パスワード定期変更問題

そもそも情報セキュリティ関連の規程類の改定をしていない企業も多すぎて、もはや違うでしょというような内容も、そのまま掲載されたままになっていたりしますね～♪

パスワードも1か月とか90日とか、未だに変更をしている企業も多くて、むしろ変更後にパスワードを忘れたと情シスに泣きついてくる従業員も定期的に存在して、そんなときに情シスの有り難さがわかるとかなんとか…　情シスの存在意義にも繋がっていると組織上の問題にすり替えて解釈する変な人がいたりするところも…

結果的には、そのような企業は最新のセキュリティ知識などを取り込む活動をしていなかったりしますね。以前は国の機関や自治体などもそうでしたが、昨今は「政府機関等のサイバーセキュリティ対策のための統一基準群」の改定に合わせて、政府系の独立行政法人や自治体も含めて、順次それに沿った改定をしていますから、むしろ逆に民間の方がかなり遅れている印象をもっています。

まあ、改定履歴をみても部署異動やポスト長等の名称変更程度しか無く、文書内容の改定に至っていないところは、ほぼ規定に関するPDCAが全く回っていないと判断出来るのでは…　つまり、例えばここ２～３年で情報セキュリティ関係の規定内容を改定していないところは、多分、相次ぐランサム攻撃が発生している中で、特にバックアップ等に関する見直しや、その他、VPNに代表されるネットワーク機器の脆弱性に対する部分など手を加えたりしていないのでは…　改定している企業組織は管理徹底をより一層増した書き方にしているなど工夫しているはず。

まともに改定していれば、何らかのセキュリティに関する機関や業界関連の規程類を参照していると思われるので、それらの手本とする規程類が、NIST CSF2.0等を基に改定していると思うので、間接的にNIST CSF2.0等にもある程度準拠したような感じにはなるかと思いますが、そもそも改定すらできていないところは、昔のまま、今もパスワードを１か月で変更してくださいとか、PPAPを標準に使っているのかも知れませんね。

当然ながらそのような企業さんに出くわすと、個人的には言葉には出しませんが、そのような企業は、情シス含め情報セキュリティ意識が欠落していると思って感じ取っています。

まあ、皆さんの名の知れた大きな企業でも、結構セキュリティが杜撰なところは沢山見てきたので、大企業が良くて中小が悪いとは言い難く、むしろ中小の方がしっかりしているところもありますね。

実体験の違い問題

実際にサイバー攻撃の対象になった組織のCSIRT等で勤務した経験を持つ人と、今まで全くサイバー攻撃すら体験していない組織のCSIRT勤務者では、同じCSIRT勤務者でも随分セキュリティに対する認識が違うことを実感していたりする。

例えば、昨今のランサム被害を実際に受けた組織の人と、そうでない組織の人では、その考え方や緊急時の対応のシミュレーションがまるっきり違ったりする…

わたしからすると、こんな甘い状態で大丈夫かと思う実態でも、そこの責任者は、十分な対策をしていると言い張るが、果たして実際に遭遇したら右往左往して混乱するだろうと思うから言って上げているけど、やっぱり彼らには想像できないようで…

そのような企業に何らかのインシデントが発生しても、本人たちはその時に反省したりするのだろうけど、僕らの感覚では自業自得って感じがするかな〜♬

演習関係も考えないと…

警察庁の資料では、バックアップがきちんと取得できていても、そもそもそれから復元できないケースも多いようで…

つまりはバックアップが確実に取得できるだけでは、復元も確実であるとは言えない状態で、そもそも復元をしたことがなかったり、復元の机上確認すら経験のない組織が多すぎる。

結局、インシデントが発生し、バックアップへの期待が強まってから、はじめてマニュアルを読むということなのだろう…

多くのセキュリティ演習は、机上訓練といっても防御関係か、連絡系統関係の確認程度で終わっているのが現状と思われ、しっかりと事業継続可能な重要な復元部分には、あまり注意が払われていない…　
また連絡関係であっても、机上で連絡や伝達が確実に伝わっていることを前提に訓練してたりするけど、実際に発生する時は、たまたまセキュリティの担当者やCISO等が出張や休暇時などもあったり、訓練に参加したこともないような人が、どう情報をエスカレーションするのかわからなかったり、PCでファイルサーバーの文書を見てから判断しようとしても、そのPCが影響を受けて、紙で残していないので、何も参照できなかったなど、色んな不都合が重なるもので…

まあ従業員や経営層だけでなく、インシデント対応するCSIRT要員もそれなりに訓練しておかないと…

企業のセキュリティの精鋭を集めて、インシデント演習などを請け負っている団体も、今後は２～４日の演習にして、最初の日にNIST CSF2.0等のレクチャーを一通りした後に、やや実態に近い演習環境を用いて、個々の演習対応を一通り実施した後に、３日目の午前中に、その演習環境そのものをランサム攻撃が行われた想定で、いや実際に起こしてみて、そのクローズドな環境のなかで実際に、いきなり参加者に即応させてみるというのをやると良いように思ったり…

３日目の午後にまでに初期対応がある程度出来るかどうか、実際に遭遇すると頭では理解していても、手が動かない人も多いかと…

まあ、昨今はランサム以外にMythos対策含め色々とセキュリティ強化をしなければならない状態ですが、それにしてもまだまだ日本企業は危機感も少なく、対策も甘いように思いますね…

最近、あまりに民間でもひどすぎるので、セキュリティコンサルで色々とお知恵をお出しするのも個人的に馬鹿らしく感じてしまってます。

そろそろコンサルじゃなくて、また事業会社側等に戻ろうかと思ったり…
自分で適切なサイバーセキュリティ対策を施せるような組織の方が、自分の技量も活かせるのかもと思うようになってきました〜♬