世界200拠点を守るヤマハ発動機のCSIRT、体当たりで挑んだ「セキュリティガバナンス」：ITmedia エンタープライズ セキュリティセミナーレポート（1/4 ページ）

グローバルな視点でサイバー脅威からどう企業を守るか――。ITmedia エンタープライズが11月に開催したセキュリティセミナーでは、ヤマハ発動機におけるCSIRTの取り組みや、セキュリティ対策のトレンドである「Threat Hunting」が紹介された。

[タンクフル，ITmedia]

　国内外でセキュリティインシデントが増え続ける中、組織的なセキュリティ対策として、CSIRT（Computer Security Incident Response Team）を整備する機運が高まっている。

　日頃からインシデントに備え、万一インシデントが発生したときには、社内外の関係者と調整しながら被害の最小化を目指す――。バイクや汎用エンジン、産業用ロボットを製造するグローバル企業「ヤマハ発動機」は、日本企業の中でも早くからCSIRTを立ち上げ、数々のインシデントと戦ってきた。

　2017年11月に行われた「ITmedia エンタープライズ ソリューションセミナー」では、同社のCSIRTである「YMC-CSIRT」の立ち上げから関わってきた浅野哲孝氏が、その成果やグローバル展開における苦労話を披露した。

ヤマハ発動機は、日本企業の中でも早くからCSIRTを立ち上げ、数々のインシデントと戦ってきた

グローバルを管轄するCSIRTの立ち上げは「連携」が重要

ヤマハ発動機 企画・財務本部 プロセス・IT部 ITマネジメント戦略グループの浅野哲孝氏。同社の子会社であるアルファ情報システムでIRインフラの設計、構築を行っていたが、クラウドサービスへの移行をきっかけにセキュリティに軸足を移したという

　ヤマハ発動機は、本社こそ静岡県磐田市にあるものの、海外売上比率が約9割を占める。そのため、セキュリティを含むIT投資は、本社や国内拠点を網羅するだけではなく、「グローバルでどのような機能を持たせるか」が大きな課題になるという。

　YMC-CSIRTを立ち上げたのは2013年。そのきっかけは、海外拠点のWebサイトが改ざんされるというインシデントだった。Webサイトの改ざんは、以前から問題となっており、「1997年ごろにはOSやミドルウェアの脆弱（ぜいじゃく）性を悪用した攻撃や、SQLインジェクションなどによって改ざんが多発していた」と浅野氏は振り返る。

　インシデントへの対策を大きな目的としていたため、同社のセキュリティ対策の領域は、公開Webサーバと社内セキュリティというように「対象を絞っているのが特徴だ」（浅野氏）という。

　公開Webサーバのセキュリティでは、個人情報漏えいやWebサイト改ざんを防ぐことで、ユーザーと企業ブランドを守ることが目的だった。一方の社内システムは、顧客と企業事業活動を守ることが目的だ。機密情報漏えいやシステム停止による情報漏えい、特にIR情報が事前に漏れるのを防いでいた。

　ただ、対象を絞ったことでセキュリティ対策に取り組みやすくなったのかというと、決してそう簡単な話ではない。同社のWebサイトは、静岡県磐田市にある本社が管轄するWebサイト以外に、全世界に131ものWebサイトがある。その全てに目を光らせるのは非常に難しい。

　2012年には7件の被害があったが、これは「当時、海外のWebサイトにおいてガバナンスが効いていなかったため」（浅野氏）。現地のコンテンツを作成しているのは、委託先の会社だったこともあり、ガバナンスを徹底させるのが難しいといった事情もあったという。

事例記事ランキング

• 本日
• 週間
• 月間

1. 元組み込みエンジニアの農家が挑む「きゅうり選別AI」　試作機3台、2年間の軌跡
2. 借金10億円、倒産まであと半年――創業100年の老舗旅館「陣屋」をたった3年でV字回復させた方法
3. 日清食品HDのCIOが語る、生成AIの全社活用と自社環境構築の舞台裏
4. サンリオの「キティちゃん」を支えるデータベースのチカラ
5. これを旅館と呼んでいいのか!?　老舗旅館「陣屋」が切り開く新たなビジネスモデル

1. 借金10億円、倒産まであと半年――創業100年の老舗旅館「陣屋」をたった3年でV字回復させた方法
2. 元組み込みエンジニアの農家が挑む「きゅうり選別AI」　試作機3台、2年間の軌跡
3. 日清食品HDのCIOが語る、生成AIの全社活用と自社環境構築の舞台裏
4. サンリオの「キティちゃん」を支えるデータベースのチカラ
5. これを旅館と呼んでいいのか!?　老舗旅館「陣屋」が切り開く新たなビジネスモデル

1. 借金10億円、倒産まであと半年――創業100年の老舗旅館「陣屋」をたった3年でV字回復させた方法
2. 日清食品HDのCIOが語る、生成AIの全社活用と自社環境構築の舞台裏
3. サンリオの「キティちゃん」を支えるデータベースのチカラ
4. 元組み込みエンジニアの農家が挑む「きゅうり選別AI」　試作機3台、2年間の軌跡
5. これを旅館と呼んでいいのか!?　老舗旅館「陣屋」が切り開く新たなビジネスモデル