概要

コーポレートエンジニアとして、IT統制・セキュリティ領域でのキャリアをスタート。企業のIT全般統制、業務処理統制、PCI DSS整備、ISMS取得支援など、コンプライアンス体制の構築から運用まで幅広く経験してきました。

セキュリティは「技術」だけでなく「プロセス」と「人」の総合的なアプローチが必要です。組織全体のセキュリティ意識向上と、実効性のある統制環境の整備を得意としています。

主要スキル

IT全般統制・業務処理統制

企業のITシステムが適切に運用され、財務報告の信頼性が確保されるよう、IT統制の整備と運用評価を実施してきました。

実施内容

• IT全般統制（ITGC）の整備: システム開発・変更管理、アクセス管理、システム運用管理、データバックアップなどの統制を設計
• 業務処理統制の評価: 各業務プロセスにおける自動化統制・手作業統制の有効性評価
• SOX法対応: J-SOX（内部統制報告制度）に準拠した統制環境の構築
• リスクアセスメント: ITリスクの識別と評価、対応策の策定
• 証跡管理: 監査証跡の整備とログ管理体制の構築

導入した統制の例

• 本番環境への変更時の承認プロセスとレビュー体制
• 特権アカウントの管理とアクセスログの監視
• システム障害発生時のエスカレーション手順
• データバックアップの自動化と定期的なリストアテスト
• 職務分離の原則に基づいたアクセス権限設計

PCI DSS（Payment Card Industry Data Security Standard）

クレジットカード情報を扱う事業者に求められるPCI DSSの準拠体制を整備。認証取得から継続的な運用まで担当しました。

実施した対策

• ネットワークセグメンテーション: カード情報を扱うシステムの物理的・論理的な隔離
• データ暗号化: カード情報の保存時・通信時の暗号化実装
• アクセス制御: 最小権限の原則に基づいたアクセス管理
• ログ監視: すべてのアクセスログの記録と定期的なレビュー
• 脆弱性管理: 定期的な脆弱性診断とパッチ適用プロセス
• 物理セキュリティ: サーバールームへのアクセス制限とモニタリング
• 従業員教育: セキュリティ意識向上のための定期トレーニング

PCI DSS 12要件への対応例

1. ファイアウォールの設定と管理によるネットワーク保護
2. デフォルトパスワードの変更と強固なパスワードポリシー
3. 保存カード会員データの保護（暗号化・トークナイゼーション）
4. 通信時のカード情報暗号化（TLS 1.2以上）
5. マルウェア対策ソフトの導入と定期更新
6. セキュアなシステム開発プロセス
7. 業務上の必要性に基づくアクセス制限
8. 一意のIDとパスワードによる認証
9. 物理的アクセスの制限と監視
10. ログの記録と定期的なレビュー
11. 脆弱性診断の定期実施
12. セキュリティポリシーの策定と全社展開

ISMS（情報セキュリティマネジメントシステム）

ISO/IEC 27001認証の取得に向けた情報セキュリティマネジメントシステムの構築と運用を支援してきました。

取り組み内容

• リスクアセスメント: 情報資産の洗い出しとリスク評価
• セキュリティポリシー策定: 情報セキュリティ基本方針と各種規程の作成
• 管理策の実装: ISO/IEC 27001附属書Aの114管理策から適用する管理策を選定・実装
• 内部監査の実施: 定期的な内部監査によるPDCAサイクルの運用
• 従業員教育: 全従業員向けのセキュリティ教育プログラムの実施
• インシデント対応: セキュリティインシデント発生時の対応手順の整備

整備したドキュメント例

• 情報セキュリティ基本方針
• 情報セキュリティ管理規程
• アクセス管理規程
• システム開発・変更管理規程
• インシデント管理手順書
• 事業継続計画（BCP）
• リスク管理台帳

脆弱性診断

Webアプリケーション、ネットワーク、サーバーの脆弱性診断を計画・実行し、セキュリティリスクの低減に取り組んできました。

実施している診断

内部脆弱性診断

• 社内ネットワークからのポートスキャン
• サーバー・ネットワーク機器の設定レビュー
• パッチ適用状況の確認
• 不要なサービス・ポートの検出
• アカウント管理状況のチェック

外部脆弱性診断

• インターネットからのポートスキャン
• 公開サーバーの脆弱性スキャン
• DMZ環境のセキュリティ評価
• SSL/TLS設定の検証
• DNSセキュリティの確認

Webアプリケーション診断

• OWASP Top 10に基づく脆弱性検査
• SQLインジェクション、XSS、CSRF等の検証
• 認証・認可機能の安全性評価
• セッション管理の妥当性確認
• APIセキュリティの検証

ペネトレーションテスト

• 実際の攻撃シナリオに基づいた侵入試験
• ソーシャルエンジニアリング対策の評価
• 権限昇格の可能性検証
• ラテラルムーブメントの検証
• データ窃取シナリオのテスト

使用ツール

• Nmap: ポートスキャン、サービス検出
• OWASP ZAP / Burp Suite: Webアプリケーション診断
• Nessus / OpenVAS: 脆弱性スキャナー
• Metasploit: ペネトレーションテストフレームワーク
• Wireshark: パケット解析

社内開発ルールの策定

セキュアな開発を実現するため、開発プロセスとコーディング規約を整備してきました。

整備した開発ルール

• セキュアコーディング規約: 言語別のセキュアコーディングガイドライン
• コードレビュー基準: セキュリティ観点でのレビューチェックリスト
• 脆弱性対応フロー: 発見から修正までのプロセス定義
• オープンソース管理: ライセンスと脆弱性管理の手順
• デプロイメントプロセス: 本番環境への安全なデプロイ手順

実績・成果

• 複数企業でのPCI DSS認証取得支援と継続的な運用体制構築
• ISO/IEC 27001（ISMS）認証取得のプロジェクトマネジメント
• J-SOX対応における全社IT統制の整備と運用評価
• 定期的な脆弱性診断の実施と、検出された脆弱性の100%対応
• セキュリティインシデント0件の実績（2年間）
• 全社員向けセキュリティ研修の企画・実施（年4回、受講率99%）

保有資格・知識

• 情報処理安全確保支援士（登録セキスペ）相当の知識
• ISO/IEC 27001（ISMS）内部監査員資格
• PCI DSS準拠に関する実務経験
• J-SOX対応実務経験

セキュリティ対応の考え方

セキュリティは「完璧」を目指すものではなく、リスクを適切に管理し、ビジネスを守ることが目的です。以下の原則を大切にしています：

• リスクベースアプローチ: すべてのリスクを排除するのではなく、事業への影響を考慮した優先順位付け
• 多層防御: 単一の対策に依存せず、複数の防御層を構築
• 継続的改善: 一度構築して終わりではなく、PDCAサイクルでの継続的な改善
• 実効性重視: 形式的な対策ではなく、実際に機能する実効性のある対策
• ユーザビリティとのバランス: セキュリティと使いやすさの両立