顧客視点のサイバーセキュリティスタンダードを発信 ～ デロイト、インテリジェンスセンター（CIC）設立
私は、日本のセキュリティエンジニアのレベルは欧米諸国に比べて決して低くないと考えています。世界各国のデロイトを実際に訪問してみてそれを実感しました。ただ、セキュリティエンジニアが頑張れば2020年を乗り切れるかというと、そうではないと思います。
特集
特集
―― まず、日本ではそもそも「サイバー インテリジェンス」（以下、「インテリジェンス」という）という言葉がしっかりと理解されていない印象があります。デロイトの CIC が提供するインテリジェンスの特徴やユーザー企業のメリットについて、特にインテリジェンスに強いカナダ CIC の Adam 氏にお聞きしたいと思います。
Adam氏：
CIC で提供するインテリジェンスは、現在のセキュリティサービスを補完する形で提供されるもので、国や政府、ベンダ、サブスクリプションベースなどのさまざまなソースから脅威に関わる情報を集めています。デロイトが提供するインテリジェンスの特徴は、ひとつの業界や一社のクライアントに特化したインテリジェンスを、リスク軽減方法や対処法のアドバイスとともに提供できることです。
また、攻撃者が武器として使用する無形のファクターを分解し、具体的なコンテンツやシグネチャといった有形のものに変えて提供します。これによって、CxO クラスの方や、オペレーションチームの方が、よりリスクの高いところにリソースをつぎ込んで対策し、脅威が組織に侵入しないように防ぎ、もしくは、万一侵入してしまってもダメージを最小限に抑えることができます。
―― カナダの CIC の規模、クライアント数を教えて下さい。
Adam氏：
クライアント数は 14 組織です。少ない印象を受けるかも知れませんが、いずれも大規模なグローバル企業またはナショナル企業です。コンシューマ製品製造業、小売、製薬、銀行、石油、ガス、政府など、業界も多岐にわたっていて、1 社あたりの IP 数が非常に多いことが特徴です。多いところではクライアントPCを含めずに 1 万以上の IP があり、極めて広範囲のセキュリティモニタリングを 24 時間 365 日体制で実施しています。1 週間あたりのセキュリティイベントが 60 億件、それを 49 のソースから収集・監視しています。
―― 今回、日本の横浜に開設した CIC（サイバーインテリジェンスセンター）という施設は、日本のセキュリティ企業が運営している SOC（セキュリティオペレーションセンター） や、セキュリティ企業の研究所やラボ、外資系セキュリティ企業が運営するグローバル SOC と何が違うのですか。
Adam氏：
デロイトは世界に 150 の国・地域に拠点があり、約 20 の戦略地域に CIC を設置しています。これらのグローバルなリソース展開が他社と大きく違う点です。また、CIC で働く人材についても、資格を持つ優秀な人材をリクルートすることはもちろん、留保するためのメンテナンスにも工数を割いています。
もうひとつ、重要なポイントとして、コモディティ化したような一般的なサービスは提供しないことです。常に顧客に合わせてカスタマイズしたサービスを提供します。そこが顧客に大きな価値を感じていただいているところであり、非常に重要な差別化要因になっていると思います。
佐藤氏：
デロイトが他の外資系ベンダと大きく違うところは、デロイトのネットワーク力です。デロイトの日本とカナダ、あるいはスペインなどとは、並列の関係にあり、知見を共有する等強く連携しています。たとえば、海外に進出している日本のお客様から、世界中で監視をしたいという要望があったとき、通常それを実現するためにはいろいろな調整が必要で、国ごとに縦割りになっている外資系のベンダでは、低くないハードルがあるといえるでしょう。
しかし、デロイトはグローバルネットワークの一員として同じブランドの中で各国がサービスを提供していますので、ハードルがそもそもありません。カナダと一緒に仕事をすることも、スペインのチームと仕事をするのもスムースです。そこが一番大きな差別化になると考えています。グローバルでのサイバー領域の連携は、他社に大きく先んじていると自負しており、デロイトは各国で互いに訪問し合って、Face to Face のコミュニケーションで信頼関係を作るというカルチャーがあります。
―― デロイト がグローバルでCICを展開している中、いま日本に CIC を設立する意義はなんでしょう。
佐藤氏：
2020年の東京オリンピックに向けて、今日本は国を挙げてセキュリティの取り組みを行っています。それを支えているセキュリティエンジニアですが、私は、日本のセキュリティエンジニアのレベルは欧米諸国に比べて決して低くないと考えています。世界各国のデロイトを実際に訪問してみてそれを実感しました。ただ、セキュリティの重要性について、アウェアネスのレベルがまだまだ低く、セキュリティエンジニアが頑張れば2020年を乗り切れるかというと、そうではないと思います。
一方、デロイトトーマツグループは、会計監査やコンサルティングサービスを提供する多くの大規模な企業をクライアントに有していますので、CxO クラスへのアプローチが直接できるというメリットを持っています。今回 CIC を作ったことで、そういう方たちへの働きかけがより容易になります。企業が現在行っているサイバーセキュリティに対する設備投資が本当に十分なのか、そこは欧米とのギャップが大きい印象があります。
日本はこれまで、ネットワークの境界の監視だけをやってきて、内部のデバイスの監視までしていません。そこで警鐘を鳴らして、CxO クラスの方へのアプローチも含めて働きかけることで、実装レベルでの底上げをしていきたいと考えています。
Adam氏：
CIC が必要となる重要な要因は、サイバー脅威が非常に高度化していることが挙げられます。どんなにセキュリティオペレーションを導入していても侵入されてしまいます。過去 3 年を見ても、大企業でも大きなセキュリティ侵害があり、被害が発生しています。CxO がきっちり精査して本当に必要なセキュリティ投資をしているのか、じっくり検証する時期を迎えていると思います。CIC は、こういった時期になくてはならないものだと考えています。
―― 日本の CIC は、どんなサービスを提供していきたいと考えていますか？
佐藤氏：
2016 年にセンターを作りました。時期という意味では後発であり、すでに同様のサービスを提供し、ブランドを確立している会社が多数あります。その中で、あえてデロイトブランドで日本のマーケットに参入しました。
最初に企画を考えたときから一貫していることは、他社と同じサービスでは意味がないということです。いろいろな人と会って話をしていく中で、デロイトならではのできることは見えてきていて、それが成功につながると思っています。
具体的には、デロイトはグローバルで約20 数カ所に CIC を持っていて、それ以外にもサイバーのコンサルティングサービスを提供している国はもっとたくさんあります。
わたしは横浜 CIC 設立のため、世界のデロイトの CIC を訪問し、中心人物と膝をつき合わせて交流しましたが、非常に優秀な人材がたくさんいて、多様な研究や分析をやっています。
その中には、機器やサービスの評価もあります。まだ日本に紹介されていない製品・サービスでも、海外のデロイトではすでに使われていて、実績や成果を出しているものもたくさん目にしました。そうした製品やサービスを、日本のお客様に適用可能かどうかを判断した上で提供していきたいとも考えています。
「次世代○○」「標的型攻撃対策」など、日本ではセキュリティベンダが市場にいろいろなムーブメントを作ります。しかし、彼らはモノを売ることが目的ですから、一過性のムーブメントも多い。しかしデロイトは特定のベンダをかつがない公平な立場ですので、顧客の視点に立ったムーブメントを起こせるのではないかと思います。デロイトの横浜 CIC が提供するサービスで、セキュリティサービスの新しいスタンダードを作りたいと考えています。
―― 成功するための最も重要な要件はなんですか？
佐藤氏：
従来のセキュリティサービスと私たちの提供するサービスは、内容も価格も違います。単純に価格だけで比較せず、強みを理解していただくことが最初のハードルだと思います。
ここ半年ほどの傾向ですが、ネットワークの境界だけでなく、組織内部に設置された機器の相関分析が注目を集めており、監督省庁が推進するケースも出始めています。一部のお客様は、そこまでやらないと結果的に自社のセキュリティレベルの向上が見込めないことや、インシデントレスポンスの工数が格段に増えるということを理解されているようです。
―― 人材育成も重要な成功要件ですね。
佐藤氏：
横浜 CIC 単体で人材育成を行うのは難しいので、横浜に存在する大学や教育機関などと連携する計画があります。
―― 最後に、読者へのメッセージをお願いします。
佐藤氏：
日本にも、ようやくお客様にお見せできるファシリティが完成しました。見学もできますので、ぜひ興味のある方はおいでいただきたいと思います。そして、CIC の見学をきっかけとして、わたしたちの考えているセキュリティのあるべき姿、逆にお客様が抱えている課題なども合わせてディスカッションさせていただくことで、お客様にとっても「一歩進めたな」と思っていただけるでしょう。
―― ありがとうございました。
ソース・関連リンク
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
脆弱性と脅威Google Chrome の V8 エンジンにおいて Array.concat でのコールバック関数の制御不備により遠隔からの任意のコード実行が可能となる脆弱性（Scan Tech Report）
2021 年 4 月に、Google Chrome に任意のコード実行が可能となる脆弱性が報告されています。
-
ソフトウェアベンダの不手際トップ10、第1位はアクセスコントロールの不備 ～ OWASP発表
オープンWebアプリセキュリティプロジェクト（OWASP）はこのほど、今年のWebソフトウェアの脆弱性のトップ 10 リストを公開した。
-
ドメイン名ハイジャック対応、日本企業のベストプラクティス事例
2020年6月、コインチェックはドメイン名ハイジャックの被害を受けた。しかし、発見と初動が早かったため、仮想通貨や資金の流出（窃盗）はなく、情報漏えいの可能性も数百件程度と大事には至らなかった。
-
コロナ禍なのにあえてドイツに行ってみた ＜計画編＞
ことの発端は、ひょっとすると秋ごろには海外取材が再開できるのでは？ と思ったことだ。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
茨城県職員を騙る新型コロナウイルス関係の「なりすましメール」に注意を呼びかけ
IPAと経産省、「Qubit Chain（旧SIMIAチェーン）」プロジェクトと無関係と強調
Google Chrome の V8 エンジンにおいて Array.concat でのコールバック関数の制御不備により遠隔からの任意のコード実行が可能となる脆弱性（Scan Tech Report）
JPRS、Windows DNSの複数の脆弱性情報を公開
GROWI に複数の脆弱性
EC-CUBE 用プラグイン「注文ステータス一括変更プラグイン」にXSSの脆弱性
インシデント・事故 記事一覧へ
ライブ配信アプリ「ミクチャ」のチケット購入者への特典を誤送信、受信者のメールアドレス流出
ジーアール「オムニECシステム」への不正アクセス、新たにサミット予約ネットの被害も
オリンパスのEMEA地域のITシステムへの不正アクセス、マルウェアが原因と確認
「PR TIMES」への発表前情報の不正取得、特定IPアドレス以外についても遡って調査
メール誤送信のお詫び、Amazonギフト券500円分進呈
新型コロナ陽性者の個人情報をFAX誤送信、操作ミスで報道機関への短縮ダイヤルに触れたことに気付かず
調査・レポート・白書 記事一覧へ
2021年上半期フィッシングサイトのドメイン分析、最も使用された文字列は「amazon」
「サプライチェーン攻撃」の3種の弱点につけ込む攻撃が顕在化、トレンドマイクロ解説
ガートナー、2022年4月の「改正個人情報保護法」に備え企業が取り組むポイントを解説
中小企業のリスク意識と対策を調査、コロナ禍の影響を色濃く反映
国内で確認の標的型攻撃者グループ、2020年は活動再開含む7つ ～ トレンドマイクロ報告
JNSA 資料公開～「身代金支払」「インテリジェンスは合法か」セキュリティの法的議論 国際動向
研修・セミナー・カンファレンス 記事一覧へ
サイバー攻撃やコロナ禍を成長のチャンスと捉えるタフなIT管理者たち ～ ソフォス グロ－バル調査結果から
ITエンジニア限定のeスポーツ大会「LogStare eSports Series」第2回開催、種目は「Pokémon UNITE」に
トレンドマイクロ、6回目となるユーザ参加型のセキュリティ動画コンテスト開催
対談型セミナー「子どもとICT」開催、セキュリティ管理についても解説
「ここだけは絶対に守る そんな領域を作ろう」セキュリティベンダとしての日本HPの提案
