TOP | 国際版!サイバーセキュリティ ひとこと言いたい! | (タイ)サイバーセキュリティの能力構築

サイバーセキュリティの能力構築
                ThaiCERT(タイ)
CERT Specialist
ThaiCERT/Electronic Transactions Development Agency (ETDA)
Mr. Martijn van der Heide
 
タイでは、情報セキュリティがホットな話題となっていますが、それは世界中でも同じであり、我々の日常生活や交流の殆どがインターネット上で行われています。人口約6,700万人のうち、約550万人が広帯域のインターネット接続を使用し、約9,800万台のモバイル端末が使用され、インターネットの浸透率は極めて高くなっています。
 
我々の社会と、近年の情報化年代の価値や要件を整合させる目的で、新規法律や改正法が先頃国会で通過されました。機密性、完全性及び可用性を保証するために弾力性やセキュリティの観点で一層の努力が必要な分野として重要情報インフラが特定され、セキュリティチームを設置しなければならないとされています。
 
もちろん、これはセキュリティ社会にとっては刺激的なニュースではありますが、国家規模で実現するにはどうすればいいのでしょうか。国内に数千から数万の組織がある中で、セキュリティチームを構成するための人々はどこから来るのでしょうか。それだけたくさんの人々をみつけられたとしても、それぞれの組織が彼ら自身で土台から作り直さなくても済むように、我々は組織をどのように支援すればいいのでしょうか。
 
我々が選んだ方法は、トップダウンの多層式手法であり、我々が「セクター別CERT」と呼ぶ概念で、極めて限られた訓練済みの職員をすぐには必要としない手法です。ISAC(Information Sharing and Analysis Center)という用語に聞き覚えがある方には、セクター別CERTはISACのようなものであると理解して頂けますが、これに加えて強力なインシデント対応能力を保有する組織です。
 
我々は、各セクターで一つのCERTを構築することから始めます。同じセクターで活動するすべての組織は、このCERTのメンバー(構成員)になることができます。このCERTが運用を開始すれば、個々のメンバー組織は彼らのセクターにおける現状や課題に関する認識を更に深め、一般的に、どのように進むべきかについて情報に基づく決断を下せるようになります。例えば、小さい組織ではこのまま運用すると決断し、一方で大きい組織では内部に独自のセキュリティチーム(CERT)を構築する必要性を見出し、セクター別CERTのメンバーシップは脅威情報の交換でのみ使用する可能性があります。
 
公共団体としてのThaiCERTは、これらセクター別CERTを構築する上で促進的かつ助言的な役割を果たします。この中には、トレーニングや演習、ドリルの提供があります。国家CERT機関としてのThaiCERTは、国全体から多くの脅威情報を受信しており、それらは適切なチームと共有することができ、国際的なセキュリティ社会の活発なメンバーとして海外のパートナーと連携し、国境を超えたセキュリティインシデントの解決にも尽力しています。
 
この機構は現在、設置が進められており、既に成功の兆しが示されています。
 
しかし、これはただの始まりとしてのレイヤ2(国家CERTをレイヤ1とした場合)でしかありません。作業量が増加し続ける中、既存の職員を保有し続けることは難しく、新たな人員をみつけて定員や能力を拡張することもまた困難です。毎年多くの学生をみつけてポジションを埋められる「CERT大学」のようなものは存在しません。幸いなことに、固有の情報セキュリティカリキュラムを提供する大学の数は増えていますが、学生が卒業し始める頃(あと数年後)まで、十分な職員をみつけることの問題は残ります。
 
 
※記載内容は執筆者の知見を披露されているものであり、著作権は本人に帰属します。