「PSIRT徹底解説」製品セキュリティ統括組織PSIRTの全貌を解き明かす：PSIRTの全体像

PSIRTの関係者

製品に起きるインシデントも多様であることから、関係者（ステークホルダー）も問題の内容によって色々な形に変化します。いつ問題が起きるか分からないため、関係者とはさまざまなインシデントに備えて、いつでも連絡が取れる関係を構築しておくことが重要になります。

関係構築に際してまず大事なのは、各関係者は通常それぞれの目的で別の業務を担当していることから、PSIRTとは異なる事情やニーズ、優先事項があることを理解することです。その上で、「誰と」「何のために」「どのように」連絡を取ればよいかを明確にしておくことが肝要となります。下図は、組織内部の部門および外部の関係者について、その概略を示したものです。では、どのような関係者との接点が必要かについて簡単に解説します。

1. 組織内部の関係者

PSIRTの主要な業務となるインシデント対応活動は、緊急的かつ部門横断的な組織活動であり、他部門の担当者に対して通常業務以外の業務を依頼することが必要となる場合もあります。このような活動を進めるには、経営層の理解と支援が必要です。したがって、組織内部の関係者の中でもリーダーである経営層は特別な関係者と言え、経営層の理解や支援を形式的にも実質的にも確実に取り付けておくことが肝要となります。

次に、実際のオペレーションの目線で考えてみましょう。PSIRTは、セキュリティに関する脆弱性情報を受領した場合に備えて、あらかじめ「誰と連絡を取り」「何を伝えるか」という連絡ルートを明確にし、問題発生時にはすぐにそのとおりに動ける態勢を整えておくことが重要です。例えば、脆弱性情報を受領したPSIRTは、該当する製品の連絡先が品質保証部門なのか、設計部門なのかを明確にできていないと、連絡先を探すことから始めることになってしまい、問題解決の初期段階で躓いてしまいます。

PSIRTの役割と責任範囲の明確化も重要です。PSIRTは、連絡窓口や問題のクロージングまでの進捗管理だけを担当するのか、技術的な該非確認も行うのか、製品の品質保証部門にどのタイミングで担当を引き継ぐのか、といったことを定めることが求められます。

また、問題の内容が「製造過程で混入した脆弱性かもしれない」という分析結果だった場合は、製造部門との連絡も必要になりますし、事業に大きく影響する可能性のある問題の場合は、製品を担当する事業責任者や全社のリスク管理部門の対応判断も必要になります。さらに、対外発表が必要となるケースを想定すると、ユーザへの何らかの謝罪や弁済に備えた法的手続きを協議するために広報部門や法務部門などとも連携する必要が出てきます。

セキュリティに関する情報には社内CSIRT³も日頃から接しています。対処する問題の対象や内容が異なるとはいえ、セキュリティ知識のある専門チームですので、製品のインシデント対応においても知識を共有してもらえる関係を築いておくことも大事になります。このように、社内のあらゆる部門と連携できる関係の構築が求められます。

2. 外部の関係者

外部との関係において、PSIRTはその組織を代表する窓口となって、セキュリティ関係者と情報をやりとりすることになります。PSIRTが対応する主な社外関係者は以下のとおりです。

• セキュリティの研究者や専門家などの脆弱性情報の報告者
• 通知された情報どおりに問題が発現するかの確認作業を外部委託する場合のセキュリティ評価者
• 提供する製品の業界特有のインシデントに関する情報を共有するISAC⁴
• 新たな脆弱性を発見した際の報告先であり、世界の脆弱性情報（公開前のもの含む）をJPCERT/CC⁵と共有しているIPA⁶
• 重大な脆弱性が発覚して大規模なサービス停止や機器の回収などを要した際に報告する製品分野の監督官庁
• 提供する製品を購入頂いたユーザ（エンドユーザだけでなく、製品を提供した納品先も含む）
• インシデント対応の際に、問題の特定や対処に協力してもらう、製品を構成するハードウェアやソフトウェアのコンポーネントを納品したサプライヤ

このような外部関係者とも日頃から情報交換を通じて信頼関係を築いておき、いざ問題が発覚した場合に協力的に支援してもらえるようにしておくことが重要です。

まとめ

以上のように、PSIRTは、脆弱性に関する情報の入手に始まり、改修版とセキュリティ問題に関する情報をリリースしていく一連の流れを、社内だけでなく社外の関係者と必要な情報を共有しながら遅滞なく適切に遂行することが求められます。この基本的な流れを実行できれば、PSIRTの形態は、各社の文化や体制に合った形態を選択してよいのです。

次回は、PSIRTがまず備えるべきの機能（脆弱性対応編）について解説する予定です。