●どこまでやれば「ちょうどいいセキュリティ」？　3社の専門家が本質を突く

　セミナーの最後には「 ～いま、企業に必要な"ちょうどよい"対策とは？～」というテーマでパネルディスカッションの時間が設けられた。CSIJの設立企業であるNRIセキュアテクノロジーズの上田直哉氏、ラックの安田良明氏、GSXの藏谷なほみ氏がパネリストとなり、一般社団法人ソフトウェア協会理事の萩原健太氏がファシリテーターを務めた。

　［講演資料ダウンロード　　］

​

​

​

​

​

​

​

​

​

​

　　　　　　　　　　　［左より、萩原氏、上田氏、藏谷氏、安田氏］

　萩原氏はまず、先日事故報告書を公表した半田病院の支援に当たった経験を踏まえ、「組織の規模によって、また業種によっても『ちょうどよさ』は変わってくるでしょう。加えてサイバー攻撃そのものも変化していますし、増えるガイドラインという現実もあります」と述べ、企業が抱える難しさについて問題提起を行い、最近特に気になるトピックを尋ねていった。

​

​

​

​

​

　　［一般社団法人ソフトウェア協会理事　萩原氏］

　普段から顧客の声を聞く機会の多い立場でもある藏谷氏は「どこかで言葉だけインプットされ、『CSIRTを作らなきゃ』と考えるお客様が増えています。しかし規模によってはCSIRTまでは不要で、全体的なインシデントハンドリング体制を整えるところから始めるべきケースもありますし、以前作ったCSIRTが機能していないこともあります」と、現状を指摘した。他にも、ランサムウェアやサプライチェーン攻撃に関するニュースを受けて「うちは大丈夫か、どこまで手を付ければいいのか」と心配したり、なんとなく聞いた単語を元に「ちょっとNISTの話を聞きたい」となどという依頼を受けることもあるなど、お客様が言葉に振り回されるケースは多いそうだ。

​

​

​

​

​

​

　　　　　　　　　　　　　　　　　　　　　　　［GSX　藏谷氏］

　安田氏の目下の関心事は「成長する産業と社会課題」だという。今、さまざまな業界が先端技術を活用して構造変革に取り組み、DXを推進する一方で、昨今の地政学的な状況や為替変動によって思うようにコントロールできない状況も生まれている。安田氏は「この不確実な世界の中で産業競争力を獲得しながら、自分たちの身の回りも守っていかなければなりません。特に、攻める（DXを推進する）ためにはセキュリティが必要だと思っています。業務やITを活用しやすい環境を作るには、事故が起きにくく、またセーフティやプライバシーに対する考慮も必要になります」と述べ、セキュリティが業務とITを支える屋台骨であるとした。さらにその延長線上で、国家安全保障や経済安全保障についても忘れてはならないと述べた。

 

　上田氏は、デジタル化とコロナ禍によって「ビジネスモデル」「働く場所」「システムの稼働場所」が変化したと振り返った。会社の中にサーバがあって仕事をする環境から、クラウドを活用し、テレワークでリモートからアクセスする働き方が広がっている。この方が利便性が高い上に、デジタルを生かした新しいビジネスモデルにも適しているが、それにともなって、サプライチェーンセキュリティやテレワークセキュリティ、クラウドセキュリティを取り巻くリスクが高まっているのも事実だという。

​

​

​

​

​

​

　　　　　　　［NRIセキュアテクノロジーズ　上田氏］

　ちなみに、藏谷氏が触れた「ちょっとNISTについて聞きたいんだけれど……」という要望は、安田氏も、上田氏も受ける場面が増えているそうだ。「たとえば日経新聞で取り上げられたり、Webで取り上げられるとすぐに気になり、『これってどうなっているんですか？』と尋ねられるケースが非常に増えています。ですが大事なのは、自分たちに合ったフレームワークを取り込むことです。自分たちの業界やサービスを踏まえ、本当に必要なものはどれかを取捨選択していくことが大事かなと思います」（上田氏）

​

○デジタル化にともなって浮上した「テレワーク」と「クラウド」「サプライチェーン」のリスク

　萩原氏は、上田氏が挙げた「テレワーク」「クラウド」「サプライチェーン」という3つのキーワードに沿って議論を進めた。

 

　まずテレワークによって何が変化したのだろうか。「今まで当たり前のように社員はオフィスにいたため、衆人環視の元で仕事をしていたのが、自宅で誰からも見えない領域で仕事をするようになりました。また、データの置き場所も、SaaSのようなクラウド環境に変わり、利便性が大きく向上しました」（上田氏）

　この変化に伴い、攻撃者が攻撃しやすくなる状況も生まれているという。攻撃者は、インターネットに開かれているクラウドサービスの入口を突破してしまえば済むため、認証・認可や接続元の制限といった対策やエンドポイントセキュリティの強化が必要であり、同時に内部不正の機会を減らすといった取り組みが必要だとした。さらにその前提として、「自社で取り扱っているデータをしっかり見極め、リスクを評価した上でどう取り扱うかを決める、つまり取り扱う情報のレベルを明確にすることが大事だと思います」と上田氏は述べた。

　藏谷氏は、そもそもITやネットワークに詳しくない従業員に対して、自宅のWi-Fiルーターなどでどう適切な設定や管理を行うかが課題になっていると述べた。従業員が自ら実施できる内容をとりまとめた「自宅のネットワーク設定ハンドブック」を配るなどの取り組みが必要だろうと指摘する。また共働きでお互いがテレワークを実施しているなどの環境によっては、仕事の会話が他方のWebミーティングに聞こえてしまうような事象にも配慮が必要だという。

　安田氏は、セキュリティインシデントの傾向が明らかに変わったことを指摘した。リモートワークの実現に向け、特権IDを持ってVPNでアクセスできるような環境を整えた結果、攻撃者に侵入され、ランサムウェアなどの被害に遭うケースも増えている。つまり「攻撃者が侵入しやすくなった前提で考えなければいけないでしょう」（安田氏）という。

​

​

​

​

​

​

　　　　　　　　　　　　　　　　　　　　［ラック　安田氏］

　テレワークと関連して注目が集まっているのが「ゼロトラスト」というキーワードだ。安田氏は、ゼロトラストに関する相談は増えているとした上で、「ゼロトラストの話をする前に、社員の身元を確認する識別や、資産・データの価値を把握し、それを元に誰がどのデータにアクセスできるようにすべきかを決めるべきです。ゼロトラスト以前にまず、現状の把握といった準備から始めるべきです」とした。藏谷氏もこれに同意し、「ゼロトラストをやる以前に、まず自分たちがどんな情報を持っており、事業の中でどういった価値を持つのかをおざなりにすべきではないでしょう」と述べた。

​

　2つ目の大きな変化はクラウドだ。クラウド活用に当たってどこに留意すべきかという問いに対して、まず意識すべきは「責任共有モデル」だとパネリストらは答えた。

　安田氏は「まずサービスレベルを確認し、そこに書いていないことはユーザー側が責任を持つ、ということを認識することがまず最初です」と述べた。つまり、どこまでクラウド事業者にコントロール権を委ね、どこからは自分たちのコントロール権を残さなければいけないのかをしっかり決め、ID管理やアクセス制御を実施していく必要があるという。そのとき、オンプレミス環境とは異なり、世界中に公開されている本番環境であることに留意し、安易に変更を加えると攻撃につながりかねないことにも留意すべきだとした。

　上田氏も、IaaS、PaaS、SaaSといった種類によって責任分界点は異なってくるものの、「全部クラウドサービス事業者側がやってくれ、自分たちは何もしないでいいだろうと思いがちですが、そうではありません。使う側にも使う責任は発生します。そこを理解し、機能や価格だけでなく、そのクラウドがセキュリティも含めて安心して使えるものかどうか、安全面もしっかりチェックすべきだと思います」と述べた。逆に、そこを理解した上で活用すれば、これほど便利な環境はないという。

　一方、藏谷氏は、いわゆる「クラウドにおけるシャドーIT的利用」の問題に触れた。オンプレミスのシステムならば、情報システム部門のチェックを経て導入するのが常だったが、クラウドサービスの場合、導入が非常にかんたんなため、どんなデータをどのように保存すべきかといったルールが議論されないまま、「なし崩し的に」導入され、そこにリスクが生じる。ただ、「このセキュリティチェックを通らない限り、利用は許可しません」と決めてしまうと、チェックを行う情シス部門やユーザー部門の負荷が高まり、クラウド本来の利便性が損なわれる恐れがある。その意味で「CSIJがまとめるクラウド共通評価フレームワークは、チェックにまつわる手間を簡素化し、ハードルを下げるのではないかと期待しています」とした。

​

　3つ目のサプライチェーンセキュリティは、「相当難しい課題です」と上田氏は述べた。「自社のこと、自グループのことはできても、サプライチェーンとなってくると統制範囲が非常に広がります。企業規模や体力、担当者のリテラシーも含め、数千、数万社にまたがって同じように対策していくのは絶対に不可能でしょう。一方で理不尽なことに、狙われるのはそのサプライチェーンの中で一番弱そうなところになるのが事実です」（上田氏）

　この状況に対し、NISTなどのガイドラインをかざして一方的に対策を押しつけても、実現は困難だろうという。「まずは自分たちの置かれている環境認識を共有することが大事だと思います。そして、テレワークの拡大に伴って充実してきたツールを生かして密なコミュニケーションを取り、継続的にセキュリティをレベルアップしていくやり方がいいのではないでしょうか」とした。

　藏谷氏も、業種・業態によって状況は異なる中、必要なものとそうでないものを精査しながら、できるだけミニマムで負担の少ない方法を考えていくことが必要だとした。一方安田氏は、米国防総省の例を挙げ、材料や設備、あるいは人材など、大事なところは国内企業で担っていくべきだとし、CSIJの取り組みの中でさまざまな対策を立案したいと述べた。

​

○組織と人、技術、各領域におけるセキュリティ対策のポイントは？

　こうした課題を踏まえ、企業はどのような対策を取っていくべきだろうか。萩原氏は、組織と人、技術という3つの観点から、パネリストにアイデアを求めていった。

​

　組織的なセキュリティ対策を進める上では、しばしば「経営層の役割」が重要だと言われる。安田氏は、「実は経営層が一番定性的で、根拠のないことを言いがちです。しかし組織的な対策を進めるためには、データに基づいて経営層が意思決定をしていく必要があります。正しい意思決定を生みやすいような組織を全体で作っていかなければならないでしょう」と、やや過激ながら当を得た指摘を行った。

　さらに「セキュリティの前にガバナンスに着目していくべきだと思います。サプライチェーンも含めて、自分たちの組織がどんな活動をしており、健全かどうかを把握できる仕組みを、若いエンジニアの力やデジタル技術を活用して作っていくことが必要ではないでしょうか」とした。

　上田氏は、セキュリティ委員会、あるいはシステム部門の一部がセキュリティを担ってきた従来の形に変わり、現場で実際にビジネスのデジタル化に取り組む人たちをいかに巻き込むかがポイントだとした。「現場のビジネスオーナーこそがリスクオーナーですから、彼らがリスクをしっかり把握した上で、現場ならではのビジネスのドライブ部分と同時に、ブレーキとなるセキュリティの取り組みを推進していかないといけないでしょう」（上田氏）。その取り組みを支援する形で、セキュリティ部門という第二線、監査組織という第三線を組み合わせたスリーラインディフェンスが存在し、さらにそれらが適切に組み合わさって機能するために経営のコントロールが必要だとした。

​

　次の、そしておそらく最大のポイントは「人のセキュリティ」だ。

　安田氏は、リスクマネジメントの連続がセキュリティであるとした上で、「自分の業務と、それに付随するIT環境が正しく動くためにどういうセキュリティが必要かを考え、セーフティやプライバシーに配慮できる人材が一人でも増えなければいけません。その思いを具現化するには、やはりセキュリティエンジニアが必要になってきます。その道しるべをCSIJで発信していくことが必要だと思います」と述べた。

　上田氏も「人がすべてのキモですが、一方でサイバーセキュリティの中で一番脆弱で、リスクになるのも人です。この人というものをいかに育て上げるかは非常に大事なことだと思います」とした。そして、セキュリティに関するロールを細かく分解し、それぞれの現場や役割で必要なセキュリティを細分化した上で、モチベーション付けし、教育していくプログラムが重要だとした。

　藏谷氏もこれらの意見に同意し、「技術系以外の方には、『セキュリティはとにかく難しい』というイメージが持たれがちです。今のお話のようにセキュリティのロールを分解し、セキュリティが専門でない分野であっても、それぞれの業務に必要な事柄を少しずつ学び、意識できる仕組みが必要ではないでしょうか」と同意した。

​

　その上ではじめて、技術的な対策を進めていくことになる。市場にはEDR、UEBAなどいろいろなキーワードが飛び交っているが、パネリストらは、大事なのはそのベースにある考え方だと指摘した。

　「最初の話に戻りますが、どこに重要な情報が置いているかが把握できなければ、どこを守るかも定まりません。どこにどんな情報を持ち、保管しているかというところから技術的対策を検討していかなければ、とにかく高くつくことになるでしょう」（藏谷氏）

　上田氏も「技術を入れたからこれで安心だ、というわけではありません。自分たちのシステム環境や提供するサービス、持っている情報の質や量を考えながら適合する技術を使い、しっかり運用していくことが重要です」とした。

　同様に安田氏も、「基本的な対策が抜けたところに新しい技術を入れても、効果は発揮できません。ID管理ができていないところにSIEMを入れてもどこでイベントが発生したかわかりません。一つ一つ積み重ねていく技術の拡張があってはじめて、セキュリティ対策は有効になると思います」と述べ、その上で正しい運用ができる仕組み作りが重要だとした。

​

○実は存在しない？　あらゆる企業にとって「ちょうどいい」セキュリティ

　課題は尽きず、話題も尽きないが、そもそものテーマである「ちょうどいいセキュリティ」とはどういうものだろうか。

​

　上田氏は、「共通的にちょうどいいセキュリティ、というものを定めるのはどう考えても難しい話です。ある企業にとってのちょうどいい対策は、別の会社からすると不足していたり、やり過ぎ感があるかもしれません。個社ごとに、自分たちの業務やシステム環境、提供するサービスや取り扱う情報の質、量を理解することで自ずとリスクが見え、その上でオーダーメイドのセキュリティ対策が必要ではないかと思います」とした。

　安田氏も、「他社の事例を耳にしてそのまま自社に適用してもうまくいきません。まずは現状を把握できる仕組みを作り、守るべきものがどこにあるのかを把握しない限り、セキュリティ対策の一歩目は踏み込めないと思います」と述べた。

　藏谷氏は、しばしば「他社さんはどうしていますか？」と尋ねられるという経験を踏まえ、「他社と同じレベルのことをしていれば安心という傾向が強いのですが、やはり現在地を把握し、自分たちにとって必要なものとそうでないものを見極めることが必要です。私たちの役割は、お客様に寄り添い、一緒になってそれを見つけていくことだと思います」とした。

　萩原氏はこうした意見を踏まえ「『ちょうどいい』というのは、最終的には現状把握と意識改革であり、今も昔も、まずは己を知るところから始まるのではないでしょうか」と議論を総括した。

​

　最後に安田氏は、CSIJの活動を通してコミュニケーションを取りながら、ちょうどいいセキュリティ対策の在り方や人材育成の物差しを作り、さまざまな法規制へ対応した対策を作り上げていきたいとした。

 

 

 

 

 

 

 

​

​

​

​

​

​

　そして、「身近に困っている方がいたら一声かけるといった感覚で、このコミュニティで活動できればと思っています。そうした活動の積み重ねが最終的には経済を豊かにし、経済安全保障や国家の安全保障につながっていくのではないでしょうか」とし、一緒に活動を盛り上げてほしいと呼びかけ、パネルディスカッションを締めくくった。