ITmedia エグゼクティブセミナーリポート

予防は治療に勝る「プロセスのゼロトラスト化」を軸に多面的な取り組みを展開――全日本空輸 和田昭弘氏（1/2 ページ）

　航空会社が何よりも優先しているのは「安全」だ。事故を起こすことなく、顧客を確実に目的地に送り届けるために、さまざまな努力が重ねられてきた。

　そしていま、この延長線上にサイバーセキュリティがあるという。全日本空輸のデジタル変革室 専門部長（サイバーセキュリティ）を務める和田昭弘氏は、「安全、安心のために、経営課題で取り組むANAのセキュリティ対策　ANA流フレームワーク、プロセスのゼロトラスト化とは？」と題するセッションにおいて、「われわれは安全と同格の扱いとして情報の安全を定義し、これを実現するためにサイバーセキュリティ対策に取り組んでいます」と述べ、統合報告書でも報告されている対策の一端を紹介した。

セキュリティ対策は自社での多面的な取り組みだけでなく、集団防御が必要

　現実の世界には地理的な隔たりがあり、国境がある。この境目で警察や入国管理局が犯罪グループを取り締まることも可能だ。だが、サイバー空間にはそうした境目がなく、愉快犯にはじまり、いわゆるサイバー犯罪グループ、さらには国家組織などさまざまな攻撃者と直接対峙（たいじ）しなければならない。

　こうした特殊性を踏まえ、「システムにおいては多層防御が必要ですし、インテリジェンスを活用し、さまざまな情報を得ながら活動していかなければなりません。自社のみの防衛能力では無理があり、コレクティブセキュリティ、つまり集団防御が必要だと考えています」と和田氏は述べた。

　ANAではこうした考え方をベースに、1000台を超えるサーバで構成される運航や整備、営業、空港などでの業務を支える217システムのセキュリティ対策に取り組んできた。

　軸となる考え方はいくつかある。「ゼロトラスト」や、NISTのサイバーセキュリティフレームワークに基づいた「多層防御」、そして、後付けではなくシステム企画・設計の段階からセキュリティを組み込んでいく「セキュリティ・バイ・デザイン」などだ。

　さらに近年、サプライチェーンセキュリティのリスクが指摘されていることを踏まえて、再委託先も含め、開発の各工程でセキュリティチェックを実施するほか、クラウド活用の広がりを背景にしたクラウド環境の防御も進めている。

　こうしたシステム面での取り組みに加え、ITシステム関連の契約に一定のルールを課す、AIの活用法に関するルールを定める「デジタルガバナンス」の推進、そして規定・プロセスの整備や体制作り、人材育成など、全方位的な取り組みを進め、ANAグループ全体でセキュリティ対策を推進してきた。

止めてはならないシステムを守る、プロセスのゼロトラスト化

　一方、サイバー攻撃は激化するばかりだ。和田氏は、主に5つに分類して考えているという。

　かねて脅威としていた「標的型攻撃」。また、OSや業務システムの脆弱性を突いて情報漏洩や改ざんを行う「脆弱性攻撃」、大量のアクセスを行って正常な利用を妨げる「DDoS攻撃」、他人のIDやパスワードを用いて不正に情報や金銭を入手する「なりすまし」、そして社員など関係者による「内部犯行」だ。

　量では標的型攻撃と脆弱性攻撃が全体の90％以上を占めており、ANAでも重視して対策を進めている。ただ同時に、確率としては非常に低いものの、万一内部犯行やなりすましが発生すると会社に与えるインパクトは非常に大きいものがあり、こうした傾向や影響を考え、さらに「自社のシステムはどうなっているのか」をしっかり踏まえた上で対策を進めているという。

　ここで見落としがちなのが「人」の要素だ。「人間は間違えるものです。相手も、人の間違いにつけ込んで攻撃を仕掛けてきます。ヒューマンエラーへの対策にフォーカスを当て、まずはエンドポイントをしっかり守ることが重要ではないかと考えています」と和田氏は話す。

　エンドポイントのセキュリティ対策は、昔からセキュリティ対策の基本だった。歴史を振り返ると、当初はパターンマッチング型のウイルス対策ソフトが主流だったが、もはや検知率は3割以下ともいわれており、なかなか止めることができない。そこで注目を集めているのがEDRだが、時間との勝負であり、迅速な判断が求められるため、対応には高度なセキュリティ人材が必要になるというのが実情だ。

　このように、いずれもすっきりとした解決策とはいい難い中、ANAではシステムに影響を与える動作を防ぐという狙いで、プロセスのゼロトラスト化を導入している。

　サイバー攻撃に限った話ではないが、もしANAのシステムの稼働が妨げられると影響は甚大だ。過去には、障害のためにシステムが一時間以上停止した結果、10万人もの顧客に影響を与えたこともある。「万一システムを止めると、これほどの影響があることを理解した上で、われわれは対策を練らねばなりません」（和田氏）

ITmedia エグゼクティブセミナーリポート

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  デジタルアイデンティティこそがデジタル覇権の行方を左右する――東京デジタルアイディアーズ崎村夏彦氏

• 

  経営層と現場の間に横たわるギャップ解消のために心がけたい3つのポイント ――Armoris 取締役専務 CTO 鎌田敬介氏

• 

  生成AIは人間の仕事を奪わない。3つの懸念点を踏まえつつ、生成AIの積極的な活用を――日本マイクロソフト 西脇資哲氏

• 

  サイバーセキュリティだけ「特別扱い」には無理がある――経営を脅かすリスクの1つと位置付け、メリハリのある対策を

• 

  情報漏洩にとどまらず、ビジネスリスクの観点でのサイバー攻撃対策を実践―― サプライチェーン全体を視野に取り組む凸版印刷

• 

  世界は変わった？　変わらない？　変化の中で引き続き求められるバランスの取れたセキュリティ対策

• 

  サイバーセキュリティ連盟の調査で判明――日本企業のサイバー防御力、ギャップを埋める鍵はセキュリティ意識の変革から

• 

  DX推進とサイバーセキュリティ対策、双方に不可欠なのは「経営層のリーダーシップ」――東海大学 三角育生教授

• 

  医療データを扱うMDV、経営層への説明と現場への関わりのコツ――メディカル・データ・ビジョン 渡邉幸広氏

• 

  「サプライチェーン」を人質に取るようになったランサム攻撃 ――ラックの西本氏が語る、万一への備え

• 

  スタートアップと金融機関、2つの側面を持つbitbankのセキュリティ対策とは？ ――ビットバンク 橋本健治氏

• 

  経営と現場の板挟みになりがちなガバナンス、優先してやるべきことを明確に――リクルート 鴨志田昭輝氏

• 

  調査結果が明らかにした日本企業のCISO不在。リスクを見せる化し、経営視点を取り入れながらコミュニケーションすることで改善を――NRIセキュアテクノロジーズ 足立道拡氏

• 

  セキュリティ担当者が夜しっかり眠れる運用体制とは？――守りのDXで攻めのDXを支えるアステラス製薬の取り組み

• 

  独自の観測結果から見えてきたランサムの今と、対策のポイント――SBテクノロジー 辻伸弘氏