イベント報告：脆弱性リスク管理セミナー～セキュリティの課題-脆弱性の可視化と運用～を開催しました。

HOME

2018/06/18
イベント報告：脆弱性リスク管理セミナー～セキュリティの課題-脆弱性の可視化と運用～を開催しました。

Author

山本敏裕Toshihiro Yamamoto

山本敏裕

こんにちは。リックソフトの山本です。
梅雨入り宣言の翌日は、毎年快晴になっている記憶があります。
今日は梅雨入り宣言の翌日。そして快晴。そんな日に「脆弱性リスク管理セミナー」が開催されました。

このイベントではセキュリティの課題である、脆弱性の可視化と運用を実現するツールとそのソリューションが紹介されました。
今回紹介されたツールは

IT資産の脆弱性を管理する「Rapid7」
ネットワーク上の脆弱性を可視化する「REDSEAL」
課題管理を行う「Jira」

上記の3つの製品です。
この3つのツールに共通していたことは「見える化、可視化」。
それぞれの得意分野は異なりますが、これだけは共通していました。

Jiraを既にお使いの方には一見、JIRAと脆弱性は直接関連がないかと思われるかもしれません。
Jiraはアドオンが豊富で、これを使ってアトラシアン製品以外のツールと連携することが可能です。
連携することで、上記の製品に脆弱性を診断させ、その管理をJIRAで行うことが可能となります。

本日は、その中からリックソフト株式会社が登壇したプレゼンをご紹介し、「脆弱性リスク管理」について皆様に少しでも参考になればと思います。

「Jiraで脆弱性対策状況を見える効率的なIT運用を実現」

リックソフト株式会社　カスタマーサービス部部長　大塚和彦が登壇させていただきました。

なぜ？脆弱性対応をしなければならないのか？

脆弱性とは、パソコンやスマートフォンなどの端末などのOSやソフトウェアにおけるプログラムの不具合や設計上のミスが原因となって発生する情報セキュリティ上の欠陥のことをいいます。脆弱性はセキュリティホールとも呼ばれ、脆弱性が残された状態でパソコン等の機器を利用していると、不正アクセスに利用されたり、ウイルスに感染したりする危険性があります。

脆弱性は一度対策を施せば良いということではなく、次々と新しい脆弱性が発見されたり、ウイルスなどが誕生していきます。そのため、次の対策をする。また新しいのが見つかる。これらの繰り返しになります。脆弱性は完全に対策を施すことが困難な状態です。これでは疲弊してしまいますね。そのため、これらを管理していくことが必要になってきます。

この脆弱性対応のポイントには、

体制の整備
脆弱性検知
情報把握
ルール化
防止対策
脆弱性診断
対策実行

といくつかありますが、これらを一言でまとめると、「継続的な改善を行うプロセス」が必要ということです。
そのためには「報告」、「連絡」、「相談」といったコミュニケーションを取り合い、連携できる環境が必要になってきます。

脆弱性は放っておくと被害が拡大します。そのために脆弱性診断を行うRapid7などのツールなどの導入によりリスクを軽減できます。ただし、診断するだけでなく継続的にコミュニケーションを図った取り組みを行うことがとても重要になります。

解決手段

Atlassian製品の課題管理ツールであるJIRAと文書管理ツールであるConfluenceをこれらの脆弱性診断ツールを連携して運用すれば、継続的な脆弱性管理を実現できます。

下図は連携の一例になりますが、脆弱性を検知するとJIRAに課題として自動起票される例です。見つかった脆弱性はRapid7で診断を行い、再スキャン完了とならない限り、その脆弱性は対応済みとなりません。このように運用することで継続的な取り組みを実現できます。

また、jiraと連携することでメリットがあります。それは、

どのように解決したか履歴が残る
どの問題を、いつ行うかといった優先度を規定できる

例えば、上図の「未対応」で良いと判断した場合、これを誰が承認したかといった履歴が残ります。Jiraにはコメント機能があるので、未対応と判断した場合は、理由を「コメントに記載して承認依頼をした」と残しておくことができます。後の判断の場面でも、思い出せなかったり、どこかに記入したけどその場所が分からない、といったこともなく、非常に効率よく判断ができるようになります。

Jiraって、どういうツール？　Atlassian Jira Software

ここで、課題管理ツールであるJiraについて紹介させていただきます。