セキュリティリーダーの視座

自動化の徹底で事業継続性向上へ - MIXI CISO 亀山氏（1/2 ページ）

　「セキュリティ対策は完璧でなければならない」――そんな固定観念にとらわれてはいないだろうか。「セキュリティは領域が広く、一番弱いところから狙われる。だからこそ一部の100点に固執するのではなく、一番弱い10点の領域を50点に引き上げることが重要だ」と語るのが、MIXIの執行役員CISO、亀山直生氏だ。

　同氏は現在、グループ全体のセキュリティのベースラインを確保するため、AIやボットを駆使した「運用の自動化」を徹底して推し進めている。インシデントの初動対応から、脆弱性修正コードの自動提案、さらにはクラウドサービスのセキュリティ評価に至るまでシステムに委ね、「特定の担当者や部署がいなくなっても崩壊しない、持続可能な仕組み」の構築を見据えているという。

　意味のないフィッシングメール訓練の廃止や、「インシデント対応件数をKPIにしない」といった合理的かつ独自の決断を次々と下す亀山氏。脆弱性診断の現場からグループ全体を牽引する立場へとキャリアを進めた同氏に、次世代のセキュリティ戦略の全貌を聞いた。

---

亀山 直生（KAMEYAMA Naoki）

――株式会社MIXI 執行役員 CISO セキュリティ室担当

　新卒で情報・通信システム企業に入社し、脆弱性診断サービスの実務に携わる。2015年6月、ミクシィ（現 MIXI）に入社。主に社内における脆弱性診断、IaaS監視、CSIRT、教育研修、ゼロトラスト、各種啓発など情報セキュリティに関する業務に従事。2021年1月、セキュリティ室 室長就任。2023年4月より現職。

---

「Webが分かる人に手を貸してほしい」で始まったキャリア

――これまでのご経歴について教えてください。

亀山氏：　もともとは、ゲームを作りたかったんです。それでIT系の専門学校に進みました。卒業後は情報・通信システム企業にプログラマーとして入社したのですが、配属先に開発の案件がそれほどありませんでした。

　代わりに声がかかったのが、当時ちょうどサービス化されたばかりのWebアプリケーション脆弱性診断の部署です。システムに潜むセキュリティ上の欠陥を、攻撃者と同じ手法で探し出す仕事ですね。「Webサイトのことが分かる人に手を貸してほしい」みたいな感じで入りました。

――そこからセキュリティの道へ進まれたのですね。

亀山氏：　そこから約8年、脆弱性診断の現場に身を置きました。ただ、やがて転職を考えるようになりまして。脆弱性診断については、もう十分やったと感じていたからです。セキュリティは領域が広いので、もう少し幅を広げたいなと思いました。

　そして2015年6月に、ミクシィ（現MIXI）へ入社しました。もともと脆弱性診断を内製化したいという需要があってのことだったのですが、約1年後、組織改編でセキュリティ室がなくなってしまいまして。

　そんなときに声をかけてくれたのが、当時、エンターテインメント事業を担っていたXFLAGスタジオの村瀨龍馬氏（のちに同社取締役CAIO）です。そこでゲーム側のセキュリティやチート対策に加わり、活動の幅を広げていきました。

ポジティブな反応がもらえたコロナ禍のセキュリティ対策

――社内でセキュリティ施策を進めるうえで、難しさを感じることはありますか。

亀山氏：　必要な施策であっても、現場に渋い顔をされるときがたまにあるところでしょうか。セキュリティの話が来ると、また何か手間が増えるのかな、という印象から始まることがあるようには思います。

――そうしたなかで、印象に残っている取り組みを教えてください。

亀山氏：　コロナ禍でリモートワークへの移行が求められたときのことですね。

　当社ではコロナが来る前からゼロトラストを模索していたのですが、それが図らずもそのタイミングでハマったんです。自宅からでも社内システムへ安全かつ簡単にアクセスできるようになり、普段は手間が増えるものと受け取られがちなセキュリティ施策が、このときは現場から前向きに受け止められました。

完璧はないからこそ「気付ける状態」をつくることが重要

――2023年4月に執行役員CISOへ就任されました。現在の役割をどのように捉えていますか。

亀山氏：　私の役割は、MIXI GROUP全体のセキュリティのベースラインを確保することです。セキュリティに上限はありません。さらに、どこまでやっても完璧にはおそらくならないんです。ただ、最低限ここはやらないといけない、という箇所はあります。

――グループ全体のベースラインは、どのように定めているのでしょうか。

亀山氏：　世の中にある有名なフレームワークをそのまま使うのではなく、75項目ほどの確認項目を用意し活用しています。この確認項目を埋めていくことで、ISMSなどの基準に対して自社がどの程度対応できているかを可視化する仕組みを導入しています。

――完璧がないなかで、何を優先されるのでしょうか。

亀山氏：　重視しているのは、問題に気付ける状態をきちんとつくることです。

――具体的には、何をどのように検知しているのでしょうか。

亀山氏：　大きなところでいうと検知の対象は5つあります。パブリッククラウドへの攻撃や設定不備、PCへの攻撃、アカウントの不正利用、アプリの脆弱性、そしてサプライチェーンの侵害です。

　開発環境については、監視基盤がクラウド上のリソースと各部門のソースコードを読み取り、AIを組み込んだ検知分析エンジンが、トリアージから一次調査までを自動で進めます。

　ただ、システムで気付ける範囲には限りがあります。人のミスや監視対象の外側で起きた事故は捉えにくい。そこを横断的に補うのが、事故対応の専門チームであるCSIRTです。当社では「mixirt（ミクサート）」の名称で運営しています。

　ここでも初動対応の自動化を進めており、窓口に報告が来るとSlackのボットが自動で関係者を集めてチャンネルを作成し、LLMが修正方針の提案まで行ってくれます。

セキュリティリーダーの視座

サイバー攻撃が高度化する今、もはや一社だけで立ち向かうことはできません。本連載では、第一線で活躍するセキュリティのキーマンの経歴や思考、現場で培った実践知を紹介し、多くの方の判断のヒントとなる視点を届けます。ITmedia エグゼクティブでは、こうした知見を起点に、組織を越えた協力や交流の場づくりも進めていきます。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「セキュリティは事業を活かす出汁、責任者はCIMOで目指せ」 - JTB 椎野氏

• 

  「CISOは1人の経営者たれ」――ログの先の人を思う、LayerX CISO 星氏

• 

  「進まざる者は必ず退く」、現状維持は大きなリスク - みずほFG CISO 寺井氏

• 

  「仕方ないインシデント」まで全力を尽くせるか - さくらインターネット 江草氏

• 

  公共交通インフラの使命を軸に、事業継続への攻めと守りを大胆に実行する - JAL 鈴木氏

• 

  専門学校教員からNECのCISOに! 「人生は筋トレ」、訓練は超難題 - NEC 淵上氏

• 

  絵画の傾きを皆で調整するな! 鳥瞰力で推進するリーダー - 村田製作所 楠本氏

• 

  「人に配慮した、厳しくも前向きなセキュリティ環境づくり」 - ライフネット生命 竹山氏

• 

  「CISOの役割は、緩める責任を負うこと」-freee CISO 茂岩氏

• 

  「技術を知らなければ、適切なリスクは取れない」　マネーフォワードCISO　松久氏

• 

  「経営を動かす説明力を鍛えつつ、今も自らログ解析」 - みんなの銀行CISO二宮氏

• 

  「迷ったら前へ！」ホワイトハウスにも突撃するCISO - NTT横浜氏

• 

  「AIは活かすが任せきらない意識が大切」 - イー・ガーディアンCISO徳丸氏

• 

  「永遠に教科書にならない挑戦を楽しむ」 - メルカリCISO・市原氏