セキュリティリーダーの視座
自動化の徹底で事業継続性向上へ - MIXI CISO 亀山氏（2/2 ページ）
インシデントの対応件数をKPIにすべきではない理由
――システムで捉えにくい部分には、どのように対応しているのでしょうか。
亀山氏： 人に報告してもらうしかないので、そのための工夫をしています。まず窓口はシンプルにすること。窓口が幾つもあったら、何をどこに報告すればいいのか覚えるのは大変ですからね。
また、忘れず意識してもらえるように、全社員研修や、入社時のオリエンテーション、各フロアのサイネージ、Slackの文末など、思いつく限りの場所で、きちんと報告してほしいと言い続けています。
――報告してもらうために、ほかに気をつけていることはありますか。
亀山氏： ポイントになるのが、KPIの設定です。インシデントの対応件数を減らすこと、まして0件にすることを目標にすると、「何かあっても報告しない方がいい」と思われる恐れがあります。
数字だけ改善しても、実態が異なっていては意味がありません。ですから、対応件数を減らすことは目標にしていません。 むしろ事故か分からない疑いレベルでも報告を促すようにしています。
フィッシングメール訓練をやめた理由
――従業員向けの教育は、どのように行っていますか。
亀山氏： セキュリティ対策で重要なのは、システムだけではありません。人材育成にセキュリティ教育を組み込み、組織全体のリテラシーを上げることも必要です。全社員向けのセキュリティ研修は年に一度実施し、内容を毎年更新しています。
――疑似的なフィッシングメールを従業員に送る訓練は、実施されていますか。
亀山氏： 以前はやっていましたが、今はやめています。フィッシングメール訓練は、メールを開かないでクリアしている人と、開いたうえでクリアしている人の区別ができなかったのです。
これでは、フィッシングメールを見分ける力が身に付いているかを正確に測れません。そこで訓練を廃止し、代わりに全社員が受ける理解度テストへ、フィッシングメールを見分ける問題を組み込みました。
MIXI 執行役員CISO 亀山 直生氏 Photo by 山田井ユウキ
――セキュリティ人材の育成については、どのようにお考えですか。
亀山氏： 最初から何でもできる人を求めてはいません。社内の育成については、まずは自分の得意領域を担当してもらいつつ、別の領域も少しずつ見られるよう育成しています。
――採用の面接では、どのような点を見ていますか。
亀山氏： 中途採用の場合、知識の有無だけを確認することはしません。これまでの経験を聞いたうえで、質問を重ねて掘り下げていきます。「なぜそうするのか」といった背後のロジックまで説明できるかどうかを問うようにしています。
傾向として当社の環境にマッチしやすく活躍しているのは、脆弱性診断の経験者や、いわゆる「1人情シス」を経験してきた人たちですね。決められたオペレーションをこなすだけでなく、自分で考えて動かざるを得ない環境にいた方が向いているのだと思います。
自動化が企業の安定を生む
――検知した問題は、どのように修正へつなげているのでしょうか。
亀山氏： 検知の仕組みが整っても、それだけでは足りません。リスク分析と修正提案はセキュリティ室が担いますが、実際に対応するのは事業側のエンジニアです。以前は、こちらが検知して担当者へ連絡する流れが中心でしたが、対応に限界があり、変更することにしました。
現在は、各事業部が自部門の範囲で監視の結果を確認し、AIに質問しながら対応を進められるようにしています。事業側が見て直す部署もあれば、途中で詰まる部署もある。そうしたところをセキュリティ室がフォローします。
――こうした取り組みでは、AIをどのように位置づけていますか。
亀山氏： AIそのものには比較的信頼を置いています。AIに何かをやらせて事故が起きるというのは、あまり気にしてないですね。AIが間違える確率よりも、人間が間違える確率のほうが高いんじゃないかなと思いますし。
ただし、万能視はしていませんし、リスクに対処する体制も整えています。例えば社外秘の情報を扱う場合などユースケースにあわせて契約やセキュリティの確認を行い、AI利用のガイドラインを作成して運用しています。また、AIの生成結果をうのみにするのではなく、きちんとレビューや承認のフローを組むことが重要だと考えています。
今後は修正対応の自動化もさらに進めたいと考えており、監視ツールで脆弱性を検知したら、どのように修正すべきかをAIが判断し、GitHubへ自動でプルリクエスト（修正コード）を投げる仕組みも現在調整中です。
MIXI 執行役員CISO 亀山 直生氏 Photo by 山田井ユウキ
――AIは、ほかにも活用されていますか。
亀山氏： 開発環境の監視だけではありません。業務で使うクラウドサービスも、セキュリティ対策が行き届いているかを確かめる必要があります。年に一度のヒアリングや、相談窓口に寄せられた情報をもとに、利用中のサービスを台帳にまとめています。
ISMSやSOC 2といった情報セキュリティの認証を取得した事業者であれば、対策状況をある程度は読み取ることが可能です。それをAIが読み取り、社内の基準に照らして自動で確認する。自動で必要な情報がそろわない場合や、個人情報などリスクの高い情報を扱う場合は、事業者へのヒアリングなど、人による確認に回す。といった活用も始めています。
――座右の銘などはありますか？
亀山氏： 私個人の考えとして「ビジネスはフェアであるべき」という思いがあります。価値あるものにはきちんとお金を払うべきですし、納得性の低い金額であるなら取引をしない。価値に対する金額で見た時に、自分でやるならどれくらいコストがかかりそうかとか、納得のいく金額かとかはよく考えます。価値を正しく伝えることも大事ですし、価値を見抜くことも大事だと思っています。買い手には買わないという選択肢があり、売り手には売らないという選択肢がある。仕事でも私生活でも大事にしている考え方です。
――こうした運用の先に、何を見据えているのでしょうか。
亀山氏： 人手を増やさずに持続できる仕組みづくりです。仕組み化をせずにマンパワーだけで対応を続けていると、その部署がなくなった瞬間に崩壊してしまいます。 仕組みが整っていれば、自分たちが不在になってもしばらく運用を続けられます。なるべく特定の部署や担当者に依存しない状態を目指しています。
セキュリティは、一番弱いところから狙われる
――最後に、経営層やセキュリティ担当者へ伝えたいことを教えてください。
亀山氏： セキュリティは、プログラムのバグと一緒で、いくら対策をしても完璧にはなりません。むしろ完璧を求めすぎると、身動きが取れなくなってしまうこともあります。例えば今、0点だとしたら、いきなり100点じゃなくても、まずは50点まで引き上げられればいい。前進していることが重要なんです。
――なぜ、まず50点を目指すべきなのでしょうか。
亀山氏： セキュリティは、一番弱いところから狙われるからです。これは前職でも教わったことですが、まさにその通りだと思っています。
守るべき領域が複数あり、仮に1つだけが10点で、残りが90点だとします。攻撃する側は、当然、最も弱い10点の領域を狙うでしょう。そうなれば、ほかの領域を90点まで高めていても、全体としての守りには弱点が残ります。10点の領域を残したまま90点を100点にするより、まず10点を50点まで引き上げるほうが、全体の守りは厚くなる。要は、最低ラインを引き上げることが大切なんです。
MIXI 執行役員CISO 亀山 直生氏 Photo by 山田井ユウキ
――現在は、どこが最も狙われやすいとお考えですか。
亀山氏： 今一番簡単だと思われているのは、人間だと思います。正面からアプリケーションやインフラを破るのは難しい。だからこそ、人をだまして侵入の足掛かりを得ようとする攻撃が現れています。また、人に加えて取引先や委託先を経由するサプライチェーンも狙われやすい領域になっていると見ています。
ご時世によって狙われやすいところは変わりますので、自分たちの一番弱いところと世の中の状況を照らし合わせて、優先的に対応していく必要があります。
Copyright © ITmedia, Inc. All Rights Reserved.
セキュリティリーダーの視座
サイバー攻撃が高度化する今、もはや一社だけで立ち向かうことはできません。本連載では、第一線で活躍するセキュリティのキーマンの経歴や思考、現場で培った実践知を紹介し、多くの方の判断のヒントとなる視点を届けます。ITmedia エグゼクティブでは、こうした知見を起点に、組織を越えた協力や交流の場づくりも進めていきます。
この記事の著者
関連記事
ITmedia エグゼクティブのご案内
「ITmedia エグゼクティブは、上場企業および上場相当企業の課長職以上を対象とした無料の会員制サービスを中心に、経営者やリーダー層向けにさまざまな情報を発信しています。入会いただくとメールマガジンの購読、経営に役立つ旬なテーマで開催しているセミナー、勉強会にも参加いただけます。 勉強会のスケジュールはこちら
ぜひこの機会にお申し込みください。
入会希望の方は必要事項を記入して申請ください。審査のうえ登録させていただきます。
- 入会条件：
- 上場企業および上場相当企業の課長職以上
※入会は無料です
エグゼクティブコンテンツ
SpecialPR
アクセスランキング
-
1
自動化の徹底で事業継続性向上へ - MIXI CISO 亀山氏
-
2
AI、展覧会で書を語る 作品の背景詳細に、作者の意識を超えた指摘に驚きも 書の力
-
3
「AIが勝手にやりました」は通らない トラブルの瞬間に試される責任の所在
-
4
第53回：なぜ、日本企業では「考えるマネジャー」が育たないのか──AI時代、「言われたことは得意だが、課題抽出や提案は苦手」な組織から脱する方法
-
5
人類最速ボルト選手上回る記録 衝突し炎上するロボットも、中国・第2回人型ロボ運動会
-
6
「仕方ないインシデント」まで全力を尽くせるか - さくらインターネット 江草氏
-
7
姿消す飲料自販機…割高で消費者離れ ガチャガチャ付きや独自決済アプリで各社がてこ入れ
-
8
密室商法の現場に潜入、そこから学んだこと
-
9
タクシー大手「エムケイ」が国内初の蓄電池システム導入 安全性、耐久性高くコスト削減も
-
10
DXの推進では、早期の段階から常識を捨て、非常識に挑戦することが重要――日本ゼオン デジタル統括推進部門長 脇坂康尋氏
ITmedia エグゼクティブ SNS
@itm_executiveをフォロー
インフォメーション
注目情報をチェック
ITmediaエグゼクティブをフォロー