キンドリルの“サイバーセキュリティ四天王”が語る「経営の守り方」 特定、防御、対応、復旧――IT版のBCPを考える

[PR／ITmedia]

PR

　記事を読む前に、異世界RPG（ロールプレイングゲーム）を思い浮かべてほしい。魔王が国を襲い、モンスターが町や人を攻撃したり財産を奪ったりしている。そんな脅威を前に、勇者と戦士、魔術師、神官の4人が立ち上がった。武術や魔法に精通した4人は魔王を倒し、いつしか四天王と呼ばれるようになった――こんなストーリーが王道だろう。

　空想を十分に膨らませたところで、現実に戻ろう。私たちの世界には魔王もモンスターもいない。しかし、悪意を持って国や企業を襲う脅威がある。それがランサムウェアやサイバー攻撃だ。聖剣は役に立たないし、被害に遭っても回復魔法は効かない。頼れるのは確かなサイバーセキュリティ対策だけだ。

　こうした状況で企業の資産と経営を守るべく、IT企業の米キンドリルが立ち上がった。2021年9月に米IBMから独立した同社は、サイバーセキュリティを4領域「特定」「防御」「対応」「復旧」に分類してそれぞれに専門家を置いている。いわばキンドリル版の“セキュリティ四天王”だ。

　今回、日本法人キンドリルジャパンのセキュリティ四天王に会う機会を得た。そこで、企業の被害を減らして資産を守り、事業を止めないために必要なことを聞いてきた。四天王が担う4領域の話を聞くと、企業が心得るべき指針とキンドリルが目指すサイバーセキュリティの将来像が見えてきた。

取材したキンドリルジャパンの“セキュリティ四天王”たち

特定、防御、対応、復旧　四天王の“ステータス情報”をチェック

　勇者たち一行はパーティーという枠組みを組んで魔王を退治する。一方のキンドリルは四天王の担当である特定、防御、対応、復旧をつなげた「サイバー・レジリエンス・フレームワーク」という枠組みで、企業を脅かすサイバーセキュリティ上の脅威に対峙する。この枠組みの目的は、サイバー攻撃など脅威に対する企業の対応具合を分析して防御を確実なものにし、万が一に事故が起きた場合は素早く対応して復旧することで経営や事業への影響を最小限に抑えることだ。

サイバー・レジリエンス・フレームワークの概要。右側のオレンジ色の矢印が、四天王の担当領域を示す（クリックで拡大）

キンドリルジャパンの松下巧さん（ストラテジックサービス本部コンサルティングサービス#2 部長）

　では実際に、キンドリルジャパンの四天王の“ステータス情報”を見ていこう。先頭を歩く勇者よろしく、最初にお客さまに向き合うのが特定を担う松下巧さん（ストラテジックサービス本部コンサルティングサービス#2 部長）だ。セキュリティ製品選定や導入、運用にかかわるロードマップ策定支援、IT／IoTに関するサイバーセキュリティ事業継続計画（Cyber-BCP）の策定支援、お客さまの組織内にインシデント対応チーム（CSIRT：Computer Security Incident Response Team）を作るための支援などを手掛ける。

　また、対策をする上で全体の網羅性をカバーするための各種ガイドラインや社内体制、プロセス、運用手順に至るまで、End to Endでお客さまの環境に合わせたセキュリティガバナンス体制の構築支援もしている。

キンドリルジャパンの金谷真希さん（ストラテジックサービス本部ストラテジックデリバリー セキュリティ部長）

　前衛を務める防御は、お客さまの資産を守ることだと言い換えられる。守るべき資産は企業によって異なるため、従来通りの境界防御を必要とする企業や、競争力を高めるためにクラウドシフトしてゼロトラストセキュリティを導入する企業など千差万別だ。だからこそ、何も考えずにセキュリティ製品を入れるのでなく、お客さまのニーズと業務サイクル全体を考えて導入、運用することが大切だと、四天王の一人である金谷真希さん（ストラテジックサービス本部ストラテジックデリバリー セキュリティ部長）は説明する。

キンドリルジャパンの吉田未樹さん（テクノロジー本部 セキュリティ＆レジリエンシー事業 部長）

　防御の仕組みを構築した後は、後衛の対応に移る。ここではサイバーセキュリティ対策を運用して企業の資産を守り、インシデントが起きた際には素早い解決を目指す。対策の状況を一元管理するSOC（Security Operation Center）サービスも提供している。担当するのは吉田未樹さん（テクノロジー本部 セキュリティ＆レジリエンシー事業 部長）だ。

キンドリルジャパンの深谷尚生さん（ストラテジックサービス本部ストラテジックデリバリー レジリエンシー部長）

　前の3人は「どう被害を止めるか」を考えるのが仕事だった。最後の「復旧」は、被害が出た時にどうするかを考える。この最後の砦を担うのが深谷尚生さん（ストラテジックサービス本部ストラテジックデリバリー レジリエンシー部長）だ。事業復旧までに必要な時間をどうするか、攻撃前のどの時点に復旧するかといった内容を検討する。できるだけ影響度を小さくする、サイバーレジリエンスの頼みの綱だ。

　紹介したキンドリルジャパンの四天王は、各自が担当する領域の専門チームを率いている。IBM時代の高度な技術を継承している人や、専門知識を買われて外部から参加した人など出自はさまざまだが、誰もが確かなスキルを身に付けた“レベルアップ済み”のメンバーだ。ゲームやマンガの四天王は単独行動が得意なことも多いが、同社が重視するのは顧客を守るための連携プレーだ。専門知識とスキルを切れ目なくつなげれば大きな効果を得られるので、案件ごとに最適な専門人材をアサインする仕組みを整えている。「個々人がそれぞれの専門領域で活躍するだけでなく、さまざまなバックグラウンドのメンバーが集まることで包括的なサポート体制が生まれます。各自の経験や知見をお客さまのために生かせるのです」（吉田さん）

複雑化するセキュリティ領域　キンドリル「お客さまのあるべき姿に導く」

　セキュリティ四天王の担当領域は、裏を返せば企業がサイバーセキュリティ対策をする上で注目すべき部分といえる。では、多彩な専門性を武器に脅威に立ち向かう彼らはいま、日本企業を取り巻く現状をどう分析しているのか。

　松下さんが懸念点に挙げたのは2つだ。1つ目は企業の事業を止めるような脅威で、1社の被害では済まずにサプライチェーン全体を止める可能性も高まっている。2つ目は国際情勢による地政学的リスクだ。松下さんは「攻撃者が攻撃対象を決めるので、うちの会社は関係ない」と言い切れないと話す。

　そうした中で、企業が考慮すべき課題が増えている。「いまのセキュリティ領域は複雑になり、お客さまにとってどのソリューションをどの順番でどう組み合わせれば最適なのか、その選択が難しい状況になっています。だからこそ私たちが寄り添い、課題を特定して、それにあったソリューションを提案していく必要があります。企業規模や認識レベルに合わせてアプローチを変えながら、お客さまをあるべき姿に導いていきます」（金谷さん）

　「お客さまのあるべき姿」は誇張ではない。IBMから分社したキンドリルは、全世界に約9万人の従業員を抱える巨大なスタートアップだ。そのため、培ってきた経験や事例を生かしながら、グローバル基準のサイバーセキュリティ対策を提供できる。さらに日本企業ならではのシステム要件や組織文化に合わせて、セキュリティ対策を提案し運用できると吉田さんは説明する。

なぜ復旧が大切か　防御に“全振り”では駄目な理由

　顧客ごとに適したなサイバーセキュリティ対策を提供するキンドリルだが、一つ疑問が浮かぶ。なぜ復旧にも担当者を置いてまで注力するのだろうか。防御を完璧にすれば、万が一を考えずに済む。異世界RPGでいうなら、攻撃と防御に“全振り”して強化すれば敵を倒せるはずだ。

　しかし深谷さんは、防御を強化しても攻撃側が進化するため、100％防ぐことはできないと話す。そう、ゲームなら多少ダメージを受けても敵を倒せれば終わりだが、企業はそうはいかない。「BCPを考えたとき、何かあっても元に戻せる用意が必要なのです」（深谷さん）

　従来のBCPは、データ破損に備えてデータやシステムのバックアップをオンサイトで取得する、広域被災に備えてリモートサイトに災害対策環境を用意する、という対策をしており、これは引き続き必要だ。しかしサイバーセキュリティの観点では、それだけでは通用しなくなってきている。最近のランサムウェア攻撃のようにバックアップも対象にした攻撃などに対して、どう対処しどう守るかにリソースをしっかり割く必要がある。

　もちろん、被害はないほうがいい。「セキュリティ状況をしっかり監視して、問題を検知したら迅速に対応して、深谷さんの復旧パートにいく前に食い止めることが前提です」（金谷さん）

キンドリルだからこそ提供できる価値とは

　攻撃を防ぎつつ復旧までの道筋を付けられれば何でもいいわけではない。キンドリルは、IBMから独立したことでより顧客に寄り添った提案が可能になった。自社製品を持たないキンドリルは正真正銘のベンダーフリーに生まれ変わったことで必要な機能に合わせて適した製品を選べるようになったと吉田さんは話す。

　本来、サイバーセキュリティ対策は複数のベンダーの製品を組み合わせる多層防御で効果を高めるものだ。とはいえ製品の選定を間違えると、多層防御をしたつもりでも、その裏では同じアルゴリズムを使っているために攻撃を検知できないことがある。そこで重要なのが、各ベンダーが提供するソリューションを熟知すること、そして必要な製品を選定できることだ。簡単そうでも実は難しいこのことを、キンドリルなら実現できる。

「セキュリティは生き物」「お客さまの一歩先でリードする」　四天王の決めぜりふ

　キンドリルジャパンのセキュリティ四天王の話はとても分かりやすかった。サイバーセキュリティでまとめるのではなく、4つの領域に分解することで注力ポイントが伝わりやすい。さて、取材時間も終盤に差し掛かってきた。ゲームのラストといえば、四天王が決めぜりふを言うと相場が決まっている。そこで最後に一言ずつコメントをもらった。

　「サイバーセキュリティの手口は変わっても、特定、防御、対応、復旧のアプローチは今後も変わらずどのお客さまでも一丁目一番地のアプローチです。とはいえセキュリティは刻々と変わる生き物なので、自社の対応が現状に則しているのかを常に振り返り、あるべき姿と照らし合わせて対応することが大切です」（松下さん）

　「お客さまの目的は堅牢な事業の成長や社会貢献などなどです。セキュリティ自体は目的ではないので、キンドリルジャパンはお客さまがビジネスに注力でき、成長していけるよう貢献することが役割です」（金谷さん）

　「お客さまがサイバーセキュリティに悩まぬよう、私たちは広い選択肢を準備しつつニーズに合うものを提供していく用意があります。そして4領域それぞれのスペシャリストがお客さまに提案する体制が整っているのです」（深谷さん）

　「さまざまなベンダーがサイバーセキュリティ製品を出していますが、今後はそれがより洗練されていくでしょう。将来展望は語れませんが、私たちはセキュリティ専門部隊だからこそ、お客さまの一歩先を行ってリードするパートナーシップを築いていきます」（吉田さん）

　キンドリルジャパンの四天王は、サイバーセキュリティに真摯（しんし）に向き合いながら、顧客に誠実に寄り添っている。同社ならきっと、企業の事業を守るセキュリティ対策を提案してくれるはずだ。自社のセキュリティ対策の現状に不安を感じる、防御の先まで考えたいという読者は、ぜひ連絡してみてはいかがだろうか。

右から、キンドリルジャパンの松下巧さん、金谷真希さん、吉田未樹さん、深谷尚生さん