セキュリティ・パートナーの流儀

新幹線にスマホ10台! 説明前にまず自分で確かめる - Zimperium 成田氏（2/2 ページ）

「相性」の一言で片付けない

　導入したシステムが期待通りに動かないこともある。その場合でも、成田氏の姿勢は変わらない。過去にゼロトラスト製品を扱っていた際、拠点間ネットワーク（WAN）越しに内線電話を使う環境で、ある宛先への着信が時々うまくいかず、留守番電話になる問題が起きた。毎回事象が再現するわけではなく、原因の特定は難しかった。

　成田氏はパケットを確認していった。条件を一つずつ切り分ける中で、パートナー側のネットワークエンジニアが宛先によってヘッダーが大きくなっているのではないかと気付いた。調べると、ヘッダーが大きい場合にパケットが分割されていることが分かり、分割を制御する1ビットの設定に行き着いた。

　原因が見えれば、開発側へ証拠とともに伝えられる。この内線電話の件では、翌朝には修正版のβ版が戻ってきたという。

　複数の製品やネットワークが組み合わさる環境では、原因を特定できないまま「相性の問題」として処理されることがある。成田氏はそうしない。

　「原因がすぐに分からない事態が起きたとしても、そんな事例は聞いたことがありません、とか、相性の問題でしょう、とか。そういう説明はしたことがないんです。何か理由が必ずあるはずですから」

　不具合の指摘は、ベンダーにとって歓迎しにくい知らせでもある。それでも成田氏は、知らせてもらえる方がありがたいと考える。そこから一緒に原因を探せばいい。「相性」の一言で片付けないことが、成田氏の流儀なのだ。

安全かどうかだけでなく、その理由まで示す

　シンクライアントやリモートアクセスに長く携わってきた成田氏が、現在のZimperiumへ移ったのは、スマートフォンのセキュリティがまだ発展途上だと感じたことがきっかけだった。知人から同社の製品を紹介され、端末だけでなくアプリ自体を守れる点に面白さを感じたという。マルウェアを検知すればアプリの動作を止め、危険が迫ればアラートを出す。そうした制御ができる製品だった。

　最近は「AIの時代にスマホをどう守ればいいのか」「AIを使った攻撃があると聞いたが、うちのスマホアプリは安全なのか」といった、漠然とした相談も増えているという。成田氏は、こうした問いを、何を守るのか、どこから始めるのかという具体的な論点に分解していく。

　例えば金融機関の場合、Zimperiumのソリューションでは端末の状態に応じた制御ができるという。重大なリスクを検知した端末では、オンラインバンキングアプリの動作そのものを止める。OSの制限を解除した「脱獄端末」やマルウェアが入った端末では、振込操作だけを制限する。

　全てを一度に作り込む必要はない。「脱獄端末からの振込は止めたい」と、銀行の担当者ならおそらく誰もがそう考えるはず。そうした明白なところから始めればいい。必要に応じて、後から細かなロジックを加えていける。

　一方、端末管理の仕組みが入っていても、インシデントが起きたときの防御は別の観点になる。

　そこで、端末管理からセキュリティへと、もう一枚レイヤーを重ねる必要が出てくる。成田氏はそれを「段差」と表現する。「段差をスムーズに乗り越えられるよう、ロジックを付けてあげたい」と言う。

　これは端末管理を否定する話ではない。今ある仕組みを前提に、どこに追加の対策が必要か、その理由を一緒に考えるという意味だ。

　漠然とした相談を具体的な論点に分解するのは、アプリについても同じだ。仮に社内配布しているアプリに、あるバージョンから文字起こし機能が付いたとして、その文字起こしデータは端末内で処理されるのか、それとも外部のサーバへ送られるのか。後者であれば、社内の会話が知らないうちに社外へ出ていることになる。Zimperiumでは、アプリに組み込まれたSDK（ソフトウェア開発キット）などを解析し、その判断材料を得られるという。

　「そのアプリって本当に社内で使わせていいの？　というふわっとした質問にも的確に答えられます」

　安全かどうかを答えるだけでなく、なぜそう言えるのかを示す。それができるのは、アプリの中身まで調べているからだ。

技術は、誰かを楽しませるためにある

　経営層やITリーダーへのメッセージとして、成田氏が挙げたのは「まずは実際に調べてみませんか」という提案だ。一度に全社員、全端末を対象にする必要はない。主要なユーザーのスマートフォンを一部選び、危険なアプリが入っていないか、設定に問題がないかを確かめてみればいい。

　成田氏には、極端な数字で考えてみる癖があるという。通信速度が100倍になったらどうなるか。遅延が100分の1になったらどうなるか。大規模な試験が難しければ、対象を100分の1にして試してみる。「条件を大きく変えて考えるやり方は、セキュリティにも当てはまる気がしています」と成田氏は話す。

　「社内の主要なユーザーさんのスマホをテストに協力いただいて、チェックしてみてください。健康診断のイメージで一度調べてみると、そこから見えてくるものがあると思います」

　危険なアプリも設定の問題も見つからなければ、それでいい。問題が見つかれば、なぜアップデートしていないのか、なぜ古いアプリを使っているのか、なぜストア以外から入れているのかなどを聞く。そこには業務上の理由があるかもしれない。一部の端末を調べるだけでも、技術上の問題だけでなく現場の事情まで見えてくる。何を禁じるかではなく、どう変えるかを考える材料になる。

　成田氏は、多くの企業が取り組んできたメール対策やID管理について、「それは絶対必要なんですよ」と強調する。そのうえで、スマートフォンには固有の侵入経路があると指摘する。ショートメッセージで届くリンク、正規ストアを経由せずインストールされるアプリ。こうした経路は、企業の管理範囲外になりやすい。だからこそ、既存の投資を捨てるのではなく、その上にスマートフォン向けの対策を加えてほしい。それが成田氏の考えだ。

　成田氏が技術を評価するとき、基準にしていることがある。

　「技術は、誰かを楽しませたり、喜ばせたり、びっくりさせたりするためのものだと思っています。セキュリティツールを入れて業務が大変になったら、それは何かを見直すサインです。逆に、入れたあとも普通に業務が回っているのであれば、導入して正解だったということでしょう」

　難しい技術を、難しいまま伝えない。成田氏はそう考えている。

　「なるべく難しい技術用語じゃなく、普通の言葉で、かみ砕いて説明できることを大事にしたいですね」

　自分で製品を動かし、原因が分からなければパートナーと一緒に切り分け、対策は小さく試すところから始める。そうやって繰り返してきた経験が、成田氏の言葉に重みを与えている。「カバンが大きくなる」のも、無理はない。

セキュリティ・パートナーの流儀

高度化・巧妙化するサイバー攻撃に対抗するには、最新のテクノロジー導入だけでは不十分であり、それを支える高度な専門知見を持った「パートナー」の存在が不可欠です。優れたソリューションの背後にいるプロフェッショナルたちは、どのような想いで顧客に寄り添っているのか。本連載では、第一線で活躍するパートナー個人に焦点を当てて紹介します。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「迷ったら前へ！」ホワイトハウスにも突撃するCISO - NTT横浜氏

• 

  「AIは活かすが任せきらない意識が大切」 - イー・ガーディアンCISO徳丸氏

• 

  「技術を知らなければ、適切なリスクは取れない」　マネーフォワードCISO　松久氏

• 

  「CISOの役割は、緩める責任を負うこと」-freee CISO 茂岩氏

• 

  「人に配慮した、厳しくも前向きなセキュリティ環境づくり」 - ライフネット生命 竹山氏

• 

  子供の夢をYouTuberからホワイトハッカーに! 具現化を進めるCISO - GMO 牧田氏

• 

  絵画の傾きを皆で調整するな! 鳥瞰力で推進するリーダー - 村田製作所 楠本氏

• 

  勇者に最適な武器を! 世界に羽ばたく日本企業を生み出す - Cloudbase 岩佐氏

• 

  公共交通インフラの使命を軸に、事業継続への攻めと守りを大胆に実行する - JAL 鈴木氏

• 

  「仕方ないインシデント」まで全力を尽くせるか - さくらインターネット 江草氏

• 

  「進まざる者は必ず退く」、現状維持は大きなリスク - みずほFG CISO 寺井氏