[Black Hat USA 2014 レポート] デロイトトーマツのサイバーセキュリティチームの実態（2）監査法人がサイバーリスクに取り組む理由

「グローバルで見ると、企業のサイバーセキュリティを監査法人が牽引しているケースを多く見かけます。トーマツは日本では会計監査のイメージが強いですが、グローバルでは総合コンサルファームとして認識されています。」

特集特集

2014年9月10日（水） 10時30分

「4大会計事務所」のひとつとして、監査法人としてその名を知られるデロイトトーマツグループは、国毎にサイバーセキュリティチームを擁し、SOC 運営やマルウェア解析、C&C サーバ調査まで行い、かつ国際間で情報共有と連携を積極的に行っている。Forbes誌のリストに載るグローバル企業の多くを顧客に持ち、世界150か国にメンバーファームを持つことを考えると、大手セキュリティベンダを超える情報収集力を持つことは疑いない。

8月に米ラスベガスで開催された Black Hat USA 2014 に集結した、デロイトトーマツグループの、海外及び日本のサイバーセキュリティチームに取材し、共通点や、国別に異なる個性を明らかにする本稿後編では、東京のサイバーセキュリティチームに属する、デロイトトーマツサイバーセキュリティ先端研究所の白濱直哉氏と岩井博樹氏に話を聞いた。

――改めて、トーマツがサイバーリスクに取り組む理由と役割を教えて下さい。

白濱氏
好奇心や愉快犯による犯行から、機密情報や金銭を目的としたサイバー犯罪が増えたことで経営者の意識が明確に変わりました。経営陣がサイバー攻撃を経営リスクのひとつとして認識するようになったのです。企業の経営層と関係の深い弊社では、15年ほど前から、サイバーリスクを事業継続に関わる問題として、グローバル全体で各国に専門部署を立ち上げて取り組むようになりました。

アメリカの大手企業ではサイバーリスクに関する情報開示が非常に進んでいます。投資家がセキュリティ投資や、社内のセキュリティ体制の状況を投資判断の材料とするためで、日本でもいずれそうなると考えています。

―― KPMG や PwC などの大手監査法人がここ数年の間に同様のサイバーリスク対応部署や事業を立ち上げていますが、デロイトトーマツの特長はどこにありますか。

白濱氏
研究所のテーマのひとつでもありますが、マネジメントとテクニカルの両方に高いスキルを持ち、両者を融合させたコンサルティングを提供できることです。昨今のサイバー攻撃に対応するには、この両者のバランスがとれていないと実効性のある対応は行えないと考えています。日本のサイバーリスクサービスのメンバーは現在60名弱体制ですが、管理やコンプライアンスのチームと、技術チームがちょうど半分ずつの人数に分かれています。大手のITセキュリティ企業と比べると多い人数ではありませんが、監査法人の部隊としては一定の規模だと思います。

――逆にたとえ大規模でもドメスティックなIT企業にはないメリットして、世界各国のデロイトとの連携や情報共有がありますね。

岩井氏
日本のサイバーセキュリティチームにはまだ SOC はありませんが、グローバルのデロイトの SOC は、たとえば犯罪組織が運営する C&C サーバに侵入して情報を集めるような調査能力を持っています。不正アクセスの定義は各国の法律によって異なっており、日本では不正アクセスになることでも他国ではそうではなく、グローバルで活動している我々は日本では得られない知見を収集し調査研究ができます。昨晩は、Black Hat に集まった世界のデロイトトーマツのサイバーチームが集まってパーティを開きましたし、そうした密な意見交換といった協力関係が強さにもつながっています。

ただし、最近の傾向として、海外とインテリジェンス共有できない事案も増えてきています。たとえばソフトウェアのアップデート機能を悪用した攻撃は、一部の国だけでしか観測されておらず、標的型攻撃が増えることで、この傾向は加速するかもしれません。グローバルにつながる必要はありますが、各地域の知見蓄積はいままで以上に重要になっていくでしょう。

――デロイトアルゼンチンサイバーセキュリティチーム　ディレクター Luciano Martins 氏は、組織作りの秘訣として情熱という言葉を何度も挙げていました。日本のチームが大事にしていることはありますか。

白濱氏
セキュリティ技術者とコンサルタントとしてのバランス感覚と、新しいことや知らないことに対する興味です。ITやセキュリティの世界は変化が非常に早く、興味をもって取り組まないとどんどん遅れていきます。パッションという言葉はいいなと思っています。トップを走りたいなら、こういう国際会議にも積極的に参加してネットワーキングしていくことも大事ですね。

岩井氏
興味を持つためには、何が面白いのかがわかる、知識と経験も不可欠です。私が話をしたアルゼンチンチームのメンバーは、コンピュータゲームデザインを専門としていたと聞きました。土台となる基礎があってはじめて、面白いと思えるのだと思います。

――日本のサイバーセキュリティチームの抱負を聞かせて下さい。

白濱氏
グローバルで見ると、企業のサイバーセキュリティを監査法人が牽引しているケースを多く見かけます。トーマツは日本では会計監査のイメージが強いですが、グローバルでは総合コンサルファームとして認識されています。我々も、情報システム部門の危機感を経営者に伝える橋渡しをしたり、経営の観点から脅威を評価しそれを防ぐためのセキュリティ投資の可否判断を支援したりといった、サイバーセキュリティ対策を牽引していける組織となれるよう取り組んでいきたいと考えています。トーマツグループは幅広い専門性をさまざまな社会課題解決にいかすことで、事業を通じて我が国の持続的な発展に寄与したいと考えており、我々のチームもその信念に基づいて活動しています。私達が支援できることがあればお気軽にご相談いただければと思います。

――ありがとうございました。

《高橋潤哉（ Junya Takahashi ）》

Scan PREMIUM 会員限定記事

Scan PREMIUM 会員限定記事特集をもっと見る

[Black Hat USA 2014 レポート] デロイトトーマツのサイバーセキュリティチームの実態（2）監査法人がサイバーリスクに取り組む理由

関連記事

Scan PREMIUM 会員限定記事

クレムリンへ DDoS攻撃露技術者流刑

サイバー攻撃に便乗勤務先脅迫セキュリティアナリスト逮捕

今日もどこかで情報漏えい第11回「2023年4月の情報漏えい」誤送信三度あることは四度あるほか

ヤバいデモで会場沸かす～ SMS で 2FA 迂回する「Smishsmash」

カテゴリ別新着記事

関連記事

Scan PREMIUM 会員限定記事

クレムリンへ DDoS攻撃 露技術者 流刑

サイバー攻撃に便乗 勤務先脅迫 セキュリティアナリスト逮捕

今日もどこかで情報漏えい 第11回「2023年4月の情報漏えい」誤送信 三度あることは四度ある ほか

ヤバいデモで会場沸かす ～ SMS で 2FA 迂回する「Smishsmash」

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

OpenSSL の ASN.1 オブジェクト識別子変換に処理時間遅延の問題

セゾン情報システムズのデータ連携ソフト「DataSpider Servista」にハードコードされた暗号鍵の使用の脆弱性

OSSのノーコード・ローコード開発ツール「プリザンター」にXSSの脆弱性

みずほ信託銀行がフィッシングメールに注意喚起

Starlette にディレクトリトラバーサルの脆弱性

ESS REC Agent Server Edition for Linux 等にディレクトリトラバーサルの脆弱性

インシデント・事故 記事一覧へ

読者から神奈川新聞社に寄せられた情報を家族に漏えい、社内ルールに基づき厳正に対処

厚生労働省のサーバを経由し約10万件の迷惑メールを送信

UCCグループのネット通販「フーヅフリッジ」ウェブサイトが改ざん被害、注文情報のダウンロードも判明

送付を希望しない相手に通知文書を2度にわたり誤送付、「市からの補償」名目で私金を渡す不適切な事務も発覚

モンテディオ山形で誤送信、送信先リストを「宛先に追加」ではなく「メールに添付」

屋根に柏崎刈羽原子力発電所6号機に関する書類80枚載せ自家用車発進し紛失 ～ 市長「極めてむなしい。」

調査・レポート・白書・ガイドライン 記事一覧へ

ランサムウェア身代金 払い続けた世界の末路 ～ ウィズセキュアが犯罪のプロ化警鐘

中 露 北のサイバー攻撃主体を紹介、公安調査庁 サイバー脅威概況2023

ランサムウェア攻撃の 93％がバックアップストレージを標的に

IPA「内部不正防止ガイドライン」第5版改訂ポイント NTTデータ経営研解説

「セキュリティは制限や制約ではなく変革を支えるもの」日経デジタル人材 新卒研修資料

AI は脅威インテリジェンスを生成できるか、NEC技術者検証

研修・セミナー・カンファレンス 記事一覧へ

NTTデータ先端技術が DMARC、BIMI 対応ウェビナー開催 ～ TwoFive 桐原氏講演

東京都が中小企業のセキュリティ対策支援 セミナーやワークショップ 専門家派遣

ヤバいデモで会場沸かす ～ SMS で 2FA 迂回する「Smishsmash」

テーマは「次の30年」 Interop Tokyo 2023、幕張メッセで 6/14-16 開催

サイバーセキュリティ対策のための統一基準 ガイドライン(案)に明記されたDMARC対応、その導入の実際～日本プルーフポイント講演レポート

今年は対面形式限定、11/8, 9「CODE BLUE 2023」開催

製品・サービス・業界動向 記事一覧へ

AI脆弱性診断サービス「ImmuniWeb Neuron」提供、回数無制限で利用可能

6月4日まで「個人情報を考える週間」丹野委員長コメント

脆弱性診断自動化ツール「AeyeScan」アップデート、類似判定精度を向上

GMOイエラエ、フィンテック企業の OSINT サービス事例 ～ パスワード運用ルール見直し ほか

AeyeScan blog 第2回「AIプログラミング編」

長野県警から感謝状と盾を受領、GMOイエラエがIoTフォレンジック技術で捜査協力

おしらせ 記事一覧へ

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

Scan PREMIUM 創刊24周年記念キャンペーン実施中

ScanNetSecurity 創刊24周年御礼の辞（上野宣）

【当選確率3倍】2022年 CrowdStrike カレンダープレゼント

創刊23周年記念イベント「ハッカージャーナリスト誕生譚」オンライン公開インタビュー 11/18 開催

クレムリンへ DDoS攻撃露技術者流刑

サイバー攻撃に便乗勤務先脅迫セキュリティアナリスト逮捕

今日もどこかで情報漏えい第11回「2023年4月の情報漏えい」誤送信三度あることは四度あるほか

ヤバいデモで会場沸かす～ SMS で 2FA 迂回する「Smishsmash」

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

屋根に柏崎刈羽原子力発電所6号機に関する書類80枚載せ自家用車発進し紛失～市長「極めてむなしい。」

調査・レポート・白書・ガイドライン記事一覧へ

ランサムウェア身代金払い続けた世界の末路～ウィズセキュアが犯罪のプロ化警鐘

中露北のサイバー攻撃主体を紹介、公安調査庁サイバー脅威概況2023

「セキュリティは制限や制約ではなく変革を支えるもの」日経デジタル人材新卒研修資料

研修・セミナー・カンファレンス記事一覧へ

NTTデータ先端技術が DMARC、BIMI 対応ウェビナー開催～ TwoFive 桐原氏講演

東京都が中小企業のセキュリティ対策支援セミナーやワークショップ専門家派遣

ヤバいデモで会場沸かす～ SMS で 2FA 迂回する「Smishsmash」

サイバーセキュリティ対策のための統一基準ガイドライン(案)に明記されたDMARC対応、その導入の実際～日本プルーフポイント講演レポート

製品・サービス・業界動向記事一覧へ

GMOイエラエ、フィンテック企業の OSINT サービス事例～パスワード運用ルール見直しほか

おしらせ記事一覧へ

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ