サイバーセキュリティ人材育成への考察（後編）...2 •...

2015.12.7

産業横断サイバーセキュリティ人材育成検討会事務局

NTT 川村

【取扱注意】

産業横断ｻｲﾊﾞｰｾｷｭﾘﾃｨ人材育成検討会事務局

1

サイバーセキュリティ人材育成への考察（後編）

～まず自分達を知ることから～

資料２－４

【取扱注意】


2

• 経団連「サイバーセキュリティに関する懇談会」の提言（2015.2.17）

を受けて発足（ＮＴＴ、ＮＥＣ、日立製作所が発起人・事務局）

• 産業界で必要なサイバーセキュリティ人材・人材育成を検討– 情報交換、ユーザ企業勉強会

（産産連携の仕組み醸成を期待）

– 企業内セキュリティ活動・教育プログラム等の共有・連携

（費用負担の軽減等を期待）

– 人材像定義～人材育成の在り方

各社、各業界に必要なセキュリティ能力の明確化

• 重要インフラ業界中心に４３社が参加（2015.11.26現在）

情報通信：６、金融：７、航空：１、鉄道：３、電力：１、ガス１、医療：１、物流：２、

化学：１、クレジット：１、石油：１、製造：１０、商業：１、サービス：６、流通：１

「産業横断サイバーセキュリティ人材育成検討会」

【取扱注意】


「産業横断サイバーセキュリティ人材育成検討会」

2015年度 2016年度2Q 3Q 4Q 1Q

7 8 9 10 11 12 1 2 3 4 5 6

メンバ企業各社各企業内、各業界内での取り組みに展開

全体会議（月1回）

（情報共有&WGエッセンス共有）

○各社プレゼンによる取り組み事例紹介等例）標的型攻撃に対する社内取り組み、インシデント対応の社内ルール、

金融ISACの取り組み etc.

○人材定義WGを踏まえた人材育成議論・自社でできること、外部に頼ること・育成と雇用・学への期待、官への期待etc.

ユーザ企業向け勉強会（月2回）

（関心テーマの知識底上げ）

人材定義WG（月1回）

（ｱｳﾄﾌﾟｯﾄを意識した各テーマ討議）

○業界毎の守るべき対象整理と必要な人材像定義・守るべき対象の整理（業界共通、個別）・必要な人材像（職種、役割）・必要なスキルとレベル

○人材像定義に基づくギャップ分析（現状と悩み）・業界毎の人材育成の現状と課題・官や学の取り組みの理解と連携議論etc.

・制御システムのセキュリティ・CSIRT活動・リスク分析・守るべき情報資産の整理etc.

・ICT企業から見たユーザ企業（委託元）に求める人材・ユーザ企業が保有すべき人材・業界毎の人材育成の現状と課題etc.

ﾌｪｰｽﾞ1：人材像定義（→経団連にｲﾝﾌﾟｯﾄ）ﾌｪｰｽﾞ2：産業界としての取り組み検討

3

【取扱注意】


4

検討アプローチ

• 産業界（特にユーザ企業）の視点が重要– セキュリティ雇用増につながる専任管理者（専門職）の育成

– 各組織の一般管理者に対するセキュリティ知識レベル底上げ

• 日本企業が必要とする人材の多様性– ＩＣＴ企業と非ＩＣＴ系ユーザ企業の違い

– ＣＳＯ、ＣＩＳＯの在り方を考え直す

– ＣＩＳＯを支える“橋渡し人材”の必要性

– アウトソースとインソース

– 育成と雇用のエコシステム

– 産学連携の在り方

• まずは人材像定義から– 産業横断の実態把握に基づく検討

日本企業におけるサイバーセキュリティ人材像の定義に向けて

• 機能（ログ分析、マルウェア解析など）で定義しても、機能対応の職種はなく、採用活動の基準にはならない

• 海外で使われている職種（分析官、フォレンジックなど）で定義しても、日本ではその職種で採用する企業がいない

• セキュリティ機能は、本業を持つ管理者、技術者に少しずつ分散して担われている

• 産業界で必要な人材像を定義し、その定義に則した人材育成を教育機関に託したい（雇用につながる人材育成）

• 各業界の企業におけるセキュリティ業務と担当者を抽出– 複数担当者のセキュリティ業務を一つに括りなおすと、一つの職種が導

き出せるかもしれない

– 一つに括りなおせないセキュリティ業務は、企業にとって注力すべき育成スコープとなる

【取扱注意】


5

日本企業におけるサイバーセキュリティ関連機能（本検討会調べ）

6

部門機能機能詳細セキュリティ（概念の）

提供運用・保守守備・防衛操作運用・情報収集分析監督と開発 ID 特定 PR 防御 DE 検知 RS 対応 RC 復旧

1 1 1 IT企画 IT戦略セキュリティ対策

中期計画1 1

情報保証コンプライアンス

5 3サイバーオペレーション

計画BE ビジネス環境


年次計画1 1





事業戦略1 1



計画GV ガバナンス


事業戦略RM リスク管理戦略

1 2 4 IT企画システム企画セキュリティ対応

コスト管理1 4 システム要件計画


事業戦略1 4 システム要件計画 5 3

サイバーオペレーション計画

7 5 戦略的なポリシー策定 BE ビジネス環境 RP 復旧計画の作成


機能構想1 2

ソフトウェア保証とエンジニアリング

RM リスク管理戦略 IP情報を保護するための

プロセス及び手順


機能構想1 6 技術研究開発 PT 保護技術

9 11 25 セキュリティ事業継続 IT-BCP 5 3サイバーオペレーション

計画RM リスク管理戦略 IP

情報を保護するためのプロセス及び手順 CM

セキュリティの継続的なモニタリング RP 対応計画の作成 RP 復旧計画の作成

9 11 26 セキュリティ事業継続ディザスタリカバリ 5 3サイバーオペレーション




9 12 27 セキュリティ予防対策情報セキュリティ/ISMS 1 1情報保証コンプライアン

スRM リスク管理戦略 IP



3 5 11 基幹システム構築構築・実装セキュリティ

機能改善1 5

システムセキュリティアーキテクチャ

RA リスクマネジメント PT 保護技術

3 5 12 基幹システム構築構築・実装セキュリティ導入

・開発計画Ⅰ1 4 システム要件計画 5 3


RM リスク管理戦略


・開発計画Ⅱ1 5


RA リスクマネジメント

4 5 13 インフラ構築構築・実装セキュリティ対応

PJ管理1 3 システム開発 5 2 サイバーオペレーション 7 2

情報システムセキュリティオペレーション RM リスク管理戦略 AT

意識向上およびトレーニング

4 5 14 インフラ構築構築・実装セキュリティサービス

・製品　品質管理1 7 試験と評価 5 3



5 6 15 基幹システム運用アプリケーション管理アプリケーションバージョン管理

1 2ソフトウェア保証とエン

ジニアリングAM 資産管理 MA 保守 IM 改善

5 6 16 基幹システム運用アプリケーション管理セキュリティ製品

機能評価Ⅰ2 5

システムアドミニストレーション


計画7 2

情報システムセキュリティオペレーション


機能評価Ⅱ1 5


2 6システムセキュリティ分

析RA リスクマネジメント PT 保護技術

7 8 19 インフラ運用データベース管理データ管理Ⅰアクセス管理

2 2データアドミニストレー

ションAC アクセス制御

7 8 19 インフラ運用データベース管理データ管理Ⅱ

データセキュリティ2 2

データアドミニストレーション

RA リスクマネジメント DS データセキュリティ IM 改善

7 8 19 インフラ運用データベース管理データ管理Ⅲデータ構成等

2 3ナレッジ

マネジメントIP

情報を保護するためのプロセス及び手順

7 8 20 インフラ運用データベース管理DB機器管理バージョン等

1 7 試験と評価 MA 保守 IM 改善

7 9 21 インフラ運用ネットワーク管理通信環境管理

Firewall / WAF1 5


2 4 ネットワークサービス MA 保守 IM 改善

7 9 22 インフラ運用ネットワーク管理通信監視Ⅰ

IDS1 5


3 2コンピューターネット

ワーク防御インフラ支援 CMセキュリティの継続的

なモニタリング

7 9 22 インフラ運用ネットワーク管理通信監視Ⅱ

IPS1 5



ワーク防御分析5 1 情報収集オペレーション AE 異常とイベント

9 12 28 セキュリティ予防対策 SOC 2 3ナレッジ

マネジメント3 1

コンピューターネットワーク防御分析

5 1 情報収集オペレーション 6 1 全情報源の諜報活動 RA リスクマネジメント IP情報を保護するための

プロセス及び手順 CMセキュリティの継続的

なモニタリング CO 伝達 CO 伝達

6 7 17 運用テスト運用テストセキュリティ対策

導入テスト環境構築1 7 試験と評価 5 3


PT 保護技術


導入テスト実施評価1 7 試験と評価 PT 保護技術

8 10 23 権限管理権限管理 ID管理 IP情報を保護するための


8 10 24 権限管理権限管理アクセス権管理 AC アクセス制御

11 15 36 ユーザーサポートユーザーサポートユーザーサポート 2 1カスタマーサポート &技

術サポート7 1 教育と訓練 AT


11 16 37 ユーザーサポートヘルプデスクヘルプデスク 2 1カスタマーサポート＆技



9 12 28 セキュリティ予防対策情報収集活動 / PoC 2 3ナレッジ

マネジメント5 1 情報収集オペレーション 6 1 全情報源の諜報活動 CM

セキュリティの継続的なモニタリング CO 伝達 CO 伝達

9 13 29 セキュリティ事後対応インシデントハンドラー 3 3 インシデントレスポンス 5 2 サイバーオペレーション 6 3 ターゲット 7 2情報システムセキュリティ

オペレーションRA リスクマネジメント AE 異常とイベント IM 改善 IM 改善

9 13 30 セキュリティ事後対応アナリスト

（対応プロセス）1 5



析3 4

脆弱性アセスメントと管理


計画6 4 脅威分析 RM リスク管理戦略 AE 異常とイベント MI 提言


（脅威分析）1 5



ワーク防御分析6 2 エクスプロイト分析 PT 保護技術 DP 検知プロセス AN 分析


（訓練計画）2 1

カスタマーサポート &技術サポート

6 3 ターゲット 7 4セキュリティプログラム

管理AT

意識向上およびトレーニング IM 改善

9 13 33 セキュリティ事後対応フォレンジックⅠ 1 7 試験と評価 4 1 デジタルフォレンジック AN 分析

9 13 33 セキュリティ事後対応フォレンジックⅡ 4 2 捜査 AN 分析

2 3 7 調達ベンダー管理セキュリティ企業

与信管理7 3 法的助言と弁護

2 3 8 調達ベンダー管理委託先管理品質管理


ジニアリング7 4

セキュリティプログラム管理

2 4 9 調達調達セキュリティ企業

ベンダー調達AM 資産管理 AT


2 4 10 調達調達セキュリティサービス

・製品調達1 2


AM 資産管理

10 14 34 システム監査システム監査セキュリティ監査 2 6システムセキュリティ分

析4 2 捜査 5 3


7 3 法的助言と弁護 CO 伝達

10 14 35 システム監査システム監査システム監査 2 6システムセキュリティ分

析4 2 捜査 7 3 法的助言と弁護 CO 伝達

情報システム部門の機能分化の例 NICE　/　サイバーセキュリティ教育イニシアティブ NIST / サイバーセキュリティフレームワーク

【取扱注意】


情ｼｽ部門のｾｷｭﾘﾃｨ機能 NICE/ｻｲﾊﾞｰｾｷｭﾘﾃｨ教育ｲﾆｼｱﾃｨﾌﾞｻｲﾊﾞｰｾｷｭﾘﾃｨﾌﾚｰﾑﾜｰｸ/NIST

7

部門機能機能詳細セキュリティ（概念の）

提供運用・保守守備・防衛操作運用・情報収集分析監督と開発 ID 特定 PR 防御 DE 検知 RS 対応 RC 復旧


中期計画1 1





年次計画1 1





事業戦略1 1



計画GV ガバナンス


事業戦略RM リスク管理戦略


コスト管理1 4 システム要件計画


事業戦略1 4 システム要件計画 5 3


7 5 戦略的なポリシー策定 BE ビジネス環境 RP 復旧計画の作成


機能構想1 2


RM リスク管理戦略 IP情報を保護するための



機能構想1 6 技術研究開発 PT 保護技術

9 11 25 セキュリティ事業継続 IT-BCP 5 3サイバーオペレーション




9 11 26 セキュリティ事業継続ディザスタリカバリ 5 3サイバーオペレーション




9 12 27 セキュリティ予防対策情報セキュリティ/ISMS 1 1情報保証コンプライアン

スRM リスク管理戦略 IP



3 5 11 基幹システム構築構築・実装セキュリティ

機能改善1 5


RA リスクマネジメント PT 保護技術


・開発計画Ⅰ1 4 システム要件計画 5 3


RM リスク管理戦略


・開発計画Ⅱ1 5



4 5 13 インフラ構築構築・実装セキュリティ対応

PJ管理1 3 システム開発 5 2 サイバーオペレーション 7 2

情報システムセキュリティオペレーション RM リスク管理戦略 AT


4 5 14 インフラ構築構築・実装セキュリティサービス

・製品　品質管理1 7 試験と評価 5 3



5 6 15 基幹システム運用アプリケーション管理アプリケーションバージョン管理


ジニアリングAM 資産管理 MA 保守 IM 改善


機能評価Ⅰ2 5

システムアドミニストレーション


計画7 2

情報システムセキュリティオペレーション


機能評価Ⅱ1 5



析RA リスクマネジメント PT 保護技術

7 8 19 インフラ運用データベース管理データ管理Ⅰアクセス管理

2 2データアドミニストレー

ションAC アクセス制御

7 8 19 インフラ運用データベース管理データ管理Ⅱ

データセキュリティ2 2

データアドミニストレーション

RA リスクマネジメント DS データセキュリティ IM 改善

7 8 19 インフラ運用データベース管理データ管理Ⅲデータ構成等

2 3ナレッジ

マネジメントIP

情報を保護するためのプロセス及び手順

7 8 20 インフラ運用データベース管理DB機器管理バージョン等

1 7 試験と評価 MA 保守 IM 改善

7 9 21 インフラ運用ネットワーク管理通信環境管理

Firewall / WAF1 5


2 4 ネットワークサービス MA 保守 IM 改善

7 9 22 インフラ運用ネットワーク管理通信監視Ⅰ

IDS1 5



ワーク防御インフラ支援 CMセキュリティの継続的

なモニタリング

7 9 22 インフラ運用ネットワーク管理通信監視Ⅱ

IPS1 5



ワーク防御分析5 1 情報収集オペレーション AE 異常とイベント

9 12 28 セキュリティ予防対策 SOC 2 3ナレッジ

マネジメント3 1

コンピューターネットワーク防御分析

5 1 情報収集オペレーション 6 1 全情報源の諜報活動 RA リスクマネジメント IP情報を保護するための

プロセス及び手順 CMセキュリティの継続的

なモニタリング CO 伝達 CO 伝達


導入テスト環境構築1 7 試験と評価 5 3


PT 保護技術


導入テスト実施評価1 7 試験と評価 PT 保護技術

8 10 23 権限管理権限管理 ID管理 IP情報を保護するための


8 10 24 権限管理権限管理アクセス権管理 AC アクセス制御

11 15 36 ユーザーサポートユーザーサポートユーザーサポート 2 1カスタマーサポート &技



11 16 37 ユーザーサポートヘルプデスクヘルプデスク 2 1カスタマーサポート＆技



9 12 28 セキュリティ予防対策情報収集活動 / PoC 2 3ナレッジ

マネジメント5 1 情報収集オペレーション 6 1 全情報源の諜報活動 CM

セキュリティの継続的なモニタリング CO 伝達 CO 伝達

9 13 29 セキュリティ事後対応インシデントハンドラー 3 3 インシデントレスポンス 5 2 サイバーオペレーション 6 3 ターゲット 7 2情報システムセキュリティ

オペレーションRA リスクマネジメント AE 異常とイベント IM 改善 IM 改善


（対応プロセス）1 5



析3 4

脆弱性アセスメントと管理


計画6 4 脅威分析 RM リスク管理戦略 AE 異常とイベント MI 提言


（脅威分析）1 5



ワーク防御分析6 2 エクスプロイト分析 PT 保護技術 DP 検知プロセス AN 分析


（訓練計画）2 1

カスタマーサポート &技術サポート

6 3 ターゲット 7 4セキュリティプログラム

管理AT

意識向上およびトレーニング IM 改善

9 13 33 セキュリティ事後対応フォレンジックⅠ 1 7 試験と評価 4 1 デジタルフォレンジック AN 分析

9 13 33 セキュリティ事後対応フォレンジックⅡ 4 2 捜査 AN 分析

2 3 7 調達ベンダー管理セキュリティ企業

与信管理7 3 法的助言と弁護

2 3 8 調達ベンダー管理委託先管理品質管理


ジニアリング7 4

セキュリティプログラム管理

2 4 9 調達調達セキュリティ企業

ベンダー調達AM 資産管理 AT


2 4 10 調達調達セキュリティサービス

・製品調達1 2


AM 資産管理

10 14 34 システム監査システム監査セキュリティ監査 2 6システムセキュリティ分

析4 2 捜査 5 3


7 3 法的助言と弁護 CO 伝達

10 14 35 システム監査システム監査システム監査 2 6システムセキュリティ分

析4 2 捜査 7 3 法的助言と弁護 CO 伝達

情報システム部門の機能分化の例 NICE　/　サイバーセキュリティ教育イニシアティブ NIST / サイバーセキュリティフレームワーク

【取扱注意】


※セキュリティ機能が

多数の部門に分散

日本企業におけるサイバーセキュリティ関連機能（本検討会調べ）

日本企業におけるセキュリティ機能の分布（本検討会調べ）

【取扱注意】


アウトソーシング例（子会社・専門業者）中期計画年次計画事業戦略

IT企画機能構想コスト管理

IT-BCP

導入・開発計画

システムセキュリティ

対応PJ

アプリケーションver

管理

DBアクセス管理

通信環境管理

FW/WAF

通信監視IDS

SOC

ユーザーサポート

ID管理

アクセス権管理

DB機器ver管理

DBデータ構成管理

システム監査

セキュリティ監査

調達ヘルプデスク

情報セキュリティ/ISMS

ディザスタリカバリ

導入テスト環境構築

導入テスト実施評価

セキュリティ製品機能評価

セキュリティ製品品質管理

DBデータセキュリティ

通信監視IPSCSIRT

機能改善

8

※セキュリティ機能が

多数の業務に分散

高校、高専

大学、大学院

非ＩＣＴ企業

ユーザ企業

ＩＣＴ企業

セキュリティ企業

産

必要な人材の定義

雇用の推進処遇の見直し

キャリアパス設計

産産連携強化

学

人材発掘（情報系以外）

望まれる人材育成のカリキュラム作成

育成環境

大学間連携

セキュリティ知識高度化

社会人教育

セキュリティ基礎知識習得

人材育成、発掘

セキュリティ人材採用

潜在的人材の配置転換・スキル向上

セキュリティ人材採用

OJT受け入れ

進学

就職交流

講師

講師

就職

社会人入学

サイバーセキュリティ人材育成エコ・システム（イメージ）

9

【取扱注意】


ユーザ企業においても雇用・採用に結びつく人材像定義と人材育成に向けて

ｾｷｭﾘﾃｨ･ｱｳﾄｿｰｽ

就職就職

セキュリティ人材配置の義務化

資格制度予算支援

官共通のモノサシ

（人材の見える化）

教育機関との連携（産学連携）イメージ

【取扱注意】


10

• ２０１５年度はメンバー企業の寄付講座など、教育機関との連携をとりまとめ、来年度に向けた産業界として一貫性ある取り組み方を検討中

• 大学に限らず高専との連携も有効と考え検討中

仲間作り（コンソーシアム等）

●●●

●●●

●●●

●●●

●●●

●●●

●●●

●●●

経団連

IT系

・・・

官

予算支援

非IT系

●●大 ●●大早稲田大（NTT）

北陸先端（NEC）

・・・

★単位の相互交換★全国の大学等教育機関

資格制度

支援

etc.

産

奨学金

★教材･環境の共有

リソース支援と先端的実践ノウハウの提供

寄附金講師派遣

演習環境提供

教材作成先端的

実践ﾉｳﾊｳ

業界毎に必要な傑出人材の創出

傑出人材傑出

人材傑出人材

雇用推進（ｷｬﾘｱﾊﾟｽ）

ｲﾝﾀｰﾝｼｯﾌﾟ

共同研究講座費

学

●●大

●●大

社会人向け学生向け

受講

社会人入学：受講

★情報系以外の学部も対象

今後の予定

• 経団連「サイバーセキュリティに関する懇談会」に報告、政府提言検討に寄与

• 業界毎および階層別の人材像定義へ拡張

• 日本の産業界、企業にとっての人材像定義を掲げ、育成と雇用・採用が効果的に連携するエコ・システムを検討・提唱

• 社内人材育成に関する共同取り組みを検討

• 先行している産学連携（寄附講座）の水平展開および拡張（マネジメント系、制御系等）を推進

【取扱注意】


11

サイバーセキュリティ人材育成への考察（後編）...2 •...

Documents

Transcript of サイバーセキュリティ人材育成への考察（後編）...2 •...