幅広い利用者を持つ株式会社JCNT様における、個人や組織の情報漏洩対策としてのクラウド型WAF「Scutum」導入事例。海外渡航者向けの携帯電話レンタルサービス「Transfone」を運営する、株式会社JCNT。個人・法人に、幅広い利用者を持つ同社では、個人や組織の情報漏洩対策として、クラウド型(SaaS型)WAF「Scutum」を導入している。SQLインジェクションや、パスワードリスト攻撃など、Webアプリケーションの脆弱性を狙ったインシデントがニュース等で報道されることが多い中、セキュリティ担当として、どのような問題意識を抱えているのかを中心に伺った。迅速な対応で、「わからないが故の不安」を解消できたScutumの導入経緯をお聞かせください。昨今はニュースでもサイバー攻撃による情報漏洩が盛んに報じられています。この業界も例に漏れず、他社にてサイバー攻撃により個人情報流出被害に遭った事例がありました。そこで、当社でも早急にさらなる対策を講じる必要を感じ、ベンダーさんからご提案いただいたWAFサービスの中から、Scutumを採用しました。大きな会社ではないため、セキュリティの専任担当は、残念ながら置けません。そもそも、社内にはセキュリティ対策について十分なナレッジを持っている人材がいない状態で、こちらが求めるセキュリティのレベルや範囲をどれだけカバーしてもらえるか、という基準において、Scutumが最も合致していたのが導入のポイントとなりました。社内のナレッジがあまり高くなくても、問題なく運用できるという点ですね。早急な対策は実現できたでしょうか。導入までの期間は、1ヵ月ほどだったでしょうか。間に立っていただいたベンダーさんにも、迅速に対応してもらったと思います。こちらが、Webセキュリティについてわからないことが多かったので、レスポンスが早いことは、「わからないが故に起こる不安」の解消にも繋がります。「身の丈以上のセキュリティは欲しい」、その理由とは今後のセキュリティ対策としてどういったことをお考えですか?まず、基本的な考えとしては、当社にとって「身の丈以上のセキュリティ」が欲しいと思っています。わかりやすく言えば、セキュリティにかけられる予算が1000万円だとしたら、そこでもう一段階予算を捻出して、1500万円くらいの予算を投じて、より高機能な対策や人的投資を行いたいということです。システムやセキュリティを専任で担当する社員も、採用したいと考えています。それほど、いままさに必要な人材という認識です。その際に障壁となるのは、セキュリティに対する社内ナレッジの低さです。外部に対策を依頼するときも「何をやってもらえばいいか」が的確に明示できない。採用に際しては、その人の働きを正当に評価できるかどうか、という心配があります。そこを解決すべく、ベンダーさんの協力を得ながら、ナレッジを蓄積していかなければならないと痛感しています。そのことが、セキュリティのクオリティを高める、最良の方法ではないかと思います。セキュリティに対する、社内の温度感に差はありますか?先に述べた、他社での被害事例を受けて、「もし、我が社で同様の被害を受けてしまったらどうなるか?」という意識は強くなり、共有できるようになったと感じます。そのこともあり、「セキュリティに対して費用をかけなくてもいい」とか、「セキュリティ対策のプライオリティは低い」と考えている人はいないと思います。節約すべきところと、そうでないところは明確に区別せよと常々言っているつもりです。セキュリティの専任者を雇い入れることも、WAFをはじめとしたシステムへの投資も、積極的に行っていきたいです。その代わり、他のところではちゃんと節約したいと思っています(笑)。社内でセキュリティを見ている立場としての、課題はどのようなことでしょうか。ベンダーさんが投げかけてくれることを、的確に理解できるようになりたいですね。それがわからないと的確なリクエストができず、当社もベンダーさんも、どちらももどかしさを感じてしまいます。先延ばしにしてしまいがちですが、セミナーや勉強会にも足を運んで、運用者レベルとまでは行かなくとも、発注者としての必要最低限の知識は、常にアップデートしておきたいです。海外渡航者向けのSIMカード販売・海外携帯レンタルサービスの「Transfone」をはじめ、通信情報機器のレンタルサービス、国際電話回線のホールセール、携帯電話・PCデータカード・SIMカードの販売、通信事業コンサルティングサービス等を行っている。海外携帯レンタルサービスとしては、24時間日本語サポート、ワールドデリバリー等、きめ細やかなサービスが特徴で、個人のみならず、法人企業にも数多くのユーザーを獲得している。