出版書誌データベース

　Mobageなど数多くのインターネットサービスを提供するDeNA。同社のようなネット企業は、どのようにサーバーセキュリティに取り組んでいるのか、本書にて初めて明かします。

　著者は、DeNAにてセキュリティ専門組織を立ち上げた当事者。今も最前線に立つサイバーセキュリティの第一人者です。自身の経験を基にしたノウハウが随所に書かれており、著者のたどった道を追いかけるだけでも大いに参考になります。

　「サイバーセキュリティはIT技術の総合格闘技である」。著者はこう言い、技術者としてのやりがいを強く感じる分野だと説明します。同時に、本書ではDeNAという組織として、サイバー攻撃に立ち向かう体制をいかにして整えたのか、その取り組みを詳しく説明しています。「いかに経営巻き込むか」「コストセンターとなるセキュリティ部門をどのようにして活性化させるか」。こうしたマネジメントに重心を置いた本です。

　本書はITエンジニアだけでなく、むしろ経営者やビジネスリーダーに読んでほしい。なぜならDeNAのセキュリティには、「ビジネスを強くする」という明確なポリシーがあるからです。「セキュリティは重大な経営課題である」と言われていますが、ではどのようにしてその課題に取り組めばいいのか、その答えの1つがここにあります。

◆第1章◆
　セキュリティエンジニアへの転身
1-1.　きっかけは「Mobageのスマートフォン対応
1-2.　筆者のルーツは「インフラエンジニア」
1-3.　「スモールスタート」、まずはリサーチ
1-4.　コミュニティーで仲間を得る
1-5.　「CSIRTハンドブック」との出合いが背中押す
1-6.　Black Hat＆DEF CON ～ハッカーの祭典
1-7.　専任組織を作る、カギは経済的な価値
1-8.　ついに決断、「セキュリティにコミットしよう」

◆第2章◆
　DeNA 流サイバーセキュリティの実際
2-1.　「CSIRT」と「セキュリティ部」、2つの組織
2-2.　嫌われる「ルール」、愛される「ルール」
2-3.　DeNAが目指すセキュリティの理想
2-4.　脆弱性診断、「チート」も許さぬ
2-5.　初めて気づいたモニタリングの重要性
2-6.　異常検知とインシデントレスポンス
2-7.　セキュリティ部門の技術力を磨く「R＆D」
2-8.　経営層と現場にどう伝えるか？
2-9.　プレゼンスと技術力の重要性
2-10.　DevOps+協力の輪が強さを生む
2-11.　優秀なエンジニアを味方にする

◆第3章◆
　5年のセキュリティ経験でわかった大事なこと
3-1.　合意形成が何よりも大事
3-2.　「マルウエアが社内に侵入したら」と想定
3-3.　大事件が起こる前に動く意義
3-4.　経営層に話をするタイミングをつかむ
3-5.　本当に守りたいものを決める
3-6.　Secure by Designのススメ
3-7.　わかりやすく、ぶれない基準と透明性
3-8.　事業は常に変化する、技術も常に変わっていく
3-9.　適切なセキュリティは企業の生命力を強化する
3-10.　求められる強力な言語能力
3-11.　失敗からの教訓
3-12.　セキュリティ対策のプロジェクトマネジメント
3-13.　状況をコントロールできているかどうかが大事
3-14.　セキュリティ原理主義からの脱却

◆第4章◆
　「Mobage を守った男」のセキュリティヒストリー
4-1.　スマホ時代の幕開けと海外事業展開
4-2.　JPCERT/CC訪問
4-3.　CSIRTハンドブック
4-4.　NCAへの参加
4-5.　震災発生、CSIRT構築がストップ
4-6.　国内企業の事故で経営層の理解が進む
4-7.　技術調査により自社の課題が浮き彫りになる
4-8.　CTOの承認、今も息づくコンセプトが決まる
4-9.　最初は混乱、アドバイザーの力を借りて乗り切る
4-10.　NCA正式加盟、意見交換はプラス効果大
4-11.　初めてのセキュリティ人材採用
4-12.　セキュリティチームの運営
4-13.　セキュリティG誕生
4-14.　新卒を育成、既に主戦力に
4-15.　FIRST加盟、CSIRTを海外拠点に拡張
4-16.　「人」対策を進めつつ、CSIRT認知度向上
4-17.　グローバルセキュリティポリシー策定
4-18.　セキュリティ部の誕生

◆第5章◆
　サイバーセキュリティ ―技術に対するDeNAの取り組み
5-1.　コンピュータサイエンスの総合格闘技
5-2.　「100％防ぐことはできない」が今の考え方
5-3.　ソフトウエア設計・開発
5-4.　ネットワーク
5-5.　OS
5-6.　バイナリー解析と通信改ざん
5-7.　インターネット以外の通信
5-8.　大量ログの分析と機械学習
5-9.　内製とアウトソースを使い分ける
5-10.　リスク分析

◆第6章◆
　セキュリティ組織の運営ノウハウ
6-1.　会社のビジョンに基づいて先を読む
6-2.　何が足りないかをCSIRTとの交流で見いだす
6-3.　エンジニアの成長を促す仕組み
6-4.　平和なときこそセキュリティを見える化する
6-5.　セキュリティ業務のQCD、注視すべきは「納期」
6-6.　変わり続けること

◆第7章◆
　サイバーセキュリティの世界へようこそ！
7-1.　技術的な刺激があるセキュリティエンジニア
7-2.　セキュリティエンジニアの活躍の場は無限
7-3.　サイバーセキュリティの世界へのはじめの一歩