エバンジェリストに聞く「インシデントレスポンスやフォレンジック事業でも行っていない限り、むしろセキュリティサービスを提供している企業の方が一般企業よりも実被害経験が少ないのではないか」そんな説を披露するのは、グローバルセキュリティエキスパート株式会社の武藤耕也氏だ。何をする部隊なのか?」「何のために運用ルールを作ったのか?」を現場が(時には経営層も含めて)理解していないことにあるという。腹落ちをせずに課題出しや棚卸しを進めてしまったため、「現場がとりあえず挙げた」課題やリスクは、そもそもこの段階から実態と乖離している場合が多々ある。担当したコンサルはというと「ちゃんとガイドラインに沿ったものにしてくれ」「とにかくリスクをできるかぎり潰してくれ」等の依頼を経営層から受け、「(今の状況のままそれをやると)運用がかなり大変になります」とは説明するものの、それでもいいからと言われ、結果、キツめのルールが策定されることになる。なると現場では、やたらとキツいルールが一方的に上から降ってきたように見え、なぜこのルールに従う必要があるのかすら分からない。一方で日々の業務で効率性を強く求められるため、ルールの無視が横行、どんどんルールが有名無実化していく。ここにも大きなギャップが存在している。手段が目的化してしまい、そもそもの目的が忘れられてしまうのだ。サービスへの期待も、現場と事業者ではちぐはぐな場合があるという。その企業が「そのシステムを業務にどう活用しているか?」「業務が具体的にどう回っているか?」を知らなければリコメンドすら難しいのが実態だからだ。任せたら全部やってくれると思っている。コマンダーに連絡して、技術的な見解を伝え、扱うデータが重要であればシステムを止めたほうが良いのではと意見具申する場合も多々あります。コマンダーにシステムを停止する権限が移譲されていない場合も多いのです。犯人側は連休中に犯行を行うことも多いのですが、その際、権限を持つ担当の役員はゴルフで不在、電話もつながらない、などはよくある話です。判断ができないために現場では動けず、被害は拡大していきます。同じようにまず「本当の企業リスク」としてサイバーリスクを認識することだ。その際に防犯や保安の視点が役に立つ。「サイバーリスク」というと、どうしても実態の無い、つかみどころのない想像上の産物のように感じる人はいまだに多い。このリスクを実感として社長から一般従業員まで、社内の共通認識にできれば、「なぜこのルールが必要なのか?」「なぜちょっとしたトラブルを隠してはいけないのか?」「『見える化』を徹底して、みんなで声を掛け合ったりすることがいかに重要か」などが分かってくる。「防犯」を意識ししたときは、誰もが無理なく理解できる感覚だ。それに気づくと、一気にマインドチェンジが起きる。それが分かることで、次はどうやって実態に伴った棚卸しや、リスクアセスメントに繋げるかといった本質的な課題が出てくる。それを経営層が理解し、部門長が理解し、一般従業員まで理解した上で進められれば、その企業のセキュリティレベルは一気に向上していく。先に述べた「先に進んでいる企業」とは、こういった企業だ。●わかっている人は外部にはいないそこに気づき始めると、自分たちの社内にまず最初に必要な人材も分かってくる。使って何をしようとしているのか?」「ビジネスとしての目的を理解し、現場はどうやってITを利用しているのか?」「運用はどうなっているのか?」をちゃんとわかっている人だ。こんな人は、外部のセキュリティ企業にはいない。自社の中にこそ存在する。事業リスク・技術的リスクの視点を持って、この設計は、この運用は、この状況は、どの程度危険なのか「わかる」ように育てていかなければならない。わかっている人がいれば、経営層も適切にリスクを把握できるようになる。自社に適合しない製品やサービスを利用することもないし、そのサービスにどこまで期待できるかもわかる。「セキュリティ人材を社内で育てる理由」がここにある。活用の実態を「わかって」いなくてはアドバイスできない。その意味でもセキュリティだけ分かっていてもダメなのだ。「『セキュリティが分かる人がいないから人を出してくれ』と言われる機会も年々増えていますが、すでに全てを受けきれない状況にあります。その意味でも人の育成は極めて重要なテーマです。分野全般に及んでしまうためです。セキュリティ企業の中でも『ネットワークが専門』や『ウイルスが専門』など分野が分かれています。いま一番求められているのはこういった分野を超えた技術が分かり、全体像を把握している人材です。そもそもフルスタックエンジニアは希少ですし、さらにセキュリティやビジネスの観点を持つとなると余計です」と武藤氏は言う。氏のもと二度目の変革期にあり、いわば「三度目の創業」に挑んでいる。CND(認定ネットワークディフェンダー)」を日本に導入し、公式トレーニングコースや資格試験の展開を行っている。トレーニングの理念は「幅広い知識と経験を、いかに効率よく学習者に定着させるか?」「敵を知り、己を知れば百戦危うからず」というもので、まさにこの求められている層をどう増やすか?という点にマッチしている。ペネトレーションテストチームを設立した日本で最初期の企業のひとつであることだ。年より前に商標登録してさえいる)ペンテスト、脆弱性診断、インシデントレスポンス、セキュリティコンサルなど、ハードコアな技術者とコンサルタント集団の持つノウハウと第一線人材を、教育事業に惜しげも無く投じている企業は他に例が少ない。●「コミュニケーションの面倒臭さ」から逃げずに、リスクを見える化し、共通認識に武藤氏がクライアント先で必ず語るのは「基礎(リスクの見える化と共通認識の醸成)を作るのが一番面倒臭いんです。建物でもそうですよね。基礎を作るのは地味な割に一番手間がかかるし、達成感も少ない。モチベーションも上がらない。設置とか新サービスや新製品の導入を行ってしまうと、実態と乖離した施策を行うことになってしまい、結果、みんなハッピーにならない。コストだけ払って、セキュアになっていないんです。基礎がおざなりな建物は、いくらウワモノにお金をかけても、一回の地震で壊れてしまいます。これではコストを払った企業も不幸だし、「あそこにサービスを頼んだのに...」と後ろ指をさされるセキュリティ会社も不幸だ。その意味でも「わかる人」をちゃんと社内に育てて、経営層とシステム部門と事業部門の間に立ち、お互いに喧々諤々、意見を言い合い、お互いの立場で考えるリスク、コアコンピタンス、目指すビジョンや価値観を検証確認しながら、コンセンサスを得るための建設的なコミュニケーションをファシリテートできるようにしなければならない。それはまさに、荒れ地を整地して、こつこつと基礎を作っていくような、地道で手間のかかる作業だ。逆に、そこさえしっかりできれば、ちゃんとリスクをコントロールできる組織にすることができる。「だから課題やリスクやトラブルを隠すんじゃなくて、どんどん見える化して、意見をお互いに言い合えるようにしないといけないのです。これも『何のためにそんなことするか?』という意識付けが必要です。流のメール訓練」とはその意味で、サイバー犯罪を「体験する」事は、とても有用だと武藤氏は言う。「標的型メール訓練というと、何を今さら...と思われる方が多いんですけど、うちのお客様の中でも訓練を積極的、かつ継続的に行っている企業様では「毎月全社で」とか「五月雨で」というように繰り返し訓練を行っています。その文面も、本当の標的型攻撃で使われるような、簡単に見破れない詐欺的な文を使って行います。%近くになることもあるわけですが、この訓練は開封率を下げることが目的ではなく、騙されること、犯罪に巻き込まれた体験を共有することそれそのものが目的なんです。思った時、もしくは騙された事に気づいた時に、すぐ相談したり報告できるようになるための訓練」と、それぞれに目的も内容も変えて実施している。動けるか?」「社内の連携はスムーズか?」などを細かくチェックしている。訓練後の報告会では、システム管理部門だけでなく、経営層はもちろん、リスク管理部門や各事業部門の部門長が出席し、幹部とシステム運用の現場での共通認識を作り上げる。その後、従業員向けの勉強会やラーニングシステムでのフィードバックが行われる。いった訓練のシナリオや仕組づくりを通じて、経営層を巻き込んだ報告会や勉強会を行い、共通の体験を元に社内の防犯意識とサイバーセキュリティに対しての共通認識を醸成する。「サイバーセキュリティ教育カンパニー」を名乗る所以だ。「セキュリティコンサルから脆弱性診断、ソリューション導入と運用、監視、インシデントレスポンスまで、今まではそれぞれ別のサービスとして提供してきましたが、本来これらは全て繋がっているものなんです。それをサイバー犯罪や攻撃者の観点でシナリオを作り、お客様に体験して頂くことで、サイバーセキュリティの全体感や勘所を掴んで頂けるように工夫しています。今ではセキュリティエンジニアやホワイトハッカー育成のような直接的なトレーニングはもちろん、エンジニアのセキュリティ知識を経験に変えるための「実践型インシデント対応演習」の相談や、「意見出し・課題出しのための部門合同検討会のファシリテート」「全社年間教育プランのコンサル」などといった、より具体的・本質的な相談が増えている。これは何よりも、相談してくる一般企業がサイバーリスクをすでに認識し、セキュリティの実効性をより強く求めるようになったことの証左に他ならない。「ちゃんとわかってもらえれば、みんなハッピーになれる」が武藤氏の信条だ。力をもってしても、言うは易く行うは難い目標だ。支援に力を入れる中堅企業の市場は、まだまだ無理解と低予算の荒れ野だろう。武藤氏がこの「荒野(こうや)」をどこまで「耕す」ことができるか。「まずはみんなでサイバー犯罪を体験して共通認識を持ちましょう。共通認識が持てたらリスクをどんどん見える化していきましょう。使って実現したいことは何か?』に立ち戻ると、その先の理解がスムーズです。いった認識がしっかり共有できれば、棚卸しも、リスクアセスメントも、それぞれの部門が自分の言葉で話してくれるようになります。ここまで来れば、ロードマップが本当の意味で自分たちのものに、意義のあるものになります。武藤氏がこの記事の取材で語った言葉だ。いまもそのときの武藤氏の目の輝きを忘れない。その情熱はまさに「教育者」のそれであった。サイトに掲載の記事・見出し・写真・画像の無断転載を禁じます。+1ラインに送るはてなブックマーク。