暗号資産の保管
コールドウォレットとホットウォレットの使い分け、秘密鍵の生成・保管・利用の手順と権限の分離、出金の承認フロー。鍵に触れられる人と場面を絞り、すべての操作を記録に残します。
これまで手を動かしてきたこと。
情報システム部門を立ち上げ、運用してきました。IT資産・ライセンス・アカウントの管理体制、ヘルプデスクとキッティングの体制、ISMS認証の取得と運用、個人情報保護法への対応、セキュリティインシデントへの対応。いずれも外から助言するのではなく、中に入って回してきた仕事です。
法務の側からも守りを見てきました。規程と契約、委託先の管理、紛争への対応。技術の対策と、規程・契約による対策がずれていると、監査で必ず指摘されます。両方を同じ人間が設計できることが、当社の守りの特徴です。
金融領域のセキュリティ。
金融・フィンテック・暗号資産の事業者とご一緒してきました。規制の厳しい業種では、セキュリティは事業の許可そのものに関わります。法的な整理とセキュリティを一体で見て、求められる水準を事業の速度を落とさない統制へ翻訳し、審査で説明できる記録の形まで整えます。
暗号資産・Web3・金融系のスキームについて、法的な整理を行ってきました。何が規制の対象になり、どこに説明責任が生じるかを先に押さえてから、守る範囲と記録の形を決めます。
オンライン本人確認（eKYC）
犯罪収益移転防止法に沿った確認方法の選び方、取得した本人確認書類の保管とアクセス管理、委託先の確認。本人確認の流れと、そこで集めた個人情報の守り方を一緒に設計します。
守りは、設計の段階で決める。
システムを作る前に、守る対象と境界を決めます。誰がどのデータに触れてよいかを権限の表に落とし、データベース、アプリケーション、ネットワークのそれぞれで同じ制限を重ねて掛けます。1か所が破られても、次の層で止まる形にします。
秘密の値は1か所にしか置かず、記録や画面に出さない。重要な操作には理由と実行者を残す。失敗したときは安全な側に倒れる。この原則を、設計書の段階で決めておきます。
AIを使って、守りを回し続ける。
自社のシステムは、AIと組んで設計し、作り、点検しています。そこで回しているサイクルを、そのままお客様の環境に持ち込みます。
設計をレビューする
設計書の段階で、作る側とは別のAIに権限・境界・秘密の扱いを点検させます。指摘が無くなるまで直してから作り始めます。
変更のたびに点検する
コードを変えるたびにAIのレビューを通し、指摘が0件になるまで直します。点検を通らない変更は、本番に出さない仕組みにしています。
検査が効くことを確かめる
違反をわざと入れて、検査が落ちることを見てから合格と数えます。
攻める側から試す
診断とペネトレーションテストで、実際に破れるかを確かめます。
学びを戻す
見つかった問題は原因まで掘り下げて記録し、チェックリストと自動の検査に加えます。同じ穴を二度開けないためです。
AIは見落としを減らす道具であって、判断の代わりではありません。何を許し、何を止めるかは人が決め、AIにはその決定が守られているかを確かめさせます。
実際に破れるかを、確かめる。
設定や規程の上で守れているはずのものが、実際に守れているかを外から確かめます。Webアプリケーションやクラウドの設定、アカウントと権限の設計を対象に、脆弱性の診断と、攻撃者の立場で侵入を試みるペネトレーションテストを行います。
実施の範囲と方法は、事前に書面で合意してから行います。
見つかった問題は、深刻度と直し方を添えて報告します。報告で終わらせず、修正の確認と、同じ問題を自動の検査で拾える形にするところまで引き受けます。
ISMSは、取って終わりにしない。
認証を取って終わりにしません。適用範囲の決定から、情報資産の洗い出し、リスクアセスメント、適用宣言書、規程と教育、運用と記録、内部監査、マネジメントレビュー、是正までを1年の流れとして組みます。
日次・週次・月次・四半期・年次の作業を1つのカレンダーにまとめ、リスクアセスメント、内部監査、マネジメントレビューを正しい順序で回します。教育の受講記録や、アカウントと端末の点検結果は、そのまま証跡として台帳に残ります。
審査の前に慌てて記録を作る運用は続きません。日々の業務から記録が自然に残る形にしておけば、審査は確認の場になります。
統合管理基盤を、1つの設計で提供します。
アカウント、端末、パスワード、ISMSの台帳を、別々の製品として入れるのではなく、1つの管理基盤として設計し、ご提供します。既製のIdPやMDMと組み合わせ、設計と構築から運用の代行までを引き受けます。
ID管理（IdP）
IdPを本人と所属の正本に据えます。入社・異動・退職に合わせて、アカウントとライセンスを付与し停止する手順を設計します。Google WorkspaceをIdPとする構成を中心に組みます。
端末管理（MDM）
端末の暗号化・画面ロック・OS更新の状態を集め、準拠しているかを一覧で示します。OSの更新や設定の配布は、管理者の認可と記録をセットにして行います。
パスワード管理
共有の資格情報を保管庫へ集めます。管理画面にパスワードそのものを置かず、誰がいつ使えるかだけを管理します。保管庫は暗号化したバックアップを別の場所に置き、別環境への復元を試験してから運用に入ります。
ISMS・リスク台帳
資産・リスク・管理策・証跡を同じ台帳で持ちます。端末とアカウントの状態が、そのまま管理策の証跡になります。
紛失と退職の手順を1本にします。セッションの失効、アカウントの停止、端末の回収を同じ手順で行い、行ったことが記録に残ります。
読めない状態を、問題なしとは表示しません。確認できていないものは確認できていないと示すことが、管理基盤の最低条件だと考えています。
統制が効いているかを、毎日機械で確かめる。
規程に書いたことが現場で守られているかを、人の申告ではなく、アカウントと端末の実際の状態から確かめます。点検は自動で回し、外れたものだけが人の手元に届きます。
アカウント
すべてのアカウントで多要素認証が有効か。退職者に権限が残っていないか。強い権限を求める外部連携アプリが承認を経ているか。検索で見つかる状態の共有資料が無いか。
端末
ディスクの暗号化、画面ロック、ウイルス対策やEDR、ファイアウォールが有効か。サポートの続くOSで、セキュリティパッチと自動更新が保たれているか。管理者権限を持つアカウントが絞られているか。承認していないアプリが入っていないか。端末からの報告が途絶えていないか。
運用
期限の切れた例外が放置されていないか。各サービスとの連携が止まっていないか。展開した規程が標準から動いていないか。経営責任者が定められているか。
点検そのものが効いているかも確かめます。違反をわざと入れて点検が落ちることを見てから、合格と数えます。通ったことを、守れていることと取り違えないためです。
起きたときに、止めて、記録して、直す。
インシデントへの対応は、技術と法務を同時に動かす仕事です。影響の範囲を切り分け、該当するアカウントの停止やセッションの失効で被害の広がりを止めます。何がいつ起きたかを時系列で記録し、原因を突き止めて是正し、同じことが起きない仕組みに戻します。
個人情報保護法などに照らした報告の要否、取引先や委託先との契約上の連絡、社内外への説明の整理まで、法務の側から一緒に引き受けます。
正本を決めてから、仕組みを入れる。
現状の点検
アカウントの設定と端末の状態を点検し、規程と実態の食い違いを洗い出します。
正本を決める
本人と所属はIdP、端末は端末台帳、ルールは規程、と置き場所を決めます。
統制を入れる
多要素認証や暗号化などの統制を入れ、自動の点検に載せます。
年間で回す
ISMSの年間サイクルに乗せ、記録が日々残る運用にします。
渡す
移行期は当社が運用を代行し、立ったら現場へ渡します。
守りの現状を、一緒に棚卸しします。
セキュリティ設計の見直し、診断やペネトレーションテスト、ISMSの取得や更新、端末とアカウントの管理、インシデントへの備え、金融領域の審査への備え、いずれもご相談ください。
相談する サイバー攻撃の動向を見る