不正アクセスを防ぐため、新規サービスのリリース前に脆弱性診断やソースコード診断を実施する企業が増えています。しかし、複数のシステムと連携し、高度化・複雑化したデジタルサービスを安全に保つには、リリース前の検査だけでは不十分です。ビジネスの特性を踏まえ、要件定義や設計といった上流工程からリスクを洗い出す「セキュリティ・バイ・デザイン」の実践が求められています。
本記事では、上流工程でのリスク特定を支援する2つのサービス「脅威モデリングサービス」と「デジタルサービス向けリスク分析支援」について、野村総合研究所の齋藤大地と、NRIセキュアテクノロジーズの関戸亮介が解説します。
-
齋藤 大地
- 2012年野村総合研究所に入社、直後にNRIセキュアテクノロジーズに出向し、数多くの情報セキュリティ関連プロジェクトに従事する。1年間の北米での研修を経て、現在、社内CSIRT構想コンサルティング、社内CSIRT運営改善支援コンサルティング等、主に企業のサイバー攻撃対応を支援するセキュリティコンサルタントとして、日々の業務に邁進している。
-
関戸 亮介
- 「安全なシステム」の実現を目指し、脅威モデリングや各種アセスメントを通じたセキュアな設計、ソースコードレビューなどを実施。金融・流通・報道業界のお客様をはじめとする、さまざまな開発チームと二人三脚で支援している。
サイバー利用犯罪の台頭｜なぜ企画・設計段階でのリスク特定が必要なのか
Q：単体のWebアプリケーションにとどまらない新たなデジタルサービスは、どのような脅威に取り巻かれているのでしょうか。
Q：サイバー利用犯罪への対策は、なぜ脆弱性診断だけで不十分なのでしょうか。
システム開発のより早い工程から伴走支援を提供する
Q：セキュリティ・バイ・デザインによってどのように課題を解決できるのでしょうか。
デジタルサービス向けリスク分析支援｜ビジネスロジックの観点でリスクを洗い出す
株式会社野村総合研究所 齋藤 大地
Q：そうした作業を具体化する「デジタルサービス向けリスク分析支援」について教えてください。
Q：となると、新サービスの企画時に一度実施すれば終わりではなく、状況の変化に合わせて継続的に実施する必要があるでしょうか。
Q：どのようなリスクが指摘されるケースが多いのでしょうか。
脅威モデリングサービス｜システム構成に基づき脅威を特定する4ステップ
NRIセキュアテクノロジーズ株式会社 関戸 亮介
Q：もう一方の「脅威モデリングサービス」とはどのようなものでしょうか。
対象のシステムに対し、脅威を特定する（イメージ）
Q：具体的にはどんな指摘を行うのでしょうか。
Q：こうしたリスクはどのように抽出・分析するのでしょうか。
Q：こちらはどんな場面で利用されていますか。
Q：企画・設計段階で見つかるシステム上のリスクにはどんなものがあるのでしょうか。
ビジネスとシステムの両面から取り組む｜安全なデジタルサービス提供のために
Q：これら2つのサービスですが、どちらか片方ではなく、どちらも必要なのでしょうか？
Q：最後に、今後、デジタルサービスを展開するに当たっての提供者の心構えについてアドバイスをお願いします。
まとめ
デジタルサービスの高度化と、サービスの仕様を悪用する「サイバー利用犯罪」の増加により、リリース前の脆弱性診断だけでは対応しきれないリスクが広がっています。要件定義や設計といった上流工程からリスクを特定し、対策を組み込むセキュリティ・バイ・デザインの実践が、これからのデジタルサービス提供者に求められる基本姿勢です。NRIグループでは、上流工程でのリスク特定を支援する2つのサービスを提供しています。
- ■デジタルサービス向けリスク分析支援
ビジネスロジックに潜むリスクを、過去事例と専門家の知見から洗い出します。
- ■脅威モデリングサービス
システム構成に潜む脅威を、フレームワークと業界ガイドラインを用いて特定します。
両サービスは対象とするレイヤーが異なるため、組み合わせて活用することで、リリース直前の手戻りリスクを大きく低減できます。設計段階から安全を組み込むという発想を、ぜひ自社のデジタルサービスにも取り入れてみてください。
上流工程からのセキュリティ対策にご関心のある方は、お気軽にお問い合わせください。
＜関連サービス＞
デジタルサービス向けリスク分析支援
脅威モデリングサービス