サイバーセキュリティ会社のシステム
セキュリティ診断、啓発、サイバーインシデント対応を行う企業向け。
診断タスクは、テストから脆弱性の記録、レポート、修正、再診断を経て認定まで。
クレジットカード不要 — システム一式が1分でプロジェクトにセットアップされます
これがお手元に届くシステムのボードです。ワークフローの列と、最初のステップを示すスターターカードが並んでいます
このシステムで仕事はどう回る？
すべてのセキュリティ診断は「診断」のカードから始まり、ペネトレーションテスターが合意済みの範囲内で対象システムの技術診断を実施します。発見された脆弱性ごとにカードが「脆弱性の記録」へ移り、内容・重要度・悪用手法・証拠が記載されます。その後「レポート」で、技術者だけでなくクライアントの経営層にも分かる言葉でまとめます。納品後、カードは「修正」へ移ってクライアント側が脆弱性に対処し、「検証」で再診断により実際に閉塞されたかを確認します。最後に「認定」で診断完了証明書を発行します。
フォーラムはチームの知識ベースです。珍しいケース、新しい悪用手法、各診断の教訓。知識は蓄積されるものであり、診断した本人の中に閉じ込めてはいけません。入出金管理は定期診断契約を管理します。四半期ごと、半期ごとの診断をクライアントごとに、金額と支払期日つきで。チャットは機密性の高い診断中の調整用ですが、厳格なルールがあります。脆弱性の機密詳細はチャットに書かず、権限管理されたカードに記録します。お知らせは、新たに拡散した脆弱性のような、全クライアントに関わる緊急セキュリティ警告用です。
チームリーダーは診断を割り当て、納品前にレポートを承認し、意見が分かれたときの重要度判定を握ります。ペネトレーションテスターは診断を実施し、証拠とともに脆弱性を記録します。監査人は「レポート」をレビューし、「検証」で再診断を行います。機密情報の流れは厳格です。テスターからカードへ、レポートを経てクライアントへ。チャットでのスクリーンショットも、個人ファイルへの脆弱性の保存もありません。
誰が何を担当する？
このシステムの運用ロールと、日々の仕事における各ロールの責任。そのままチームに割り当てても、自社に合わせて調整しても構いません。
チームリーダー
診断を割り当て、クライアントと範囲を取り決めます。「レポート」を納品前に承認し、意見対立時の重要度分類を最終決定します。
ペネトレーションテスター
「診断」を実施し、すべての脆弱性を「脆弱性の記録」にカードとして記録します。内容、証拠、悪用手法、重要度を添えて。
監査人
クライアントへの納品前にレポートをレビューし、「検証」で再診断を行って脆弱性が形だけでなく実際に閉塞されたかを確認します。
契約コーディネーター
入出金管理で定期診断契約を管理します。支払期日と更新時期を管理し、各診断の終了後に認定証明書を準備します。
初日から用意されるものは？
システムのユニット
- タスク — ワークフローの列と実行カードを備えたかんばんボード
- チャット — チームの素早い日常調整チャンネル
- フォーラム — 整理されたセクションで記録される議論 — 決定も知識も失われません
- お知らせ — 経営陣の公式な声 — 全員に届く通達とお知らせ
- 支払い — 厳格なプライバシーで管理する社内のお金 — 支払い・前借り・経費
フォーラムのセクション (4)
- ケースと学び珍しいセキュリティケースとその対処方法の記録。診断ごとに蓄積されるチームの知識ベース。
- 新しい脆弱性と技術拡散中の脆弱性、最新の悪用ツール、新しい診断技術のフォローと、作業ツールの評価。
- 診断メソドロジー診断種別（Webアプリ、ネットワーク、ソーシャルエンジニアリング）ごとの承認済み手法とその更新。
- レポートテンプレート承認済みの技術・エグゼクティブ向けレポートテンプレートと、クライアントの反応に基づく改善メモ。
«このシステムの作業ルール» — フォーラムにピン留め
1. 診断カードに記載された範囲外の診断は禁止。範囲逸脱は職業上・法律上の違反です。 2. 脆弱性の詳細と証拠はカードのみに。チャットや個人チャンネルでのやり取りは禁止です。 3. すべての脆弱性は独立したカードで、意見が分かれた場合はチームリーダーが承認した重要度を付けます。 4. 監査人のレビューとチームリーダーの承認なしにレポートは納品されません。 5. 「検証」での再診断と重大な脆弱性の閉塞確認なしに「認定」は発行されません。 6. どんなに定型的な診断でも、終了時に「ケースと学び」セクションへ教訓を記録します。
ようこそのお知らせ: «セキュリティシステムへようこそ»
今日から、すべての診断は「診断」から「認定」までカードで流れ、すべての脆弱性は証拠とともにカードに記録されます。機密詳細をチャットに書くことは一切禁止です。学びのあるケースは、診断終了前に「ケースと学び」セクションへ記録します。最初のステップは、進行中の診断と定期診断契約を登録すること。作業ルールはフォーラムに固定してあります。