$30 off During Our Annual Pro Sale. View Details »
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
IPO準備企業必見!ココナラから学ぶ上場前後でのセキュリティ改革プロセス
Search
coconala_engineer
May 28, 2024
Technology
0
210
IPO準備企業必見!ココナラから学ぶ上場前後でのセキュリティ改革プロセス
Cloud Security Day 2024の登壇資料。
https://cloudpack.jp/event/cloud-security-day-2024.html
coconala_engineer
May 28, 2024
Tweet
Share
More Decks by coconala_engineer
See All by coconala_engineer
多様なロール経験が導いたエンジニアキャリアのナビゲーション
coconala_engineer
1
150
未来を創るエンジニアを採用・育成するための制度とマインドセット
coconala_engineer
0
35
VPoE Meetup Vol.1 VPoEとして実践してきたことと反省点
coconala_engineer
3
300
エンジニアマネージャーになった理由を振り返ってみた
coconala_engineer
0
320
Developer Experienceを向上させる基盤づくりの取り組み事例集
coconala_engineer
0
210
Vue.jsで入力フォームにリアルタイムハイライト機能を自前実装した話
coconala_engineer
0
62
技術広報経験0のEMがエンジニアブランディングを始めてみた
coconala_engineer
2
240
オンコール運用をほんの少し効率的に行うためのTips
coconala_engineer
0
250
事業会社におけるセキュリティ・ ITガバナンス強化への道のり
coconala_engineer
0
37
Other Decks in Technology
See All in Technology
開志専門職大学特別講義 2024 オープニング
1ftseabass
PRO
0
230
Raspberry Pi 秋の新製品をチェックしてみよう / 20231202-rpi-jam-tokyo
akkiesoft
0
420
My Generation 年配者がこの先生きのこるには (Developers CAREER Boost 2024 Edition)/My Generation How elder engineers can survive
kwappa
3
350
asumikamというカンファレンスオーガナイザの凄さを語る / The Brilliance of Asumikam
tomzoh
1
290
MySQL 8.0 から PostgreSQL 16 への移行と RLS 導入までの道のりと学び
baseballyama
0
860
知らない景色を見に行こう チャンスを掴んだら道が開けたマネジメントの旅 / Into the unknown~My management journey~
kakehashi
10
1.1k
「品質とスピードはトレード・オンできる」に向き合い続けた2年半を振り返る / Quality and speed can be traded on.
mii3king
0
620
プルリクが全てじゃない!実は喜ばれるOSS貢献の方法8選
tkikuc
17
2.3k
Will Positron accelerate us?
lycorptech_jp
PRO
1
120
Oracle Base Database Service 技術詳細
oracle4engineer
PRO
5
52k
2024/12/05 AITuber本著者によるAIキャラクター入門 - AITuberの基礎からソフトウェア設計、失敗談まで
sr2mg4
2
560
Advancing the 3D Geospatial Ecosystem in Japan via Global Collaborations
osgeojp
0
170
Featured
See All Featured
Facilitating Awesome Meetings
lara
50
6.1k
Building Applications with DynamoDB
mza
91
6.1k
The Web Performance Landscape in 2024 [PerfNow 2024]
tammyeverts
2
250
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
45
2.2k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
330
21k
VelocityConf: Rendering Performance Case Studies
addyosmani
326
24k
Building a Modern Day E-commerce SEO Strategy
aleyda
38
7k
Principles of Awesome APIs and How to Build Them.
keavy
126
17k
[Rails World 2023 - Day 1 Closing Keynote] - The Magic of Rails
eileencodes
33
1.9k
No one is an island. Learnings from fostering a developers community.
thoeni
19
3k
Building a Scalable Design System with Sketch
lauravandoore
459
33k
Why You Should Never Use an ORM
jnunemaker
PRO
54
9.1k
Transcript
Copyright coconala Inc. All Rights Reserved. IPO準備企業必見! ココナラから学ぶ上場前後での セキュリティ改革プロセス 株式会社ココナラ
川崎 雄太 2024/05/28 Cloud Security Day 2024
Copyright coconala Inc. All Rights Reserved. 自己紹介 2 川崎 雄太 Yuta
Kawasaki @yuta_k0911 株式会社ココナラ システムプラットフォーム部 部長 / Head of Information SRE / 情シス / セキュリティ領域のEM SRE NEXT 2024のコアメンバー 去年の自慢:PR TIMESに3回載った✨
Copyright coconala Inc. All Rights Reserved. 3 ココナラの事業内容
Copyright coconala Inc. All Rights Reserved. 4 Agenda ココナラで抱えていたセキュリティの課題 上場前後で取り組んだこと
振り返りと今後の取り組み 2 1 3
Copyright coconala Inc. All Rights Reserved. ココナラで抱えていたセキュリティの課題 Chapter 01 5
Copyright coconala Inc. All Rights Reserved. 上場前のセキュリティは どういう状態だったか?🤔 一言でいうと、リアクティブに しか、動けていなかった😵
6
Copyright coconala Inc. All Rights Reserved. 実際のところ、上場前はどうだったか? 7 課題の把握が弱く、どの順番で何をすればよいか?が不明確 セキュリティに関して、後手後手の状
況だった。 • そもそも「何が課題か?」を正し く認識できていない。 • リアクティブ的に発生する課題に 対しての対応はしているが、もぐ らたたきでしかない。 • セキュリティの全体感を捉えて、 体系立てた課題対応を推進す る役割がない。
Copyright coconala Inc. All Rights Reserved. 上場前はどういう体制でセキュリティと向き合っていたか? 8 セキュリティエンジニアは不在、兼務で何とか対応 CSIRTを立ち上げたのは上場から半
年経過したあと。 それまではセキュリティ専門組織は なく、セキュリティエンジニアも不在 で、インフラ・SREエンジニアが手の空 いたときに対応。 プロダクトのグロースを優先するの で、もぐらたたきで手一杯。
Copyright coconala Inc. All Rights Reserved. 上場前後で取り組んだこと Chapter 02 9
Copyright coconala Inc. All Rights Reserved. 情報セキュリティ対策に関するセキュリティコンサルのアセスメント 10 何ができていて、何ができていないか?の現在地を把握 セキュリティだけでなく、内部統制・
監査の観点を含めて、現時点でど うなのか?をアセスメントしてもらっ た。(後述しますが、自社でもアセ スメントは定期的に行っています) アセスメント結果を元にまずは何 から取り組むべきか?を明確化 して、対策を推進した。
Copyright coconala Inc. All Rights Reserved. 情報セキュリティ対策に関する自社内のアセスメント 11 脅威の対策度合いを細分化し、対策度合いを数値化 ※2021年時点の情報
対策度合いを数値で表 し、数値が小さい=優 先度高と定義。 例えば、この時点では 「DDoS攻撃」や「脆 弱性攻撃」の対策が 弱み。
Copyright coconala Inc. All Rights Reserved. セキュリティ対策推進に向けた経営層の説得 12 対策費用とインシデント発生時の影響を定量で比較 セキュリティ強化を進めていくた
めには、経営層の理解が不可 欠。 「インシデント発生時の対応 費」 > 「セキュリティ対策費」 という構図を経営層に理解して もらい、体制構築やソリューショ ン導入の予算を獲得した。
Copyright coconala Inc. All Rights Reserved. セキュリティエンジニア採用と体制構築 13 セキュリティ専任者採用と組織化で役割分担を明確化 システムプラットフォーム
グループ 情報システム グループ インフラ・SREチーム (5名) CSIRTチーム (1名) CITチーム (3名) - AWSアカウント分離 - IAMロール整備 - 攻撃対策ソリューショ ン導入 - アクセス権限精緻化 - 新デバイス / OS検証 ・導入 - アクセス権限精緻化
Copyright coconala Inc. All Rights Reserved. AWS社とディスカッションを進め、プロダクトの防御力を上げる 14 定例MTGで議論を進めていき、検討を加速化
Copyright coconala Inc. All Rights Reserved. セキュリティ運用の一部をWafCharmに移管する 15 運用工数削減と効率的・効果的なセキュリティ運用の実現 WafCharm導入効果は以
下の通り。 ・月30時間程度の運用工 数削減(WAFルール運用、 ブラックリスト更新を代行し てもらった) ・月20万件以上の攻撃を WafCharmとマネージド ルールにて遮断
Copyright coconala Inc. All Rights Reserved. 振り返りと今後の取り組み Chapter 03 16
Copyright coconala Inc. All Rights Reserved. セキュリティ対策は「早く始めて、早すぎることはない」 17 上場前に焦って付け焼き刃になるのはNG、地に足を付ける どのようなプロダクト・サービスを提供し
ている会社でも、「セキュリティ対策」 は必須。 必要に迫られてから実施するのではな く、あらかじめ実施が必要なタスクと して見込んでおくことで、焦って優先 度の低い対応に時間を取られないよう にすることが重要。
Copyright coconala Inc. All Rights Reserved. ただし、後手後手になるときもあるので、しっかり優先度を見極める 18 時間がないからこそ、本当にやるべきことにフォーカスする セキュリティ対策に使えるリソース(予算、
工数、など)は限られるので、取捨選択をし つつ、効率的・効果的に対策を進めるこ とが重要。 手当たり次第に対応していくのは悪手なの で、緊急度 × 影響度で優先度を見極め て、1つ1つ対応していく。 セキュリティ対策に銀の弾丸はない。
Copyright coconala Inc. All Rights Reserved. 定期的に点検とアセスメントを実施する 19 放置すると陳腐化するので、放置しないことが大切 攻撃や脅威は日々進化している。
一度、セキュリティ対策をして終わりでは なく、継続したリファクタリングを行う必要 がある。 ・ソリューションは「導入する」よりも 「導入後の運用」が大事 ・「リアクティブ」な対応だけでなく、 「プロアクティブ」な仕掛けが重要
Fin