SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

CodeZine編集部では、現場で活躍するデベロッパーをスターにするためのカンファレンス「Developers Summit」や、エンジニアの生きざまをブーストするためのイベント「Developers Boost」など、さまざまなカンファレンスを企画・運営しています。

Women Developers Summit 2022 セッションレポート(PR)

プロダクトの安全のために「攻め」の脆弱性診断と「守り」のSensor監視に取り組むPSIRTの日々

【B-4】セキュリティ技術者として大切にしていること、攻めと守り、仕組みづくりの視点から

  • このエントリーをはてなブックマークに追加

 2022年1月からfreeeにジョインした越智郁氏。Product Security Incident Response Team(以下、PSIRT)に所属し、プロダクトのサービスを守る仕事をしている。PSIRTの日々の運用と、具体的な業務となる攻めの「脆弱性診断」と守りの「Sensor監視」について解説する。前職のWebアプリケーション診断から、現職に転向した理由についても語る。

  • このエントリーをはてなブックマークに追加

セキュリティだけでなく「DevSecOpsの取り組み」を作るfreeeのPSIRT

 freeeは、「スモールビジネスを、世界の主役に。」をミッションにクラウド会計ソフトを提供している。常に新しいサービスやプロダクトを積極的に開発しており、最近ではクラウド型販売管理ソフト「freee販売」やインボイス制度に対応した請求書を無料で作成できるサービス「freee請求書」をリリースした。

 そのfreeeに2022年1月にジョインしたのが越智郁氏。「今日はセキュリティ技術者として大切にしていること、攻めと守り、仕組み作りの視点からお話しします」と切り出した。前職ではWebセキュリティ企業でWebアプリケーションの脆弱性診断をしており、freeeではPSIRT(Product Security Incident Response Team)を務めている。まずは攻めにあたる脆弱性診断から業務を始め、後にGitHub audit logを監視する仕組み作りや、守りにあたるSensor監視も手がけるようになった。

 PSIRTはプロダクトのサービスを守るのが責務だ。freeeにおけるプロダクトとは、顧客の活動に関するデータに何らかの処理を行うことで、顧客のビジネスを支援するものとなる。越智氏は「お客様からお預かりした情報は企業活動そのものであり、非常に価値があり、攻撃者が狙ってきます」と話す。そうした攻撃に対応するのがfreeeのPSIRTになる。

freee株式会社 越智 郁氏
freee株式会社 PSIRT 越智 郁氏

 セキュリティチームというと異常を検知してからインシデントに対応するというイメージがありがちだが、越智氏によるとfreeeのPSIRTは「DevSecOpsの取り組み」と言ってもいいそうだ。開発と運用の流れの中で自然とセキュリティも埋め込まれており、そのための仕組み作りも含む。

 日々の運用では、基本的には下図のようなループを回している。後述するSensor監視は担当者が集まり分析する「もくもく会」に該当し、そこで分かった状況やセキュリティ動向で気になることを週次でCSIRT(Computer Security Incident Response Team)とPSIRTで情報共有し、改善につなげている。もしインシデントが起きればハンドリングを行い、足りないものに気づいたら改善や備えを加えていく。

日々の運用
日々の運用

 なおfreeeにおけるPSIRTは、社員全体の割合から見ると1%の規模となる。女性は2人。組織で見ると、CISOの配下にCSIRTとPSIRTがあるという構成だ。

次のページ
攻めの脆弱性診断:ツールと手動と内部ならではのアプローチ

関連リンク

この記事は参考になりましたか?

  • このエントリーをはてなブックマークに追加
Women Developers Summit 2022 セッションレポート連載記事一覧

もっと読む

この記事の著者

CodeZine編集部(コードジンヘンシュウブ)

CodeZineは、株式会社翔泳社が運営するソフトウェア開発者向けのWebメディアです。「デベロッパーの成長と課題解決に貢献するメディア」をコンセプトに、現場で役立つ最新情報を日々お届けします。

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

加山 恵美(カヤマ エミ)

フリーランスライター。茨城大学理学部卒。金融機関のシステム子会社でシステムエンジニアを経験した後にIT系のライターとして独立。エンジニア視点で記事を提供していきたい。EnterpriseZine/DB Onlineの取材・記事や、EnterpriseZine/Security Onlineキュレーターも担当しています。Webサイト:http://emiekayama.net

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

  • このエントリーをはてなブックマークに追加
CodeZine(コードジン)
https://codezine.jp/article/detail/16845 2023/01/11 12:00

おすすめ

アクセスランキング

アクセスランキング

イベント

CodeZine編集部では、現場で活躍するデベロッパーをスターにするためのカンファレンス「Developers Summit」や、エンジニアの生きざまをブーストするためのイベント「Developers Boost」など、さまざまなカンファレンスを企画・運営しています。

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング