多層防御のセキュリティ運用でマイナンバー対応、ウォッチガード＆クオリティソフト対談

対応までの猶予が少ない状況となった企業のイナンバー制度対策について、ウォッチガードの社長執行役員根岸正人氏とクオリティソフト代表取締役社長（COO）の久保統義氏に話を聞いた。

特集特集

2015年6月11日（木） 14時45分

マイナンバー制度は、すべての企業が対応しなければならない点や、国民全員に恒久的な一意の番号が振られる点、2016年1月からスタートする点などを考慮すると、対応までの猶予は少ない状況といえる。そこで今回、マイナンバー制度対応において協業したウォッチガード・テクノロジー・ジャパン株式会社（ウォッチガード）の社長執行役員である根岸正人氏、クオリティソフト株式会社の代表取締役社長（COO）である久保統義氏に、マイナンバー対策についてお話をうかがった。

――マイナンバー制度の導入により、企業が抱えるリスクはなんでしょう。

根岸氏
報道によると「9割の企業がマイナンバー制度に未対応」とされており、実際対策に着手できていない民間企業、地方自治体が圧倒的に多いのが現状です。そして、マイナンバー制度における企業のリスクは、やはり情報漏えい事故でしょう。企業は家族を含めた社員のマイナンバーを持つことになりますので、この12桁の番号をどう管理するかが非常に重要です。ただ現時点では、企業は人事や総務のシステムの対応を先行していると思いますが、今後は情報システム部門がマイナンバーをどう扱っていくか、いかに情報漏えいを防ぐか。今まで以上に注意が必要になります。

マイナンバー制度では、ペナルティが非常に厳しくなっていることにも注意が必要です。ここはPマークと混同されがちなのですが、マイナンバー制度は企業規模や保持している個人情報の件数などは関係ありません。全事業者が対象になります。ペナルティとして4年の懲役、200万円の罰金と発表されています。アメリカなどの先進国では、ソーシャルセキュリティナンバーというものがあり、厳重なセキュリティをかけていますが、それでも情報漏えい事故が絶えないのが現状です。情報漏えい事故が発生すると、事業の継続性やブランドの失墜など大きなダメージを受けることになりますので、引き続き注意喚起が必要であると考えています。

久保氏
マイナンバー対応製品の発表会がこの5月6月で終わり、秋にはそれらの製品がすべて発売されるでしょう。同時に、10月にはマイナンバーが交付されますのですごく忙しくなるでしょう。そこで私たちは、今は「インフラのセキュリティ整備を行う時期」だとご提案しています。インフラのセキュリティ整備についてはすでに昨年末にガイドラインが発表されていますが、ガイドラインに沿ったセキュリティ統制を今、見直しておくべきでしょう。それを秋までにやっておかないと、さらに作業が重なることになってしまいます。

――企業側に求められるセキュリティ対策について教えてください。

久保氏
ガイドラインを見ると、大きく5つの対策に分かれています。ひとつ目が管理体制の見直しなどで、物理および情報セキュリティをきっちりやるということです。二つ目がアクセス制御で、これはActiveDirectoryや多要素認証などに取り組むことになります。三つ目が取り扱い履歴と持ち出し管理で、ログ管理製品が必要になります。四つ目が保管期限と廃棄で、きちっとPDCAを回すことが重要ですが、パッケージ製品が出てくるでしょう。そして五つ目が、情報漏えい対策になります。ここは特に重要で、複数のアプリケーションに同じ番号を登録するような場合には、本人確認書類のスキャンデータ・リスト化されたExcelやCSVといった形式の中間ファイルなどを保有する可能性が高くなり、注意が必要です。

その中間ファイルに関しても、複製を最小限にしなければなりません。また区域外、担当外の人が中間ファイルを持つことは禁止されていますので、それを証明できる状態にしなければならないのです。これは、私たちが得意なデバイスのセキュリティ、それにウォッチガードさんが提供しているようなゲートウェイセキュリティと、多重のセキュリティ統制をしていかなければならないと思っています。

根岸氏
大企業はこれまでのセキュリティ対策の下地があるので、マイナンバー対応はそれほど難しくないかもしれません。しかし、問題は中堅・中小企業です。中堅企業において、標的型攻撃が情報漏えいにつながったケースは、2011年から約3倍に増えており、標的型攻撃が従業員250人以下の企業にマーケットを移しています。そして、そういう企業は情報漏えい対策がほとんどなされていないのが実情なのです。

中堅・中小企業は予算もないですし、ITのリソースも専門家も少ない状況です。そこに必要とされるのは、わかりやすくて運用管理がしやすくて、費用対効果の高いセキュリティソリューションです。また、ひとつのアプライアンスに高度なセキュリティの技術を統合し、多層防御が可能なものが求められます。

たとえばウォッチガードのアプライアンスは、アンチウイルス、ファイアウォール、Webフィルタリングに加えて、いわゆるゼロデイ攻撃に対応する標的型攻撃対策（APTBlocker）を新たに搭載し、多層防御を実現しています。ただし、機器を導入すれば安心というわけではありません。何よりも重要なのは、セキュリティ運用の可視化です。

実際に、マルウェアが進入しても3カ月、6カ月もの間、気づかない企業は多くあります。そこでウォッチガードでは、セキュリティ運用を可視化できるツール「Dimension」を標準で提供しています。これにより、セキュリティの専門家がいなくても日々のセキュリティ運用を可視化できるので、非常に導入しやすいソリューションとなっています。

久保氏
根岸さんがおっしゃったように、セキュリティは運用が非常に大事です。たとえ高価なセキュリティ対策製品を導入しても、運用がしっかりできなければ意味がありません。それはデバイスのセキュリティも同様で、運用の自動化が必要だと考えています。たとえばクオリティソフトでは、「ISM CloudOne」というツールをご提供しています。このツールは、セキュリティホールなどのパッチマネージメントを自動化するものです。

またIT資産管理製品「QND」は多くの管理者の方々にお役立ちできていると思いますが、今回のターゲットとなる中小企業においては、管理者がひとりしかいない、あるいは兼任している、管理者がいないというケースもあるでしょう。そこで運用するには自動化が不可欠で、マネージメントサービスとして提供されている「ISM CloudOne」が有効であると思います。もちろん「QND」との連携も可能です。

マイナンバー制度への対応を、クラウドのサービスを活用して行っていくケースは非常に多くなると思います。クラウドサービスでも多要素認証など厳密性が高まっていますし、機密性と原本性の確保は担保されていると思います。ただ、可用性の部分はユーザが確保していかなければなりません。それは、デバイスとネットワークです。いずれもダウンしたら使えなくなってしまうので、デバイスとネットワークの多層防御が重要です。ウォッチガードさんとクオリティソフトの組み合わせは、自動化と多層防御を容易に実現できる点で価値が高いと思います。

根岸氏
直接ではないのですが、弊社のパートナーさまもウォッチガード製品を使用した運用サービスを展開しています。クオリティソフトさんもすべてパートナーさま経由で販売していますので、今後は両社共通のパートナーの育成を強めていきたいですね。

――マイナンバー対策においても、オールインワンの製品、あるいはそのマネージメントサービスがベターということでしょうか。

久保氏
マイナンバーはガイドラインがありますから、その条項に対してひとつずつチェックしていくことが重要だと思います。その際に、ウォッチガードさんとクオリティソフトの製品の組み合わせであれば、お互いに機能を補完しているので、すべてマッピングされています。ガイドラインへの準拠が容易であるということです。

あとはマイナンバーの個人情報が記載された中間ファイルを把握するという問題があります。たとえすべて把握しているつもりでも、実はテンポラリファイルになっていて見つからないなどということもあります。しかし、そこから情報漏えいしてしまうケースも過去にたくさん起きていますから、対策が必要です。そこに関しては、クオリティソフトが自動的にファイルを探し出すシステムを提供しています。そういったものをしっかり実装すべきだと思います。

中間ファイルは、システムが生成するもの以外に、たとえばユーザがエクセルなどのファイルに記録しておいて参照するといったことが行われると思います。それも自動的に探し出してセキュアな状態にすることも非常に重要です。また、マイナンバーが含まれるデータをUSBメモリにコピーして社労士に渡すというケースも考えられます。すべて禁止するのではなく、正しいプロセスで持ち出しの許可を得て、履歴もしっかり残すことが重要です。こういったコンテンツセキュリティは、重要ファイル管理・漏えい対策強化ツールの「QGG」で対応できます。

根岸氏
クオリティソフトさんの製品は、市場での豊富な実績と評価の正確性で、エンドポイントのセキュリティを強化できます。ウォッチガードも、もうひとつの観点ではゲートウェイでの入口、出口の対策はありましたが、内部のセグメンテーションを強化をするためにスイッチ機能も搭載しています。これは「WatchGuard Firebox M440」という機種なのですが、内部のネットワークを総務や人事、営業、技術などでセグメンテーションを細分化することによって、万一被害があったときでも極小化できるわけです。

たとえば、営業部では被害が発生したけれども、ほかの総務や技術といった部署では被害が起きない。そういった、エンドポイントセキュリティまで含めた、内部のセキュリティの強化対策をひとつのアプライアンスでできます。

――マイナンバー対策に対し、企業はいつ頃から準備を始めるべきでしょう。

久保氏
この5～6月頃から、各アプリケーションメーカーからマイナンバー対応製品や、対応のためのバージョンアップなどがアナウンスされていきます。まずは人事や給与システムになると思いますが、発表を受けて9月以降にどんどん製品が出てくるでしょう。そこは実直に対応していただければいいのですが、タイミングを同じくして10月からマイナンバーそのものが配布されていきます。

たとえば、1月に雇ったアルバイトがすぐに辞めてしまっても、来年の12月の年末調整には、そのアルバイトのマイナンバーが必要になるわけです。このため、1月1日からマイナンバーを収集する体制だけは整えておかなければなりません。つまり、今年は年末にソフトウェアのバージョンアップとマイナンバーの収集と、従来の年末調整が重なってくる可能性が高いわけです。

そのため、経理や人事の方は非常に忙しくなるでしょう。また、マイナンバーの収集も大変です。本人確認が必要なため、メールでもらうというわけにはいきません。忙しさはさらに拍車がかかるでしょう。ただ、アウトプットは来年末になるわけですから、まずは来年頭までにすべきことは、本人確認をした上でどうマイナンバーを収集するのか、そして収集したマイナンバーをどう守るのかにフォーカスすべきでしょう。

――マイナンバー対策を機に、導入を検討すべきセキュリティ対策はありますか。

根岸氏
企業には、ファイアウォールは99％導入されていますし、ゲートウェイのアンチウイルスソフトも入っています。しかし、やはり標的型攻撃、ゼロデイ攻撃に対する認識はまだまだ低い印象です。そして、標的型攻撃対策として先行していた製品は、もともと軍で始まった製品で「検知だけしてくれればいい」という要件で作られた製品でした。軍には検知後の対応を行うプロがいたんですね。

その製品をそのまま日本に持ってきて大企業に展開していって、売れてきてはいるんですが、やはり運用ができていないのが現状です。一方、中小企業では「アンチウイルスが入っているから大丈夫」というレベルです。ですから、ウォッチガードとしては、シグネチャベースのアンチウイルス対策では、標的型攻撃に使用されるマルウェアやゼロデイ攻撃は防ぐことができず、社内に入ってきてしまうと言う現実を直視していただいて、正しい標的型攻撃対策をひとつ追加していただくこと、ひとつのコンソールで容易に管理できることを、まずは訴求していきたいと思っています。

また、海外ではソーシャルセキュリティナンバーを狙うサイバー攻撃が盛んに行われており、情報漏えいが頻発していると冒頭で申し上げました。日本のマイナンバーも、同様にサイバー攻撃者の標的になることは間違いありません。クレジットカード番号や銀行口座の番号を狙うのと同じような攻撃が、マイナンバーでも起こります。攻撃者は最新の技術で攻撃してきますから、最新のセキュリティ技術でないと守れないのです。

さらに、今回のアライアンスを機に、クオリティソフトさんとウォッチガードによる共同ソリューションの導入支援プログラムを展開していきます。これは、それぞれの既存顧客に対して、相手方のソリューションを評価、支援、サポートなどを提供していくプログラムです。実際に先日のクラウドエキスポでは、クオリティソフトさんのブース内に一部ウォッチガードの製品も展示をさせていただきました。これからも共同展開を続けていきます。

久保氏
今回のマイナンバー制度は個人情報保護法と違って、従来セキュリティ強化を求められていなかった企業も対象となってきます。特にそういった方々には、セキュリティに100％はないということを、まず認識していただきたいと思います。そして、次の二つのポイントに気をつけてください。ひとつは「ホールセキュリティ」です。

ホールセキュリティとは、ひとつの製品で複数のセキュリティ対策を実装できるものです。ウォッチガードさんのゲートウェイUTMもそうですし、クオリティソフトの資産管理ツールやQGGもそうです。ひとつの製品で複数のセキュリティガイドラインに対応できるものをお選びいただきたい。

二つ目は、運用が一番大事であるということです。機能がたくさんあってもそれを運用できないようであれば、宝の持ち腐れになってしまいます。そのためには、できる限り自動化された運用ができるもの、あるいはそこをアウトソーシングできるような体制を持ったメーカーとおつきあいをいただきたいと思います。多層防御をしっかり運用できていれば、安心してマイナンバー制度の導入を迎えることができると思います。

根岸氏
マイナンバー制度の開始によって、自社のセキュリティへの取り組みをアピールできる時代になると思います。これまでセキュリティ対策が前面に出ることはありませんでしたが、マイナンバー制度が始まることで、ユーザの企業の見方が「この企業に預けて大丈夫か」を気にするようになります。企業側も、「これは個人情報ではない」なんてことはいえなくなるわけですし、厳しいペナルティもあります。セキュリティ対策が企業の差別化ポイントのひとつになっていくことは間違いないでしょう。

ーーありがとうございました。

多層防御のセキュリティ運用でマイナンバー対応、ウォッチガード＆クオリティソフト対談

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

クレムリンへ DDoS攻撃露技術者流刑

サイバー攻撃に便乗勤務先脅迫セキュリティアナリスト逮捕

今日もどこかで情報漏えい第11回「2023年4月の情報漏えい」誤送信三度あることは四度あるほか

ヤバいデモで会場沸かす～ SMS で 2FA 迂回する「Smishsmash」

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

クレムリンへ DDoS攻撃 露技術者 流刑

サイバー攻撃に便乗 勤務先脅迫 セキュリティアナリスト逮捕

今日もどこかで情報漏えい 第11回「2023年4月の情報漏えい」誤送信 三度あることは四度ある ほか

ヤバいデモで会場沸かす ～ SMS で 2FA 迂回する「Smishsmash」

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

OpenSSL の ASN.1 オブジェクト識別子変換に処理時間遅延の問題

セゾン情報システムズのデータ連携ソフト「DataSpider Servista」にハードコードされた暗号鍵の使用の脆弱性

OSSのノーコード・ローコード開発ツール「プリザンター」にXSSの脆弱性

みずほ信託銀行がフィッシングメールに注意喚起

Starlette にディレクトリトラバーサルの脆弱性

ESS REC Agent Server Edition for Linux 等にディレクトリトラバーサルの脆弱性

インシデント・事故 記事一覧へ

読者から神奈川新聞社に寄せられた情報を家族に漏えい、社内ルールに基づき厳正に対処

厚生労働省のサーバを経由し約10万件の迷惑メールを送信

UCCグループのネット通販「フーヅフリッジ」ウェブサイトが改ざん被害、注文情報のダウンロードも判明

送付を希望しない相手に通知文書を2度にわたり誤送付、「市からの補償」名目で私金を渡す不適切な事務も発覚

モンテディオ山形で誤送信、送信先リストを「宛先に追加」ではなく「メールに添付」

屋根に柏崎刈羽原子力発電所6号機に関する書類80枚載せ自家用車発進し紛失 ～ 市長「極めてむなしい。」

調査・レポート・白書・ガイドライン 記事一覧へ

ランサムウェア身代金 払い続けた世界の末路 ～ ウィズセキュアが犯罪のプロ化警鐘

中 露 北のサイバー攻撃主体を紹介、公安調査庁 サイバー脅威概況2023

ランサムウェア攻撃の 93％がバックアップストレージを標的に

IPA「内部不正防止ガイドライン」第5版改訂ポイント NTTデータ経営研解説

「セキュリティは制限や制約ではなく変革を支えるもの」日経デジタル人材 新卒研修資料

AI は脅威インテリジェンスを生成できるか、NEC技術者検証

研修・セミナー・カンファレンス 記事一覧へ

NTTデータ先端技術が DMARC、BIMI 対応ウェビナー開催 ～ TwoFive 桐原氏講演

東京都が中小企業のセキュリティ対策支援 セミナーやワークショップ 専門家派遣

ヤバいデモで会場沸かす ～ SMS で 2FA 迂回する「Smishsmash」

テーマは「次の30年」 Interop Tokyo 2023、幕張メッセで 6/14-16 開催

サイバーセキュリティ対策のための統一基準 ガイドライン(案)に明記されたDMARC対応、その導入の実際～日本プルーフポイント講演レポート

今年は対面形式限定、11/8, 9「CODE BLUE 2023」開催

製品・サービス・業界動向 記事一覧へ

AI脆弱性診断サービス「ImmuniWeb Neuron」提供、回数無制限で利用可能

6月4日まで「個人情報を考える週間」丹野委員長コメント

脆弱性診断自動化ツール「AeyeScan」アップデート、類似判定精度を向上

GMOイエラエ、フィンテック企業の OSINT サービス事例 ～ パスワード運用ルール見直し ほか

AeyeScan blog 第2回「AIプログラミング編」

長野県警から感謝状と盾を受領、GMOイエラエがIoTフォレンジック技術で捜査協力

おしらせ 記事一覧へ

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

Scan PREMIUM 創刊24周年記念キャンペーン実施中

ScanNetSecurity 創刊24周年御礼の辞（上野宣）

【当選確率3倍】2022年 CrowdStrike カレンダープレゼント

創刊23周年記念イベント「ハッカージャーナリスト誕生譚」オンライン公開インタビュー 11/18 開催

クレムリンへ DDoS攻撃露技術者流刑

サイバー攻撃に便乗勤務先脅迫セキュリティアナリスト逮捕

今日もどこかで情報漏えい第11回「2023年4月の情報漏えい」誤送信三度あることは四度あるほか

ヤバいデモで会場沸かす～ SMS で 2FA 迂回する「Smishsmash」

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

屋根に柏崎刈羽原子力発電所6号機に関する書類80枚載せ自家用車発進し紛失～市長「極めてむなしい。」

調査・レポート・白書・ガイドライン記事一覧へ

ランサムウェア身代金払い続けた世界の末路～ウィズセキュアが犯罪のプロ化警鐘

中露北のサイバー攻撃主体を紹介、公安調査庁サイバー脅威概況2023

「セキュリティは制限や制約ではなく変革を支えるもの」日経デジタル人材新卒研修資料

研修・セミナー・カンファレンス記事一覧へ

NTTデータ先端技術が DMARC、BIMI 対応ウェビナー開催～ TwoFive 桐原氏講演

東京都が中小企業のセキュリティ対策支援セミナーやワークショップ専門家派遣

ヤバいデモで会場沸かす～ SMS で 2FA 迂回する「Smishsmash」

サイバーセキュリティ対策のための統一基準ガイドライン(案)に明記されたDMARC対応、その導入の実際～日本プルーフポイント講演レポート

製品・サービス・業界動向記事一覧へ

GMOイエラエ、フィンテック企業の OSINT サービス事例～パスワード運用ルール見直しほか

おしらせ記事一覧へ

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ