に生かすのか

対策の妥当性を評価して改善に生かす

ここまでお伝えしてきたとおり、演習は実戦を想定して、これまで人（職員）やセキュリティ（チーム、システム）向けに対策してきたことが通用するのかを評価する目的でおこなわれます。

対策の段階では「想定」していたことが、いざ実戦（リアル）を体験することで、「自分たちが想定できていなかった部分」を把握できることが多くあります。同時に「最新の攻撃に対する気づき」を得ることができます。その結果、具体的には以下のような「改善」に繋がることが期待されます。

• 対応手順の見直し
  攻撃に対する検知から対応までのエスカレーションがうまくいかなかった等
• セキュリティ機器が有効でない場合の見直し
  セキュリティ設定が実際の攻撃に対して有効に機能しなかった等
• 新たなセキュリティ投資の検討等
  内部端末やネットワークの攻撃検知やログ収集の効率化等

演習では、課題を可視化することで、「これまで実施してきた対策の課題を見つける」だけでなく「最新の攻撃者動向に合わせて対策をアップデートする材料を拾う」という、建設的な考え方で取り組んでいただくと良いと考えています。

態勢整備サイクル全体の向上に生かす

以下に示す態勢整備サイクルは、当社の提案指針として作成したものです。

組織としてサイバー攻撃を迎え撃つ態勢を含む意味でよく使われる”態勢整備”は、人やルール等、セキュリティ（ソフトウェア、システム、監視等）などを整備をすることに加えて、相手の進化に対応できるよう継続的にアップデートしていく仕組みが必要です。おそらく皆さまの組織でも同様の仕組みを持たれていると思います。

今回ご紹介した演習サービスは、態勢整備サイクルの中で対策の実装と改善の間に位置するもので、組織態勢を向上させる効果が見込めます。

なお、サイクルの右上にはリスク洗い出し＆評価といったフェーズがあります。ここに記載してある個々のサービスに関してはまた別の機会で詳細を取り上げますが、ここでもファイブドライブのサービスが役目を担っています。

脅威情報の収集（脅威インテリジェンスサービス）
演習の工程にもある通り、個社や業界特有の脅威を導出する活動は、実戦を想定したシナリオに繋がります。この脅威情報の収集を普段から取り入れることによって、セキュリティ設定の見直しを日常活動の中で実施でき、リスクを減らす効果を見込むサービスをご用意しています。

リスク洗い出し＆評価（脆弱性診断やペネトレーションテスト）
演習では、攻撃者を想定して１つのシナリオに絞って評価をおこないますが、それは、根本的には対策が取られていることが前提となります。

では、対策は何を根拠に行うかというと、この「リスク洗い出し＆評価フェーズ」で、網羅的な脆弱性の洗い出しその脆弱性を悪用された場合の影響を想定するという日常管理が重要になるのです。

編集後記

今回もお読みいただいて、誠にありがとうございました。
演習の目的は「演習をやった」という実績にとどめるものではなく、また、「1回やったから良し」というものでもありません。
ただ、実施にはコストや時間など負担がありますので、そうそう回数を増やすこともできないため、事前の企画がとても大事になりますね。
企画をする際に気に留めていただきいのは、態勢整備サイクルをご覧いただくとわかるように、演習は限られたシナリオで実施する一方、事前のリスク洗い出し＆評価は網羅的に。というように範囲に違いがあることです。

仮に日常のリスク洗い出し＆評価が不十分な状況で演習をおこなった場合、シナリオが限られている分、確認できる結果も限定的となる可能性があり、その結果、事後の改善計画が不十分になってしまう可能性があります。

大事なのは、演習は対策を評価するものであり、その対策は事前のリスク洗い出し＆評価を網羅的に行った結果によって実施するもの。という順序があるということです。

ある企業のCSIRT長さんと話した時もこのことを指し、「物事には順序があるよね」と印象に残る一言を仰っていました。

リスク洗い出しと評価はどのような方法があるの？については、改めて別ブログで解説していこうと思います。

その他、「サービスの選び方」で取り上げて欲しいサービスがありましたらコメントを残していただけますと幸いです。

標的型攻撃メール対応訓練実施支援サービスについて

こんにちは。企画担当のＭＩです。

今回は、実際にサービス提供をしている「標的型攻撃メール対応訓練実施支援サービス」（以下「標的型攻撃メール訓練」）についての内容をご紹介します。

セキュリティ診断会社目線の標的型攻撃メール訓練

ファイブドライブでは創業以来、セキュリティ診断を中心に調査、監査業務などを手掛けてきましたが、標的型攻撃メール訓練についても数多く実績がございます。

ファイブドライブの提供する本サービスの特長は、主力であるペネトレーションテストや脆弱性診断による知見が活かされることです。診断で培ったサイバーリスクに係る情報や対応策等の知見を用いて、トレンドに合った最良の提案を行います。

そのため、他社サービスに多くみられるようなSaaS型やツール型等のサービスとは少し異なるアプローチでご提案し、料金の算定をおこなっています。また、本業務で使用する全ての機器・システムを自社のエンジアが構築・運用しています。

お客様側で精度の高いセキュリティ製品を使用していたとしても、そのせいで「訓練メールが正常に届かない」、「訓練メールが隔離されてしまった」という問題が発生したことはありません。円滑で丁寧な動作確認テストを経て、訓練本番に至ります。

標的型攻撃メール訓練の手順や全体像、コンテンツ

ヒアリングから実施までの手順（概略）

訓練実施イメージ

メール文面例

開封時コンテンツ例

ご報告書例

お客様のご予算やどういった成果を必要としているかに応じて報告形式を選択することが可能です。

①文書形式の報告書

• グラフ・表を掲載し、その分析による考察を文書にして報告します。
• 実施方法・実施結果・総括・課題・解決策を記載します。
• 上長や他組織への報告を必要とする場合はこの形式を推奨します。

②一覧形式の報告書

• ご提供いただく対象者リストに訓練結果を追記して報告します。
• 開封者に「○」・「開封時間」を記載します。
• 訓練における分析や教育は自社で行い、メール送信・開封者情報収集システムを委託したい方はこちらがお勧めです。

カスタマイズ事例

メールの送信日を分けて送信したい

メールを数種類使用したい

集計サーバを内部ネットワークに設置したい

訓練後に対象者へアンケートを実施したい（開封理由の把握や訓練に対する意識等の把握）

標的型攻撃メールに関する理解度確認テストを実施したい（訓練効果の計測）

標的型攻撃メールに関する教育資料を作成してほしい（概要・攻撃メールの見分け方・受信時及び開封時の対応方法等）

実施にあたっては、主力である診断業務の繁忙時期に重なると、リソースの確保が困難な可能性があります。そのため、あらかじめ年度計画等で実施時期がわかる場合は、お早めにご相談ください。

価格について

ファイブドライブの標的型攻撃メール訓練は、お客様の状況に合わせて設計することから、ユーザ数（メールアドレス数）で価格を設定するのではなく、手順内容ごとに工数を検討し、価格をご提示します。

メールアドレス数のボリュームに応じた価格テーブルを作って欲しいとご要望をいただくこともありますが、より納得いただける価格を提示できることから、工数をきちんと検討する方式を採用しております。

価格例

価格例Ａ、Ｂどちらも1,000ユーザ（メールアドレス数）を対象とした標的型攻撃メール訓練の価格例ですが、実施内容によって価格が変化しています。

　主な実施内容として、メール文案の数、メール送信回数を挙げていますが、他にも部署毎に送信時間を変更する等のご要望を取り入れて価格をご提示いたします。

ご相談方法

• まずは、ファイブドライブ営業担当へご連絡ください。

• ミーティング（オンラインまたはご訪問）により実施方法などを案内いたします。

よくあるご質問

利用者側で作成したメール文案を使うことは可能でしょうか

⇒可能です。訓練に使用できるか確認するため、事前にどのような内容をご希望かご相談ください。

メール文の外国語対応は可能でしょうか

⇒外国語（英語）でのメール文作成が可能です

開封者への教育コンテンツを作成することは可能でしょうか

⇒可能です。そのほか、座学形式での講義を提供することも可能です。

メール文に合わせたドメインを購入してもらうことは可能でしょうか。

⇒可能です。ドメインの購入はオプションではなくメール文案作成の費用に含まれております。

編集後記

今回もお読みいただきありがとうございました。標的型攻撃メール訓練は多くの会社・組織で啓発や訓練として取り入れているものですから、一見、目新しい情報では無いように思われたかもしれません。一方で、ファイブドライブの標的型攻撃メール訓練は、診断技術者が入り込んでいたり、価格ご提示も単に送付メール数ではなく、工数を明らかにしてご提示するなど、少し他社様のものとは味付けが異なります。

「対象数が多くてメールアドレス数での料金設定だと予算が高くなる」といった不安や、「インシデント発生を想定した訓練にしたい」といったご要望等、ファイブドライブのサービスで解決できる可能性がありますので、ひと声おかけいただければと思います。

また、ファイブドライブでは、人に対する標的型攻撃メール訓練だけでなく、実際のインシデント発生時はシステム側の検知・防御態勢もチェックしておくべきという考えのもと、『人、システムに対するハイブリッド型メール訓練』をリリースしています。

詳細は以下のリリース記事をご覧ください。

サイバーインシデント緊急対応支援サービス担当者インタビュー

こんにちは、サービス企画部ディレクターのＭＩです。

今回は『サイバーインシデント緊急対応支援サービス』チームで実際に活躍する担当者AN君にインタビューという形で色々聞いていきたいと思います。

『サイバーインシデント緊急対応支援サービス』の具体的な内容については、以下の記事をご覧ください。

 『サイバーインシデント緊急対応支援サービス～ご相談の流れ～』

AN君のデータ

〇入社２年目

〇ＩＴやセキュリティ経験：

前職ではソフトウェアエンジニアとしてセキュリティ製品を作っていました。もともとセキュリティへの興味があり独学で勉強していて、縁あってファイブドライブに入社しました。

〇趣味：

趣味は筋トレと読書です。ジムへは週4回ほど行っていて、体を追い込むことでストレス発散をしています。読書は私小説が好きです。中村文則さんや李 龍徳さんの小説は繰り返し読んでいます。

Q.１：AN君は「サイバーインシデント緊急対応支援サービス」チームの中でどのような役割を担っているの？

簡潔にいうと全てになります。具体的にはお客様へのヒアリング、HDDなどの証拠品の収集、証拠品から原因の究明に繋がるデータの解析と抽出、そして報告書の作成までを担当しています。

Q.２：チームは何人くらいいるの？また、どんな人がいるの？

6人体制のチームで案件に取り組んでいます。チームメンバーはそれぞれ得意分野が異なっていて、リバースエンジニアリングやペネトレーションテストが得意なメンバーがいるほか、セキュリティ業界での経験が20年以上のベテランの方もいます。

Q.３：最近手がけたインシデント調査にはどのようなものがある？

傾向からするとクレジットカード系の調査依頼が多いです。ただ、最近はランサムウェア被害が流行していることもあり、そういった依頼も増えている状況ですね。弊社はペネトレーションテストや脆弱性診断の技術に強みを持っているので、ハッキング被害に関する調査依頼が多いですね。

Q.４：調査過程で感じるサイバー攻撃の傾向は？

より業務的になっているのかなと思います。決められた順番で攻撃用プログラムを実行して、決められたバックドアを設置するといった行動が多数の案件で共通していて、組織的な業務としてハッキング行為を実施しているような印象です。

Q.５：調査をするにあたって気を付けていることは？

 事実と推測を混ぜないということですかね。僕たちが提出する報告書は間接的に誰かの責任を追及することになると考えています。そのため、調査時に見つけた証拠が憶測で採用されていないか、チーム全体で証拠の妥当性についてレビューすることになっています。

Q.６：インシデントを遠ざけるために、普段から心がけておくと良いことは？

 難しい質問です。セキュリティ意識が高い人でも、繁忙期のように余裕が無い時を狙うことで、インシデントに巻き込むことはそこまで難しくないんです。そのため個々人の心がけに頼るのではなく、EDRの導入や社内機器のセキュリティ設定の見直しをおこない、攻撃者に狙われた場合でも問題ないようなシステムを構築することが効果的な対策かなと思います。

Q.7：インシデントが発生（または発生可能性を感じた）段階から相談をいただく間に気を付けるべきことは？

 ありがちな行為として、自分たちで解決しようと不審なファイルを削除してしまったり、データのバックアップを作成する前にサーバを初期化してしまうケースがあります。こうなると調査が困難となり、調べられる内容が少なくなったり、調査費用が高くなる原因となります。
基本的にデスクトップPCなどであればLANケーブルを抜いて、電源はついたままにしておく、サーバなどであればIP制限をかけて外部からアクセスできないようにしていただければ問題ありません。

Q.８：最後にひとこと

ファイブドライブでは攻撃者としての視点を持ったインシデント調査に強みがあります。ランサムウェア被害、標的型攻撃の被害、Webサーバからの情報漏洩など、インシデントが発生した際はとりあえず一度ご相談いただければと思います。
また、セキュリティが好きな技術者の方がいれば採用もしているので、ご連絡をお待ちしています。

ありがとうございました。

（編集後記）

本記事をお読みいただきありがとうございました。インタビュー内容や見解は必ずしも社を代表するものではありませんが、担当者が現場での経験から感じた意見としてそのまま掲載しています。よろしければご参考にしてください。

今後も各サービス担当者へのインタビューを掲載してまいります。「このようなことを聞きたい、知りたい」というご要望がございましたら「コメントを書く」でお知らせください。

また、インタビュー内にもございますが、ファイブドライブではサイバーセキュリティの視点で世の中を良くしようと志す仲間を募集しています。詳しくはファイブドライブのホームページでご確認ください。

採用情報 | 株式会社ファイブドライブ

サイバーインシデント緊急対応支援サービス～ご相談の流れ～

こんにちは、サービス企画部ディレクターのMIです。

今回はPRTIMESでリリースした『サイバーインシデント緊急対応支援サービスのアップデートについて』について、サイバーインシデント調査のご相談の流れについて解説いたします。

１．サイバーインシデントとは

　まず用語の定義として、『サイバーインシデント』とは、皆さんの会社や組織で取り扱っているサービスや業務システムが不正使用、妨害、破壊されたりすることによって、停止したり意図しない情報の漏えいなどにつながり、経営戦略や事業継続に影響を与える事象を指します。

そのうち、当社の「サイバーインシデント緊急対応支援サービス」では主に以下のような状況について調査をおこないます。

• 自社が提供するサービスを管理するシステム環境への不正アクセス

• 業務上利用する端末、システムのマルウェア、ランサムウェア等への感染等

• 業務関係者などによる不正な操作による情報持ち出し、改ざん

２．サイバーインシデント調査ご相談内容と調査プロセス　

ファイブドライブに寄せられるご相談は様々ございますが、概ね以下のようなタイミングや内容でいただくことが多くございます。

（ご相談例）

1. （検知）サイバー攻撃を受けた可能性があるので調べて欲しい

2. （発覚）明らかにサイバー攻撃を受けた状況は確認できるが被害状況を知りたい

3. （事後対策）被害実態を綿密に調査して事後対策に結び付けたい

このような問い合わせに対して、ファイブドライブでは主に機器や記録デバイスを対象にした調査を以下のようなプロセスでおこなっています。

 

３．ご相談いただく手段

ファイブドライブホームページのTOP画面にございます、サイバーインシデント緊急対応支援用ご相談フォームを利用いただき、まずはご連絡ください。

この際、「何を書けばいいのだろう」と迷われるような場合は、ファイブドライブに直接お電話いただいても問題ございません。丁寧にご対応させていただきます。

会社案内 | 株式会社ファイブドライブ

４．ご相談受付後の３ステップ

お客様からのお問い合わせを受けた後、弊社担当者が状況を確認させていただき、適切な調査ご提案をさせていただきます。

５．調査プランについて

上記ステップの中に書かれている調査プランについてご説明します。

サイバーインシデントが発生したお客様ごとに、調査範囲や期間、予算感などご要望が異なることが考えられます。

そのため、これまでの調査ケースに沿ってプランをご用意いたしました。まずは、お客様の状況により近いプランをご確認いただくことで、より適切な提案に繋げることを目的としています。

サイバーインシデント調査プラン

1. 初期調査（ログ調査）：怪しいメールのファイルを開封したなどのサイバー攻撃を受けた可能性を調べる初期調査に最適
2. 影響調査（ログ調査、HDD解析）：ランサムウェアなど明らかにサイバー攻撃を受けた場合の状況調査に最適
3. 詳細調査（ログ調査、HDD解析、ファイル復元調査）：痕跡が消されているケースなど、ファイル復元などによって詳細に調査したい場合に最適）

６．調査期間について

調査期間は、お客様ごとに違ってまいりますが、（１）調査準備にかかる期間はどのプランを用いても大きく変わらず、（２）調査からご報告までにかかる期間は、ご選択する調査内容によって違ってまいります。

（１）調査準備にかかる期間

最初にお問い合わせをいただいてから、調査準備にかかるまでは概ね1週間程度かかります。（お客様の中での決裁時間を除く）

（２）調査からご報告までの期間

実際には個別のお客様ごとに異りますので、あくまでご参考としてください。

（ご参考）調査ご相談例

「社で使用するパソコン1台が使用できなくなり、画面に脅迫メッセージが表示されていることから、サイバー攻撃を受けたことは明らか。

社内システムへの侵害拡大有無、感染端末の振舞い（どこに通信したか、何がおこなわれているか）を知りたい。」

ステップ１（自己状況に近いプラン選定）

この内容の場合、サイバー攻撃を受けたことは認識している状況なので、まずは”影響調査プラン”をお示ししながらご相談を受けることになります。

ステップ２（担当者によるヒアリング）

求める調査の内容のほか、かけられる時間、予算感などお客様状況を確認してまいります。

ステップ３（ご提案）

ステップ２の諸々の条件を踏まえて、お客様ごとに適切な調査をご提案します。

ご契約後に調査を進めていくうちに、新たに調査が必要なケースが出てまいります。例えば攻撃の痕跡が消されており、より詳細な被害状況調査をおこないたい場合など、状況をご相談しながら追加でお受けすることが可能です。

（編集後記）

緊急対応支援サービスでは、ひっ迫した状況にあるお客様にとって相談いただきやすい環境づくりをおこなうことを心掛けています。これからも継続的にわかりやすい内容への修正を続けてまいりますので、お気づきの点などがございましたら、「コメントを書く」でご意見を賜れれば幸いです。

また、文中でも記載していますので重ねてのお願いとなりますが、相談フォームへの記入内容に迷われる場合など、躊躇して時間が経過してしまうような場合は、ご遠慮なくファイブドライブの電話番号にお電話ください。ただし、基本的な営業時間は平日の9時30分から18時30分とさせていただいておりますのでご承知いただければ幸いです。

本サービスを担当するメンバーへのインタビュー記事もよろしければご一読ください。

『サイバーインシデント緊急対応支援サービス担当者インタビュー』