ITmedia エグゼクティブセミナーリポート

ドメスティック企業からグローバル企業へ変革する中で見出したノウハウ―― NTTデータが実践した、新たな時代のセキュリティ対策（1/2 ページ）

　この数年でビジネスを取り巻く環境は大きく変化した。それに伴って、セキュリティ対策の在り方も変化を迫られている。ありきたりな総論ならば、すでに聞き飽きるほどあふれている。問題は、具体的に何を、どのように進めていくかということだ。

　NTTデータグループのシステム技術本部 サイバーセキュリティ技術部 部長を務める星野亮氏は「NTTデータが実現。56カ国、19万人が利用する、世界最大級のゼロトラストセキュリティ構築のノウハウとは」と題する講演を通して、この5～6年でNTTデータ自身が実践してきたセキュリティ変革の歩みを紹介し、対策のヒントを示した。

3つの大きな変化によって避けられなくなったセキュリティ変革

　すでに体感している人も多いだろうが、星野氏はまず、セキュリティを取り巻く状況に3つの変化が起きていると指摘した。

　1つ目はビジネス環境の変化だ。中でも働き方改革やDX推進といった言葉に代表される変化は大きな影響をもたらした。「私が入社した時は、仕事をする際はオフィスに決まった時間に出勤し、自分の座席のデスクトップパソコンでしか仕事ができないのが普通でした。それが今は大きく変わっています」（星野氏）

　今ではノートパソコンを持ち歩き、オフィスだけでなく自宅やシェアオフィスで仕事をするのが当たり前となり、時にはスマートフォンやタブレット端末も活用する。「昔は、ちょっとメールを一通書くためだけに客先から職場に戻ることもありましたが、今は帰りの電車の中で、スマホでパパッとメールを打ってしまえば済むようになっています」（星野氏）

　個々人の働き方に加え、企業全体を取り巻く環境も変化した。グローバルに事業を展開し、ネットワークを介して海外の拠点や子会社とやり取りをする場面が増えた。同様にサプライチェーンも国をまたいで構築されるようになり、利用するソフトウェアやクラウドサービスも多様化している。

　2つ目は、セキュリティに関連する法規制や規則の変化だ。特に近年、サプライチェーン攻撃のリスクが高まっていることを受け、日本では経済安全保障推進法の中でサプライチェーンセキュリティの強化が言及されたほか、アメリカではサイバーセキュリティ保護に関する大統領令が出され、ヨーロッパでも同種の法令が定められている。

　3つ目の変化は、サイバー攻撃側の変化だ。以前から、サイバー攻撃は本丸ではなく弱いところを狙ってくるといわれていたが、サプライチェーンが複雑化し、事業のグローバル化が進むにつれて、自社が依存する外部のサプライチェーンやクラウドサービス、あるいはネットワークでつながる海外拠点が狙われるようになっている。

　星野氏はこのような3つの変化にともなって、ワークスタイルの変化に伴うよるリスクの増大、グローバル展開におけるガバナンス不足、サプライチェーンセキュリティ、セキュリティ対応要員のリソース不足という4つの課題が浮上していると指摘した。

　残念ながら、急ごしらえで構築したテレワーク環境に穴が存在していたり、従業員の生産性向上のためにクラウドサービスを許可したら想定外のサービスまで使われ、情報が漏洩したりと、こうした状況に乗じたインシデントがあちこちで発生しているのが実情だ。さらに「サプライチェーンのセキュリティが大事だと言われても、やるべきことは他にもたくさんあり、負荷が高くなってしまいます。また、自分たちで全てコントロールできるわけではなく、要員もあまりいないためうまく対応できないケースも起きています」と星野氏は話す。

　これらの課題に対し、どう向き合っていけばいいのだろうか。経営層はまず、全体のリスクを見えるようにし、何に対応でき、何ができていないかを把握した上で備えるべきとされている。一方従業員にとっては、便利に素早く仕事をできるのが一番で、そういった求めにも応えていく必要があり、ゼロトラストの考え方が鍵となるだろう。

　「オフィスの中は安全である」という前提で守るいわゆる境界型防御の考え方では、近年起こった変化に対応できない。さまざまなモバイルデバイスを駆使して場所を問わずに仕事をし、クラウドサービスも活用するという中では、「あらゆるネットワークを信用しない」という考え方が必要になってくる。

3つのステージ、3つの軸で進めたNTTデータのセキュリティ対策

　実はNTTデータ自身も、こうした課題に直面していた。

　「私が入社した当時のNTTデータは、典型的な日本の会社という感じでした。その後海外の企業をどんどん買収してグローバル化が進み、今では56カ国19万人の体制となっています。そのうち大半が海外の従業員というグローバル企業で、多様な国のメンバーが、多様な働き方をしています」（星野氏）

　グローバル化に伴って、同社はまさに、各拠点におけるガバナンス不足に直面することになった。「企業を買収しても、すぐにガバナンスが効くわけではありません。また会社によっては、セキュリティをしっかりやれる人間がいないこともありました」（星野氏）。もちろん、ワークスタイルの変化にともなうリスクの増大も感じていたという。

　このような状況で同社は、3つのステージに分けて段階的に対策に取り組んだ。グローバル化が進み始めた2017年までのステージ1では、「あまり統一感がない、ガバナンスが効いていないのが正直なところでした」。そこで、2018年のステージ2では、まずインターネットとの境界部分にフォーカスしてセキュリティを強化した。その後、2019年以降のステージ3では、モバイルやクラウドといったインターネット境界以外の部分も含め、いかに安全かつ便利に仕事ができる環境作りに取り組んでいる。

　一連の取り組みでは、各ステージでルール、テクノロジー、ピープルという3つの軸でそれぞれ策を打っていった。

　まずルールに関してだが、徐々に海外子会社が増え始めていた2017年までのステージ1は、前述の通り「各社バラバラ」が実情で、中にはルールが未整備の組織もあったという。そこでまずステージ2で最低限のポリシー統一を図り、ステージ3でそれを高度化させていった。

ITmedia エグゼクティブセミナーリポート

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  サイバーセキュリティだけ「特別扱い」には無理がある――経営を脅かすリスクの1つと位置付け、メリハリのある対策を

• 

  情報漏洩にとどまらず、ビジネスリスクの観点でのサイバー攻撃対策を実践―― サプライチェーン全体を視野に取り組む凸版印刷

• 

  世界は変わった？　変わらない？　変化の中で引き続き求められるバランスの取れたセキュリティ対策

• 

  サイバーセキュリティ連盟の調査で判明――日本企業のサイバー防御力、ギャップを埋める鍵はセキュリティ意識の変革から

• 

  DX推進とサイバーセキュリティ対策、双方に不可欠なのは「経営層のリーダーシップ」――東海大学 三角育生教授

• 

  医療データを扱うMDV、経営層への説明と現場への関わりのコツ――メディカル・データ・ビジョン 渡邉幸広氏

• 

  「サプライチェーン」を人質に取るようになったランサム攻撃 ――ラックの西本氏が語る、万一への備え

• 

  スタートアップと金融機関、2つの側面を持つbitbankのセキュリティ対策とは？ ――ビットバンク 橋本健治氏

• 

  経営と現場の板挟みになりがちなガバナンス、優先してやるべきことを明確に――リクルート 鴨志田昭輝氏

• 

  調査結果が明らかにした日本企業のCISO不在。リスクを見せる化し、経営視点を取り入れながらコミュニケーションすることで改善を――NRIセキュアテクノロジーズ 足立道拡氏

• 

  セキュリティ担当者が夜しっかり眠れる運用体制とは？――守りのDXで攻めのDXを支えるアステラス製薬の取り組み

• 

  独自の観測結果から見えてきたランサムの今と、対策のポイント――SBテクノロジー 辻伸弘氏

• 

  脅威環境の変化を把握し、網羅的・体系的なアセスメントを通じて自社の弱点を発見・改善していくサイバーセキュリティリスク管理が重要――東京海上日動火災保険 黒山康治氏

• 

  ハイブリッド戦争は日本にとっても他人ごとではない――慶應義塾大学 廣瀬陽子教授

• 

  「今日からセキュリティ担当、よろしくね」と言われたら、何から始める？　何を重視する？――freee CISO 茂岩祐樹氏

• 

  コロナ禍やウクライナ侵攻を背景に混迷深めるサイバー情勢、経営層に必要なのは「現場丸投げ」からの脱却――サイバーディフェンス研究所 名和利男氏

• 

  ウイズコロナ時代のサイバーセキュリティ、完璧を目指すより実践的で高い費用対効果を追求すべき――情報通信研究機構 伊東寛氏