transcript
show notes
SOCとは、サイバー攻撃を見張るための「監視ルーム」ではありません。
異常に気づき、判断し、必要な部署を動かし、被害が広がる前に止めるための、組織の管制塔です。
本エピソードでは、SOC（Security Operations Center）とは何か、なぜ現代の企業に必要なのかを、経営者・管理職にもわかる形で解説します。
取り上げる主なテーマ
- SOCとは何か
- 外部通報で発覚するサイバー侵害
- 内部検知の重要性
- 攻撃者の滞留時間
- 日本年金機構事案
- ログ監視
- SIEM・EDR・XDR・SOARとの関係
- MITRE ATT&CK
- AIによるSOC支援と限界
- 内製SOCと外部委託SOC
- MDR・マネージドSOC
- ハイブリッド型SOC
- SOCに必要な人材と24時間365日体制
- 検知後に動けない組織のリスク
- コロニアル・パイプライン事案
- Norsk Hydro事案
- 東京2020大会のサイバー防衛
- MTTD・MTTR
- 内部検知比率
- ログ改ざんと監視の信頼性
サイバー攻撃は、もはや「侵入されるかどうか」だけの問題ではありません。
重要なのは、侵入されたときに自社で気づけるか。
外部から指摘される前に異常を見つけられるか。
被害が広がる前に止められるか。
多くの組織では、攻撃者がネットワーク内に潜伏していても、自社では気づけず、外部機関や取引先からの通報で初めて発覚します。
SOCの価値は、攻撃を完全に防ぐことではありません。
ログ、ID、端末、クラウド、メール、ネットワークの情報を集め、異常を検知し、優先順位をつけ、必要な初動対応につなげることです。
ただし、SOCは高価なツールを導入すれば完成するものではありません。
ログが取れていなければ見えません。
アラートを判断する人がいなければ動けません。
端末を隔離する権限がなければ止められません。
夜間休日に意思決定できるルートがなければ、攻撃者の速度に追いつけません。
SOCとは、サイバー攻撃を完全に防ぐ魔法ではなく、異常を見つけ、判断し、組織を動かすための危機管理機能です。
サイバー攻撃を事業継続リスクとして捉えたい経営者、情報システム部門、リスク管理担当者、広報・法務・監査に関わる方に向けた、SOC入門です。