SOCを例としたインシデント対応のポイント：ネットワーク運用におけるセキュリティ（3/3 ページ）

[徳田敏文、高橋正和，ITmedia]

　こうした効率化に関する活動を、最も現場を知っているエンジニアと一緒に考える場を設け、積極的に提案させるよう管理者は支援していけばよい。実現した場合は、そのエンジニアを表彰するような制度を作るとなおよいだろう。

　余談ではあるが、管理者はしばしば「みんな」と言う言葉を使う。「みんなでがんばっていこう」なんていう具合にだ。しかし気をつけなければいけないのは、管理者から見て負荷をかけている部下が「みんな」の中に入っていないことがある点だ。そういったことのないよう、信頼性の高い組織を構築／運用していく場合のコミュニケーションの重要性をあらためて痛感している。

SOC運用における参考図書

　ここで参考までに、SOC運用やインシデント対応におけるヒントが詰まった書籍をいくつか紹介しよう。

●「不確実性のマネジメント」

著者	K.ワイク＆C.サトクリフ
訳者	西村行功
発行	ダイヤモンド社
ISBN	4478374031

　高信頼性組織について扱った書籍。空母、原子力発電所、緊急医療チームなど、高い信頼性を要求される組織を高信頼性組織と名づけ、高信頼性組織の運用が分析されている。

●「危機管理のノウハウ」 PART 1〜3

著者	佐々淳行
発行	PHP文庫
ISBN	4569563309、4569563333、4569562930

　SOC一押しの本。本文中でとりあげた「悲観的に……」のくだりは、この本に書かれているもの。国家的な危機管理の経験と危機管理官としてのノウハウが分かりやすく述べられている。情報セキュリティの分野に携わっていると、危機管理官という肩書きに単純な親近感を覚える面がある。しかしこれを読んだだけでも、情報セキュリティに必要となるノウハウのうちまだ身に着けていない部分の分厚さと歴史の重さを垣間見ることができる。

●「スティーリング・ザ・ネットワーク―いかにしてネットワークは侵入されるか」

著者	Ryan Russell、Dan "Effugas" Kaminsky、Joe Grand、Mark Burnett、Paul Craig
訳者	増田智一
発行	オーム社
ISBN	427406560X

　不正アクセスという単語は知っていても、それを自分の問題として認識することはなかなか難しい。この本は、10の物語形式で不正アクセスの例を紹介している。不正アクセスのイメージを持つには良い本だろう。他に「ハッカーの挑戦」（翔泳社）や「欺術」（ケビン・ミトニック　ソフトバンクパブリシング）なども面白い。

●「情報システム監査　実践マニュアル」

著者	日本システム監査人協会編
発行	工業調査会
ISBN	4769351186

　システム監査の実践的なノウハウがまとめられた本。そのまま運用に役に立つわけではないが、何に着目すべきであり、何を確認するのか、またどのようにそれを確実にしていくのかを学ぶ上で大変勉強になる。チェックをする立場はもちろん、チェックを受ける立場から読んでも利用価値は高い。

●「ライト、ついてますか―問題発見の人間学」

著者	ドナルド・C・ゴース、ジェラルド・M・ワインバーグ
訳者	木村泉
発行	共立出版
ISBN	4320023684

　「問題とは何か？」という問いかけについてきっかけを与えてくれる本。日々運用作業に携わっていると、いったい何が目的で、何が手段であるかが分からなくなることがある。これは、問題の定義がきっちりとされていないことを示すものだ。こういう状態に陥らないための、また陥ったときにそれに気づくための視点が述べられている。ワインバーグの本としては、他にも「スーパーエンジニアへの道」「コンサルタントの秘密」など、読んでおきたい本がたくさんある。

●「人を動かす」

著者	D・カーネギー
訳者	山口博
発行	創元社
ISBN	4422100513

　チームを率いていて行き詰ったときに手にとって見ると、目からうろこが落ちる本。困っていないときに読んでもほとんど役に立たないが、困っているときに手に取ると心の支えになる。バリバリの技術者が、マネージメントの責任を持つようになって悩むケースも多いと思うが、そのようなときに手に取って欲しい一冊。

●「ザ・ゴール ― 企業の究極の目的とは何か」

著者	エリヤフ ゴールドラット
訳者	三本木亮
発行	ダイヤモンド社
ISBN	4478420408

●「キャプランとノートンの戦略バランスト・スコアカード」

著者	ロバート・S・キャプラン、デビッド・P・ノートン
訳者	櫻井通晴
発行	東洋経済新報社
ISBN	4492554327

　前回の記事で、「運用担当者の裁定がプラスマイナス0よりも上になることはない」という話を書いたが、この原因の1つは、運用者側が経営者の言葉で話をできないことにあると考えている。経営者側は、財務諸表に代表される「具体的な数字」となる成果を求めるのに対し、運用者側はその答えを持っていない場合が多い。このため、正常を維持すること、稼動し続けることに対して評価を得られることは極めて少ない。

　余談ではあるが、「危機管理のノウハウ」によれば、損害の対応（ダメージコントロール）が評価されないのは、どうも日本人の特性らしい。ここで紹介している2冊は、それぞれTOC（Theory Of Constraints：制約条件の理論）、BSC（Balanced ScoreCard）に関する書籍で、筆者はお金の話をするときの根拠として利用している。コンサバティブな財務理論と比べると、この二つのメソッドは技術者と相性がよいように思う。

　「ザ・ゴール」は、物語形式で書かれており、読みやすく、また面白い。「戦略バランスト・スコアカード」は、色々な組織に対するBSCの適用例がかかれており、最終的には財務諸表上の利益を求めるにしても、そこにいたるにはいろいろなシナリオが考えられることに気がつく。

■筆者略歴

徳田敏文　インターネット セキュリティ システムズ　マネージド セキュリティ サービス部部長　情報セキュリティ管理責任者、エグゼクティブ セキュリティ コンサルタント。ISSにおけるマネージド セキュリティ サービスの事業責任者。アジアパシフィック地域担当。2001年より本事業に参画し、東京セキュリティオペレーションセンター（略称SOC、リモート監視センター）の設立からサービス企画、技術支援、エンジニア教育までを手がける。