効果的なセキュリティ体制の構築において、各チームの役割を明確にし、リーダーがその連携を束ねることは不可欠だ。具体的にはどのようなチームがあるといいのか。セキュリティチームづくりの勘所を考える。
セキュリティチームの成功には、企業の目標に合わせてセキュリティ施策を明確にし、それを実行するための取り組みが重要だ。セキュリティ施策の実行に当たって、1つの「正解」があるわけではない。さまざまな選択肢がある中で、自社に最適なものを模索することが求められる。本稿は、セキュリティ施策を実行するに当たっての組織づくりのポイントを解説する。
リーダーシップは、セキュリティ戦略を事業目標と連携させ、リスクを管理し、リソースを配分し、コンプライアンス（法令順守）要件を理解するために不可欠だ。リーダーシップには、運用チームの監督、進捗（しんちょく）確認、パフォーマンス分析、セキュリティの各関係者の間の調整などが含まれる。主にCISO（最高情報セキュリティ責任者）がセキュリティ施策を監督し、戦略を主導するだ。
セキュリティの運用チームは主に以下の4チームで形成される。
脅威の監視や検出、「SIEM」（Security Information and Event Management）や「EDR」（Endpoint Detection and Response）といったセキュリティツールの運用管理などを監督する。SOCチームのメンバーには、CISO、SOCマネジャー、セキュリティアナリスト、セキュリティエンジニアが含まれる。
主にセキュリティイベントの調査や、インシデントの封じ込めと回復を担当する。インシデントレスポンス計画を策定し、定期的にテストすることも仕事だ。主要タスクは、フォレンジック（攻撃されたことを示す情報を収集し、法的証拠として残す手法）や攻撃に関する社内外の情報共有などだ。メンバーには、インシデントレスポンス担当、脅威ハンター（脅威検出担当者）、セキュリティアナリスト、フォレンジックス担当が含まれる。
脅威に関する最新情報の収集や分析、攻撃者が用いるツールや手法の分析を担う。セキュリティの各関係者と調整し、脅威検出のルールや脅威の管理方法も決める。メンバーには、セキュリティアナリストや脅威ハンターが含まれる。
攻撃をシミュレートしてシステムの弱点を発見し、必要な保護策を提示する。メンバーには、ペネトレーション（侵入）テスト担当やホワイトハッカー（倫理的ハッカー）、セキュリティアナリストが含まれる。
セキュリティ施策の実行に欠かせない技術分野には以下が含まれる。
ネットワークインフラを管理する。メンバーには、ネットワークセキュリティエンジニア、ネットワークアーキテクト、ネットワークセキュリティアナリストなどが含まれる。
アプリケーション開発者チームと連携して以下のことを担当する。
メンバーには、アプリケーションセキュリティエンジニアやアプリケーションセキュリティマネジャー、開発者、「DevSecOps」（アプリケーション開発と運用の各工程にセキュリティを組み込む手法）担当が含まれる。
クラウドサービスを利用するに当たってのセキュリティ確保を担当する。メンバーには、クラウドセキュリティアーキテクト、クラウドセキュリティエンジニア、クラウドセキュリティアナリストなどが含まれる。
アプリケーションやデータへのアクセスを制御する。認証の仕組みを設計して管理する他、場合によっては監督も担当する。メンバーには、IAM管理者、セキュリティエンジニア、セキュリティマネジャーなどが含まれる。
セキュリティシステムを設計、実装する。メンバーには、セキュリティアーキテクトやセキュリティエンジニアが含まれる。
ガバナンスやコンプライアンスを含めたリスク管理チームは、セキュリティポリシーを監督し、規制の観点からセキュリティ施策を管理する。メンバーには、コンプライアンス担当、リスク管理担当、セキュリティ監査担当などが含まれる。リスク管理チームは、IT部門や法務部門と密接に連携することが重要だ。
セキュリティ意識とトレーニングチームは、セキュリティの責任、セキュリティポリシーの詳細、ITツールの安全な使用法関する従業員教育を実施する。セキュリティトレーニングの実施やフィッシング攻撃のシミュレーションを通じて、企業全体のセキュリティ文化の育成、パフォーマンス追跡なども担当する。
リスク管理チームとトレーニングチームは、人事部門やデータ保護チームと連携する。人事マネジャー、コンプライアンス担当と調整し、プライバシー要件を満たすことが求められる。
目標を特定し、チームの役割を定義した後は、それを実行に移し、いかにチームを機能させるかがポイントになる。
計画を実行するには、経営陣の賛同やサポートが重要だ。賛同を得るためには、セキュリティ計画の正当性が求められる。セキュリティの重要性を経営陣に伝えるとき、セキュリティの必要性を「事業にいかに貢献するか」という経営の文脈で説明することが大切だ。その際、規制や特定のフレームワークといった詳細の説明は避け、ビジネスの観点を前面に打ち出すことが有効になる。
セキュリティチームの人員について検討する際、以下の点を確認する。
一度セキュリティチームを編成すれば終わりではない。セキュリティ技術や攻撃の手口は常に進化しているので、セキュリティチームの在り方も定期的に見直す必要がある。その際、以下のことに取り組むことが重要だ。
Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。
なぜクラウド全盛の今「メインフレーム」が再び脚光を浴びるのか
メインフレームを支える人材の高齢化が進み、企業の基幹IT運用に大きなリスクが迫っている。一方で、メインフレームは再評価の時を迎えている。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
