有識者が語る、デジタル技術を活用したビジネス変革におけるセキュリティ対策のアプローチとは

ニューノーマル時代におけるビジネスモデルの変革では、事業とセキュリティのバランスが重要

基調講演に登壇したのは2020年まで経済産業省サイバーセキュリティ・情報化審議官を務めた、東海大学 情報通信学部 学部長・教授 三角 育生 氏。「ニューノーマルにおけるビジネス変革とセキュリティ」について解説した。

• 
  東海大学 情報通信学部 学部長・教授
  (前：経済産業省サイバーセキュリティ・情報化審議官)
  三角 育生 氏

「昨今の新型コロナウイルス感染症拡大によって、人々の行動態様が変化したことでニューノーマルという言葉が世の中に浸透し始めました」と語りセッションを開始した三角氏は政府が推進する働き方改革や、コロナ禍への対応といった要因により、テレワークを導入した企業が急増したことで、業務のデジタル化が一気に加速し、ビジネスに大きな影響を与えた変化について言及する。

電子決済の普及や巣ごもり消費（オンラインでの買い物）の増大など、消費者の行動態様も大きな変化を遂げ、それに伴いビジネスのマーケットも目まぐるしく変化していると三角氏。「こうした変化に対応できないとビジネスの競争力を維持できないため、企業の在り方にも変革が求められるようになりました」と語り、ニューノーマル時代には“変わらないこと”がリスク要因になると警鐘を鳴らす。

「デジタル技術を使ってビジネスの変革を進めると、サイバーセキュリティのリスクも高まります。企業はセキュリティインシデントへの対応はもちろん、事業継続を見据えたセキュリティ対策を講じる必要があります。昨今ではサプライチェーンを狙ったサイバー攻撃も増加しており、不測の事態で業務が止まった際に、どれだけ迅速に復旧できるのかが重要となります。このため、完全復旧でなくても事業が継続できるレベルで持ちこたえるといったリアルな対応についても考慮する必要があります」（三角氏）

地震や火災など、さまざまな要因に対して事業継続計画（BCP）を策定していくなか、事業中断の原因事象としてサイバーセキュリティインシデントが占めるウエイトが高まっており、対策が急務と三角氏。技術的なセキュリティ対策はもちろん、事業が止まった際に消費者や投資家といったステークホルダーが注視する「いつ復旧するのか」「二次被害をどう防止するのか」といった情報を、迅速かつ適切に公開していくことが重要になると力を込める。

さらに三角氏は「ビジネス変革とセキュリティ対策を同時に進める際には、組織・業務の視点からリスクマネジメントを行うことが重要」と語り、経営層がセキュリティへの理解を含め、リーダーシップをとって対策を進める必要があると解説して基調講演を締めくくった。

顧客ECサイトへのサイバー攻撃対策の強化を目指す、ecbeingの取り組みから見えるもの

先進事例講演として登壇したのは、株式会社ecbeing CSIRT室 部長代理 加藤 新 氏と、TIS株式会社 IT基盤技術事業本部IT基盤技術事業部IT基盤ビジネス推進部 上級主任 奥山 暁仁 氏。「ecbeingにおけるECサイトでのサイバーセキュリティ強化への取り組み」をテーマに、同社の「セキュリティインシデントにおける事前抑止・早期検知の強化の取り組み」事例が紹介された。

• 
  左から
  株式会社ecbeing　CSIRT室 部長代理　加藤 新 氏
  TIS株式会社　IT基盤技術事業本部　IT基盤技術事業部　IT基盤ビジネス推進部 上級主任　奥山 暁仁 氏

自社ECサイト構築プラットフォームを含めたECパッケージを展開するecbeingでは、「1400サイトの実績とノウハウを結集した ECプラットフォーム」「自動バージョンアップによる陳腐化しない 最新トレンド機能」「国内最大のサポート体制」「マーケティング支援」に加え、「EC専用のセキュリティ」を強みとしてビジネスを展開している。本セッションでは、脅威インテリジェンス、CSIRT、SIEM/EDRを軸としてセキュリティインシデントの事前抑止とレスポンス強化をTISと共に図った同社の取り組みについて話を展開。「セキュリティ対策を部分的に実施しているが、今後どのような要素を、どのような優先順位で対策していけばよいのか 」と悩む企業にとって重要なヒントが満載された内容となった。 「ecbeingでは、顧客ECサイトへのサイバー攻撃対策をより盤石にすることを目的に数年前から取り組みを開始。定期的な脆弱性診断や、セキュリティ人材の育成やスタッフの教育、さらに自社グループ内および社内でCSIRTを構築し、セキュリティインシデントに対する体制強化を図りました。さらに、技術的な対策ソリューションとしてSIEM/EDR、情報基盤として脅威インテリジェンスを導入し、連携を行うことでインシデントの事前抑止と早期検知の強化を実現することが可能となりました」（加藤氏）

加藤氏は、今回の取り組みを「事前対策」と「事後対策」の2つに分類。事前対策は「インシデント発生確率の低減」を目的とし、各種セキュリティ機器での防御/可視化に加えて、CSIRTと脅威インテリジェンスを連携することで強化を図り、事後対策では「インシデントの早期検知/対処による被害軽減」を目的に、CSIRTと連動した SIEM/EDR、さらに脅威インテリジェンスを導入し活用し始めたと解説する。

「脅威インテリジェンスでは、EASM（外部攻撃対象領域管理）で、外部攻撃者から自分たちがどのように見えているかを確認できました。SIEMやEDRによる監視と事後対応では、インシデント発生時の検知・対応速度の向上を目的としています。導入しただけでは機能しないため、IoCの取り込みなどを通じて、自社で検知したい内容を明確にするといった運用も行っています」（加藤氏）

加藤氏は、CSIRTに関しては、強い気持ちを持って情報を発信していくことが重要と所感を語り、尻込みすることなく経営層を巻き込んでいく必要があると力を込める。TISの奥山氏も「CSIRTに関しては、セキュリティベンダーからの情報の他、日本シーサート協議会など、ベンダー以外の情報源もあるので、活用してみるのも1つの手です」と補足する。

セッション後半では、「経営層との円滑な合意」や「外部ベンダーとの相互協力的な関係」といったセキュリティ強化の進め方に関する重要な要素も語られ、経営層に「能動的」かつ「定期的」な情報提供を行い巻き込んでいくことや、外部ベンダーとの連携では、相互的に「能動的なお互いの情報共有、自社ビジネスへの付加価値のある提案と提供、新領域へ一緒の挑戦」ができる関係を築くことが大きなメリットを生むと語った。

ビジネスの変革を促進する「セキュリティ」の在り方を語り合う

Day2の最後のセッションでは、「ニューノーマルのセキュリティ ～変革を促進するセキュリティとは～」と題し、パネルディスカッションが行われた。フジテック株式会社 専務執行役員の友岡 賢二 氏がモデレーターを務め、東海大学 情報通信学部 学部長・教授 三角 育生 氏、株式会社ラック 執行役員 CTO 倉持 浩明 氏、TIS株式会社 IT基盤コンサルティング部 エキスパート 後藤 宏昭 氏がパネリストとして参加した。

• 
  左から
  フジテック株式会社 専務執行役員 友岡 賢二 氏
  東海大学 情報通信学部 学部長・教授 三角 育生 氏
  株式会社ラック 執行役員 CTO 倉持 浩明氏
  TIS株式会社 IT基盤コンサルティング部 エキスパート 後藤 宏昭 氏

1つ目のテーマは「変革を促進するセキュリティとは？」。

まず三角氏が「ビジネスを加速させるためにはイノベーションが不可欠で、その手法としてデジタル化やデータ活用、いわゆるDXの推進が挙げられます。DXをビジネスイノベーションでプロフィットを生むものと捉え、そのなかでセキュリティを考えていくことが重要。アクセル（ビジネスイノベーション）とブレーキ（セキュリティ）のバランスを取りながら、セキュリティへの投資を行っていく必要があると思います」と伝え、倉持氏は「セキュリティ対策を、事業を行ううえでの ボトルネックと捉える企業もあるかと思いますが、そうではありません。むしろセキュリティ上の懸念を残しておくことが、事業の変革やDXの推進におけるボトルネックになると考えることが重要です」と語った。変革を促進するにあたり、事業がどうあるべきかの議論とセキュリティ対策のバランスや、セキュリティにかけるコストについて議論された。

倉持氏は「どれだけセキュリティに投資すべきかは、自分たちの事業がどれだけITに依存しているかによると思います。たとえば自社のサービスがサイバー攻撃を受けた場合、何日間止まるとビジネスに影響が出るのか、あるいは復旧できなかった場合にどうなるのかといった被害を想定し、そこから必要となるセキュリティ対策への投資を算出していくといった考え方もあります」と切り出し、後藤氏は「コストというよりは、信頼を生むための投資と言う風にセキュリティの観点を変えていくことが重要です。社会的信用や事業計画・事業継続に有益な「投資」として捉えることで、適切なセキュリティ対策が講じられると思います」と語った。

その他にも「関係者をどう巻き込み、プロジェクトを推進するか」「IT部門の変化」についても、三者三様の意見が議論され、 今後は組織内で緊密に連携してセキュリティ対策を強化していくことが重要になることは間違いないと示し、ディスカッションは幕を閉じた。