飛行機に乗り合わせたたった一人の医者として — 分業の先のセキュリティ組織

Transcript

1. ⾶⾏機に乗り合わせたたった⼀⼈の医者として 〜分業の先のセキュリティ組織〜 2026-11-10 @BTCONJP Insight #4 freee株式会社 ただただし
2. 富士通グループにて、主に開発やサイバーセキュリティ研究 チームのマネジメントで30年以上のキャリアを積む。 2020年にfreeeへ入社。PSIRTを立ち上げ、現在もVP of Securityとしてセキュリティ責任者を担当。 執行役員 VP of Security ただただし (tdtds) Tada, Tadashi OSS開発者としても長年活動し、マネジメントだけでなくエン ジニアとしての一面を持つ。 最近、いつAIに仕事を奪われてもいいように、革小物の職人 になった。オンラインショップを経営している。 2
3. AIで個々の業務は変わる。では、組織は？ 今のfreeeのセキュリティ組織がどういうものかを、歴史をひもときながらお話しします 2012 2020 2025 いま CSIRTが⽣まれる PSIRTが分かれる ひとつのチームに統合 ⽬指している姿 2
4. 01 ⼩さく始まる 02 専⾨で分かれる ⽬次 03 境界が消える 04 あえて混ぜる 05 たった⼀⼈の医者の集団へ 3
5. 01 ⼩さく始まる
6. 2012年、ひとつのチームから始まった 会計ソフトに求められる認証やガバナンスに応えるため、CSIRTが⽣まれた CSIRT 社内のIT 統制‧ガバナンス 外部認証 従業員教育 セキュリティのことは、ぜんぶここで 5
7. 02 専⾨で分かれる
8. 2020年、プロダクトを守るPSIRTが分かれた 専⾨が違うなら、分けたほうが効率がいい。これは正しい判断だった CSIRT PSIRT プロダクト以外のすべて プロダクトと顧客データ • 物理環境を含む社内全体 • 顧客データはプロダクトに閉じ込める • ガバナンス‧規程 • 従業員からは触れなくする • SOC1などの外部認証 • 開発と運⽤にセキュリティを埋め込む • 従業員教育 7
9. PSIRTの中で、BlueとRedが育った 守る役と攻める役。同じプロダクトを、反対側から⾒る Blue Team Red Team 検知‧防御 攻撃‧評価 • 監視と初動対応のプロ • 攻撃者の視点で弱点を探すプロ • 多層防御で、外からも内からも守る • 脆弱性診断から改善までつなげる 8
10. 脆弱性診断を、⾃前で、リリースごとに回す Redが作った、この時期いちばんの成果 設計 実装 脆弱性診断 リリース 外に頼まず、チームの⼿で。リリースのたびに、毎回。 9
11. 分業がもたらしたもの 効率は上がった。 顔ぶれもカルチャーも、別々になった。 10
12. 03 境界が消える
13. BPaaSで、社内の端末が「プロダクト」になった お客様のデータに、従業員が直接触れる SaaS お客様 プロダクト 顧客データ PSIRTが守る BPaaS オペレーター 社内の業務端末 顧客データ CSIRT？PSIRT？ お客様から⾒れば、オペレーターの端末も「プロダクト」の⼀部 12
14. AIは、従業員にもプロダクトにも関わる 同じ技術の変化を、2つのチームで別々に追いかけるのはムダ AIを取り巻く技術の変化 従業員の仕事 プロダクト 業務でのAI利⽤、AIブラウザ、エージェント AIを使った機能、AIと⼀緒に開発するプロセス 13
15. 04 あえて混ぜる
16. 統合するだけでは、中⾝は分かれたまま だから、メッセージが要った われわれは、 ⾶⾏機に乗り合わせた たった⼀⼈の医者である 15
17. 4つの⾊を持つサブチームに編成した 専⾨を深めつつ、少しずつ隣の領域に踏み出せるように Red Team 攻撃‧評価 Blue Team 検知‧防御 Purple Team 融合‧相乗効果 全体を取り巻き、 重なりを広げる White Team 統制‧教育 16
18. それぞれの⾊の役割 専⾨を深めつつ、少しずつ隣の領域に踏み出せるように Red Team｜攻撃‧評価 Blue Team｜検知‧防御 攻撃者の視点で、事業実態に沿った攻撃シナリオを検証 する 社内もプロダクトも、事業リスクの観点で横断してトリ アージする White Team｜統制‧教育 Purple Team｜融合‧相乗効果 ルールとカルチャー。SOC1/2やISMSなどの認証、全社 のガバナンス 旧CSIRTと旧PSIRTの架け橋。チームの間の壁を壊す 17
19. Purpleは、⻘と⾚と⽩を混ぜたパステルの紫 チームの間を取り持ち、化学変化を起こす役 ⾊はラベルであり、 境界ではない 18
20. ⾊をまたいだ取り組みが、⽇常になってきた 統合から約1年で起きていること 取り組み 誰と誰が 何が変わったか 問い合わせ窓⼝の統合 4チーム全員 「セキュリティのことなら、ここで聞けばOK」 SOC1監査の全⾯⾃動化 White × Red エビデンス収集の⾃動化と、セルフ監査エージェント ナレッジとスキルの整備 Purple メンバーの得意を、誰でも使える形に トリアージしない、全部なおす Red 今年の攻撃の激化を受けて、舵を切れた 19
21. 05 たった⼀⼈の医者の集団へ
22. いまの姿：どのチームも、すべての領域を⾒る 10⼈以上のチームが、社内もプロダクトもBPaaSもAIも横断している 社内 Red 攻撃者の視点で検証する Blue 検知して守る White 統制とカルチャーを整える Purple チームの間をつなぎ、混ぜる プロダクト BPaaS AI 21
23. AIの⽀えで、⼀⼈ひとりがすべての領域へ セキュリティは広⼤な領域。だからこそ、広い視野を持つ⼈間の価値が上がる AIが肩代わりする ⼈がやる • 各領域の深い知識を引き出す • 領域をまたいで全体を⾒る • 調査‧診断‧監査の⼿を動かす • 判断して、責任を持つ 22
24. わたしたちが⽬指す姿 いざとなればなんでもできる、 たった⼀⼈の医者の集団へ 23
25. スモールビジネスを、世界の主役に。