セキュリティ・パートナーの流儀

セキュリティは「使えてなんぼ」　認証との偶然の出会いから22年 - NTTデータ 星野氏（2/2 ページ）

大切なのは、禁止ではなく安全に使える仕組みを構築すること

　2014年、星野氏は帰国し、現場に復帰する。世の中はちょうどスマートフォンが普及し始めた時期だが、業務利用はセキュリティポリシー上、認めていない会社がほとんどだった。

　だが、禁止のままにしておくのも問題だった。便利なのに使用が認められなければ、利用者は制度や仕組みの穴を探しはじめるのが世の常だ。必要なのは、会社が管理する、安全で使いやすい手段を提供することだと星野氏は考えた。帰国後、その考え方を実践する機会となったのが、すでにNTTデータで開発が進んでいたモバイル活用基盤「MERMaides」の全社導入である。

　同基盤は、業務情報をアプリ内の管理された領域に閉じ込め、端末を紛失した際には会社側のデータだけを遠隔で消去できる仕組みを実現していた。現在では、スマートフォンの業務利用は一般的だが、安全性を担保しながら業務利用を可能にする取り組みは、当時としてはかなり先進的だったという。

　星野氏が参画した当初、MERMaidesではメモ帳とカメラ程度しか使えず、利用は広がっていなかった。普及に向けて星野氏が目を付けたのがメールである。メンバーに実装を依頼し、社用メールをMERMaides経由でスマートフォンから扱えるようにした。これを機に利用が広がり、決裁承認などへ業務プロセスを拡大していった。

　「社員も喜んでいると感じましたし、自分でもスマートフォンが仕事で使えるようになってうれしかったですね」（星野氏）

　その後はコンサルティングに軸足を移し、2021年には日本電信電話（NTT持株会社）のIT室へ。国内NTTグループ全体のIT戦略推進やITガバナンスを担う組織において、バックオフィスシステムの大規模刷新をはじめとするDXプロジェクトに携わり、2023年10月にNTTデータへ復帰した。

泥臭い苦労がナレッジになる

　星野氏は、エンジニアを経てセキュリティコンサルティングにも長く携わった。現在率いているのは、その先で実際にシステムを構築し、導入まで担うデリバリの部隊だ。

　「セキュリティが経営課題になる中、経営層から対策を求められているものの、「どこから手をつければよいのか分からない」と悩むセキュリティ担当者の方は少なくありません。セキュリティに課題があることは認識していても、何が具体的な課題なのか、お客さま自身がうまく言語化できていないケースも多くあります。」（星野氏）

　課題を言語化できていない相手から悩みを引き出すのに、決まった手順書があるわけではない。チェックリストを一通り確認するだけでは十分ではなく、相手の反応を見ながら対話を重ねていくしかないのだ。

　曖昧な状況をコンサルティングの段階で具体化し、ソリューションが見えてきたらデリバリのチームへつなぐ。そんな一連の流れをデリバリ側で支える星野氏が、NTTデータの強みとして挙げるのが「地に足のついた解」だ。

　「セキュリティソリューションは『これを入れれば解決します』と簡単そうに言われがちです。でも現実には、そんなに簡単には導入できないし、導入後もうまく動かすにはいろいろな対応が必要です。我々は導入するだけでなく、実際に使える状態にするところまでしっかり支援できるんです」（星野氏）

　NTTデータ自身も、社内セキュリティをゼロトラスト環境で構築する際に、泥臭い苦労を重ねてきた。その経験をナレッジとして顧客への支援に活用しているという。絵に描いた餅ではなく、きちんと動く仕組みまで持っていく。それが星野氏の言う「地に足のついた解」なのだ。

AI時代のガバナンスはブレーキではなくハンドル

　現在、星野氏が顧客向けの勉強会などで多く扱うテーマの1つがAIガバナンスだ。AI活用は進めたいが、セキュリティ面でどのような対策が必要なのか分からない。あるいは、セキュリティ上の懸念から活用を進められない。企業には、そうした悩みがあると星野氏は話す。

　「AIガバナンスをテーマの1つにしているのは、AIをセキュアに使ってくださいとお伝えするためです。セキュリティがブレーキになってはいけません。AIを使って仕事を進めようというのがアクセルだとすれば、ガバナンスはブレーキではなくハンドルであるべきなんです。このメッセージは、講演でもよく響いているように感じます」（星野氏）

　重要なのは、セキュリティを理由に止めることではなく、進む方向を適切に定めること。星野氏が一貫して重視してきた「使えてなんぼ」の発想が、AIガバナンスにもそのまま通じているわけだ。

　一方、昨今のフロンティアAIに象徴されるようなAIの急速な進化は、セキュリティを取り巻く環境にも変化をもたらしている。AIによって脆弱性の発見が加速するならば、守る側の対応にもこれまで以上の速さが求められる。

　「AIの進化と脆弱性の検知精度が話題になっていますが、それで世の中が大きく変わったかというと、そういうことはありません。脆弱性が見つかって対応に追われるという流れは以前と同じですし、脆弱性を見つけるためにAIを使うこと自体も新しい話ではない。今は、それが加速していると捉えるべきでしょう。もちろん、もともと大事だと言われてきた対策が、無駄になるわけでもありません。ただ、そのやるべきことが十分にできていたのか。さらに速度が上がっても大丈夫なのか。そこは考えないといけない。全く新しい何かが来たから、こちらも全く新しい何かで応戦しなければならない、という話ではないのです」（星野氏）

　むしろ問われるのはセキュリティの基本だと星野氏は言う。そもそも自社がどのようなIT資産を保有しているのかを把握できていない企業も少なくないそうだ。変化が加速するAI時代には、そうした足元の強化が必要になるのだ。

これから議論すべきなのは、AIエージェントの権限管理

　星野氏がこれからの大きなテーマに挙げるのが、自律的にタスクを遂行するAIエージェントだ。自律的に動くということは、ある程度の権限をAIに渡すことを意味する。

　「私はよく、AIエージェントを秘書に例えます。社長や幹部の秘書は、社内のいろいろな情報にアクセスできる立場にあります。やろうと思えば何かできてしまうかもしれないけれど、それでも悪いことはしないのは倫理観を持つ人間だからです。しかし、AIエージェントの場合は、目的の達成だけを目指してしまうので、悪意なくやってはいけないことをやってしまうかもしれません」（星野氏）

　むろん、だから禁止する、という簡単な話でないのは、ここまでの星野氏の話からも明らかだろう。課題になるのは、エージェントのアイデンティティや権限をどう管理するかである。仮にAIエージェントが顧客に不利益をもたらすようなことをしてしまったとして、その責任は誰が取るのか。

　「AIが勝手にやりました、というのはおそらく言い訳にはなりません。責任の所在を含め、これから議論すべき点はまだまだあります」（星野氏）

　こうしたセキュリティ施策全般を進める上で星野氏が重視するのが、経営層による現場への支援である。

　「セキュリティは経営層のコミットメントが大事です。必ずしも経営層がセキュリティの中身を深く理解する必要はありませんが、その重要性を理解し、現場を応援してあげてほしいと思います」（星野氏）

　これまでの歩みを通して、星野氏が一貫して問い続けてきたのは、「便利な技術をどうすれば安全に使えるか」ということだ。星野氏の流儀は昔も今も同じ。「使えてなんぼ」なのである。

セキュリティ・パートナーの流儀

高度化・巧妙化するサイバー攻撃に対抗するには、最新のテクノロジー導入だけでは不十分であり、それを支える高度な専門知見を持った「パートナー」の存在が不可欠です。優れたソリューションの背後にいるプロフェッショナルたちは、どのような想いで顧客に寄り添っているのか。本連載では、第一線で活躍するパートナー個人に焦点を当てて紹介します。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「エラーの滝」にも怯まず挑戦を続けたから今がある――DeNA IT本部長 金子氏

• 

  「進まざる者は必ず退く」、現状維持は大きなリスク - みずほFG CISO 寺井氏

• 

  公共交通インフラの使命を軸に、事業継続への攻めと守りを大胆に実行する - JAL 鈴木氏

• 

  専門学校教員からNECのCISOに! 「人生は筋トレ」、訓練は超難題 - NEC 淵上氏

• 

  絵画の傾きを皆で調整するな! 鳥瞰力で推進するリーダー - 村田製作所 楠本氏

• 

  子供の夢をYouTuberからホワイトハッカーに! 具現化を進めるCISO - GMO 牧田氏

• 

  「人に配慮した、厳しくも前向きなセキュリティ環境づくり」 - ライフネット生命 竹山氏

• 

  「CISOの役割は、緩める責任を負うこと」-freee CISO 茂岩氏

• 

  「技術を知らなければ、適切なリスクは取れない」　マネーフォワードCISO　松久氏

• 

  「経営を動かす説明力を鍛えつつ、今も自らログ解析」 - みんなの銀行CISO二宮氏

• 

  「迷ったら前へ！」ホワイトハウスにも突撃するCISO - NTT横浜氏

• 

  「AIは活かすが任せきらない意識が大切」 - イー・ガーディアンCISO徳丸氏

• 

  「永遠に教科書にならない挑戦を楽しむ」 - メルカリCISO・市原氏