セキュリティリーダーの視座

「迷ったら前へ！」ホワイトハウスにも突撃するCISO - NTT横浜氏（2/3 ページ）

公開 2025年12月23日 08時00分

著者

星原康一

[ITmedia]

印刷する連載新着通知を受け取る

危機管理の要諦は「被害最小化」と「我慢」

――横浜さんが掲げる「被害最小化」について詳しく教えてください。

横浜氏： サイバー攻撃を100%防ぐことは不可能です。インシデントは必ず起きるものという前提に立ち、起きた際の被害をいかに最小限に留めるか、そのための準備を平時からしておくことが最も重要です。これが「計画的な被害最小化」です。

　また、インシデント発生時のCISOの役割として大事なのは「あたふたしない」こと、そして「我慢する」ことです。

Photo by 山田井ユウキ

――「我慢する」とはどういうことでしょうか。

横浜氏：　インシデントが発生した際、トップマネジメントへの報告責任がある立場としては、どうしても最新の状況を把握したくなります。「原因は分かったのか」「被害範囲は確定したのか」「再発防止策は」など、矢継ぎ早に質問したくなる。

　しかし、現場は対応に追われています。そこにCISOが細かい質問をあれこれすれば、現場の負担が増え、対応が遅れることは明らかです。ですから、言いたいこと・聞きたいことがあってもじっと我慢する。現場を信頼して報告を待つ。これが非常に重要であり、かつ難しいことでもあります。

――現場からの報告を待つだけで、状況は把握できるものなのでしょうか。

横浜氏：　長年やっていると、優れたインシデント報告には「5つの要素」が含まれていることが分かります。「事象の概要」「被害の全体像」「原因」「封じ込めの有無」「再発防止策」の5点です。

　実際のインシデントにおいてもセキュリティ訓練でも、優秀な現場からは自然とこの5点が網羅された報告が上がってきます。私はその報告を聞いて、例えば「特定の重要顧客への影響」など、経営視点で補足が必要な点があれば質問しますが、基本的には「被害最小化に向けて対処をお願いします」とだけ伝え、あとは現場に任せることがほとんどです。それが結果として、最も迅速で的確な対応につながると信じているからです。

リスクベースの「選択と集中」

――セキュリティ対策には多大なコストがかかります。投資判断の基準はどのようにお持ちですか。

横浜氏：　リスクベースの判断を行っています。発生確率と発生時のダメージを軸にしたヒートマップを作成し、優先的に対処すべきリスクを3つか4つに絞り込みます。

　例えば、ある時期にはランサムウェア対策が最優先であり、またある時期には内部不正対策が優先されるかもしれません。一方で、発生頻度や対策コストを勘案し、今はBEC（Business Email Compromise：ビジネスメール詐欺）の優先順位を下げる、などの判断も必要です。今出したのはあくまで例ですが、対処すべきリスクを優先順位付けして検討しています。

Photo by 山田井ユウキ

　全てのリスク対策に等しく投資することはできません。優先順位を明確にし、そのためのソリューション選定については、技術的な詳細までは私が口を出さず、専門知識を持つ部下に任せています。私は「何を守るか」「どこにリソースを集中するか」というグループ経営判断に徹しています。

「喧嘩をするなら大将と」――ホワイトハウスへの道

――NTTグループCISOという大きな所帯を率いるにあたり、マネジメント面で工夫していることはありますか。

横浜氏：　2014年7月にセキュリティ分野におけるNTTのプレゼンス向上というミッションを担った際、グローバルなプレゼンス向上が大切と考え、「年内にはホワイトハウスに行く」という目標を立てました。私のもう1つの座右の銘が「喧嘩をするなら大将と」なのですが、喧嘩するわけではないものの、どうせやるなら世界の中心であるホワイトハウスにアプローチすべきだと考えたのです。

――ツテもコネもない状態から、どのように実現されたのですか。

横浜氏：　まさに「わらしべ長者」のようなアプローチでした。最初は日本の当時のNISC（National center of Incident readiness and Strategy for Cybersecurity：内閣サイバーセキュリティセンター）や知人を頼り、ワシントンDCのシンクタンクや業界団体を紹介してもらい9月にワシントンDCを訪問しました。そこで「NTTは世界のサイバーセキュリティに貢献したい。そのためのプランを持ってまた戻ってくる」と宣言し、実際に社内でアクションプランをまとめて、12月に再び渡米しました。

　そうやって信頼とネットワークを少しずつ広げ、最終的にはUSTelecomの方の仲介などで、ホワイトハウス（アイゼンハワー行政府ビル）に入り、NSC（National Security Council：米国国家安全保障会議）のサイバーセキュリティ担当シニアディレクターと面会することができました。無謀な目標に見えても、退路を断って行動すれば道は開けるという経験でしたね。

次ページへマッキンゼー時代に学んだ、「No」に立ち向かう姿勢

印刷する

セキュリティリーダーの視座

サイバー攻撃が高度化する今、もはや一社だけで立ち向かうことはできません。本連載では、第一線で活躍するセキュリティのキーマンの経歴や思考、現場で培った実践知を紹介し、多くの方の判断のヒントとなる視点を届けます。ITmedia エグゼクティブでは、こうした知見を起点に、組織を越えた協力や交流の場づくりも進めていきます。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

星原康一

SpecialPR

ITmedia エグゼクティブのご案内

「ITmedia エグゼクティブは、上場企業および上場相当企業の課長職以上を対象とした無料の会員制サービスを中心に、経営者やリーダー層向けにさまざまな情報を発信しています。入会いただくとメールマガジンの購読、経営に役立つ旬なテーマで開催しているセミナー、勉強会にも参加いただけます。勉強会のスケジュールはこちら

ぜひこの機会にお申し込みください。

入会希望の方は必要事項を記入して申請ください。審査のうえ登録させていただきます。