セキュリティリーダーの視座

「迷ったら前へ！」ホワイトハウスにも突撃するCISO - NTT横浜氏（2/3 ページ）

危機管理の要諦は「被害最小化」と「我慢」

――横浜さんが掲げる「被害最小化」について詳しく教えてください。

横浜氏： サイバー攻撃を100%防ぐことは不可能です。インシデントは必ず起きるものという前提に立ち、起きた際の被害をいかに最小限に留めるか、そのための準備を平時からしておくことが最も重要です。これが「計画的な被害最小化」です。

　また、インシデント発生時のCISOの役割として大事なのは「あたふたしない」こと、そして「我慢する」ことです。

――「我慢する」とはどういうことでしょうか。

横浜氏：　インシデントが発生した際、トップマネジメントへの報告責任がある立場としては、どうしても最新の状況を把握したくなります。「原因は分かったのか」「被害範囲は確定したのか」「再発防止策は」など、矢継ぎ早に質問したくなる。

　しかし、現場は対応に追われています。そこにCISOが細かい質問をあれこれすれば、現場の負担が増え、対応が遅れることは明らかです。ですから、言いたいこと・聞きたいことがあってもじっと我慢する。現場を信頼して報告を待つ。これが非常に重要であり、かつ難しいことでもあります。

――現場からの報告を待つだけで、状況は把握できるものなのでしょうか。

横浜氏：　長年やっていると、優れたインシデント報告には「5つの要素」が含まれていることが分かります。「事象の概要」「被害の全体像」「原因」「封じ込めの有無」「再発防止策」の5点です。

　実際のインシデントにおいてもセキュリティ訓練でも、優秀な現場からは自然とこの5点が網羅された報告が上がってきます。私はその報告を聞いて、例えば「特定の重要顧客への影響」など、経営視点で補足が必要な点があれば質問しますが、基本的には「被害最小化に向けて対処をお願いします」とだけ伝え、あとは現場に任せることがほとんどです。それが結果として、最も迅速で的確な対応につながると信じているからです。

リスクベースの「選択と集中」

――セキュリティ対策には多大なコストがかかります。投資判断の基準はどのようにお持ちですか。

横浜氏：　リスクベースの判断を行っています。発生確率と発生時のダメージを軸にしたヒートマップを作成し、優先的に対処すべきリスクを3つか4つに絞り込みます。

　例えば、ある時期にはランサムウェア対策が最優先であり、またある時期には内部不正対策が優先されるかもしれません。一方で、発生頻度や対策コストを勘案し、今はBEC（Business Email Compromise：ビジネスメール詐欺）の優先順位を下げる、などの判断も必要です。今出したのはあくまで例ですが、対処すべきリスクを優先順位付けして検討しています。

　全てのリスク対策に等しく投資することはできません。優先順位を明確にし、そのためのソリューション選定については、技術的な詳細までは私が口を出さず、専門知識を持つ部下に任せています。私は「何を守るか」「どこにリソースを集中するか」というグループ経営判断に徹しています。

「喧嘩をするなら大将と」――ホワイトハウスへの道

――NTTグループCISOという大きな所帯を率いるにあたり、マネジメント面で工夫していることはありますか。

横浜氏：　2014年7月にセキュリティ分野におけるNTTのプレゼンス向上というミッションを担った際、グローバルなプレゼンス向上が大切と考え、「年内にはホワイトハウスに行く」という目標を立てました。私のもう1つの座右の銘が「喧嘩をするなら大将と」なのですが、喧嘩するわけではないものの、どうせやるなら世界の中心であるホワイトハウスにアプローチすべきだと考えたのです。

――ツテもコネもない状態から、どのように実現されたのですか。

横浜氏：　まさに「わらしべ長者」のようなアプローチでした。最初は日本の当時のNISC（National center of Incident readiness and Strategy for Cybersecurity：内閣サイバーセキュリティセンター）や知人を頼り、ワシントンDCのシンクタンクや業界団体を紹介してもらい9月にワシントンDCを訪問しました。そこで「NTTは世界のサイバーセキュリティに貢献したい。そのためのプランを持ってまた戻ってくる」と宣言し、実際に社内でアクションプランをまとめて、12月に再び渡米しました。

　そうやって信頼とネットワークを少しずつ広げ、最終的にはUSTelecomの方の仲介などで、ホワイトハウス（アイゼンハワー行政府ビル）に入り、NSC（National Security Council：米国国家安全保障会議）のサイバーセキュリティ担当シニアディレクターと面会することができました。無謀な目標に見えても、退路を断って行動すれば道は開けるという経験でしたね。

セキュリティリーダーの視座

サイバー攻撃が高度化する今、もはや一社だけで立ち向かうことはできません。本連載では、第一線で活躍するセキュリティのキーマンの経歴や思考、現場で培った実践知を紹介し、多くの方の判断のヒントとなる視点を届けます。ITmedia エグゼクティブでは、こうした知見を起点に、組織を越えた協力や交流の場づくりも進めていきます。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「永遠に教科書にならない挑戦を楽しむ」 - メルカリCISO・市原氏

• 

  「AIは活かすが任せきらない意識が大切」 - イー・ガーディアンCISO徳丸氏