巧妙化するサイバー攻撃から
社内外の情報資産を守る

和田

サイバーセキュリティ部は、「先端のセキュリティ技術で、お客さまおよび社内の情報資産を守り、安心・安全なデジタル社会の未来づくりに貢献する」というミッションを掲げ、お客さまや社内のサイバーセキュリティ対策の強化と、セキュリティ全般に関する社員の意識の向上を図ることを目的とする部署です。2016年に始まった法人のお客さま向けのセキュリティサービスを開発・提供する「クラウドセキュリティプロジェクト」と、2018年に発足した社内向けのセキュリティ対策を推進する「サイバーセキュリティ対策室」が2020年11月に統合し、サイバーセキュリティ部となりました。部署内は2つのグループに分かれていて、法人のお客さま向けのサービス開発や提案など“攻めのセキュリティ”を担うセキュリティサービスグループ。そして社内のパソコンやサーバなどの設備をサイバー攻撃から守る“守りのセキュリティ”を担当するサイバーセキュリティ対策グループがあります。私はサイバーセキュリティ対策室の発足時から、社内向け対策を行っていたのですが、今年の8月にセキュリティサービスグループに異動しました。

矢島

私は2017年からクラウドセキュリティプロジェクトの一員として働いていました。当部署では法人さま向けのセキュリティサービスグループに所属しています。当社のセキュリティサービスには、MSS（マネージド・セキュリティ・サービス）をはじめ、攻撃メールが届いた時の対処法を社員に意識づける「標的型メール訓練サービス」や、OSやミドルウェア（サーバ上で特定の機能を提供するソフトウェア）に存在する脆弱性や設定上の不備を洗い出し、対処法を提示する「プラットフォーム診断サービス」などがあります。プラットフォーム診断サービスは、2018年度までサービスの開発や仕組みづくりなどの立ち上げを行い、2019年度から本格的なサービス提供が始まりました。提供開始当初から、多くの引き合いがあり、法人さまにおけるセキュリティ対策の必要性が高まっていることを強く感じています。

田中

私は2017年に親会社である九州電力に出向し、社内やグループ企業向けのサイバーセキュリティ対策業務を行っていました。出向から戻った後、矢島さんと同じセキュリティサービスグループに配属されました。現在は、主にインターネット回線サービスの一種であるMSS（マネージド・セキュリティ・サービス）を担当しています。これは当社が提供するインターネット回線のなかで、一番セキュリティ強度の高いサービスとなります。新規のお客さまの開通作業を行うことを中心に、時には設備のリプレイスやアップデート、サービス内容の見直しなどを行うこともあります。また、市町村や県の職員さま向けにセキュリティ意識向上のための研修を行うことも。九州電力でも同じように行っていた研修が現在の仕事に役立っています。

外部組織と連携し、
情報を活かす取り組み

和田

多様化するサイバー攻撃に対するセキュリティ対策を行うには、社内だけの情報では足りない部分がどうしても出てきます。そこで、サイバーセキュリティ対策グループでは外部の組織と連携して情報交換や共同訓練などを行っています。

吉原

2016年に「QTnet CSIRT」を設立し、「日本シーサート協議会」に加盟しています。CSIRT（シーサート）とは、コンピュータ・セキュリティ・インシデント・レスポンス・チームの略で、コンピュータセキュリティにまつわるインシデントに対処するための組織のことです。日本シーサート協議会には、当社と同じような情報通信業から製造業、流通業などさまざまな企業が加盟していて、各組織が匿名で脆弱性情報や攻撃の予兆、脅威に対してどのように対応していくかなどを共有します。そのおかげでインシデントの防止や、セキュリティ関連情報の蓄積に繋がっています。

和田

今年は福岡県警さまとの関わりもありましたね。お声掛けをいただき、サイバーインシデント共同対処訓練を行いました。この訓練は、サイバー攻撃による被害の未然防止のために、福岡県警さまが県内のインフラ事業者などと行っているものです。不審メールを受信した際の対策訓練を行いました。

吉原

メールを受信した際に、どういった点から不審なメールであると判断するかを訓練するものでした。その不審メールの内容を福岡県警の担当者さまと私たちが一緒に考えました。また、当社でも外部からのサイバー攻撃を確認した際には、福岡県警さまに共有しています。

専門知識以外にも必要な
幅広い役割と自己研鑽

矢島

法人さま向けの「プラットフォーム診断サービス」の開発には、技術的な部分のほかにも苦労がありました。当社で新しくサービスを作る場合、通常はサービス開発の部署、料金体系を決める部署、提供する部署と分かれているのですが、セキュリティサービスに関しては、すべてを一任されまして、サービス化するまでの社内フローの手続きや調整は慣れない事だったので大変でした。その苦労を経てのサービス化だったので、お客さまによろこばれているのがうれしいですね。また、サービスを販売するために、お客さまに説明をするのも初めての経験でした。それまではプレゼンを聞くことが多かったので、逆の立場になりとても緊張しました。ですが、直接お話しをしたことでご納得いただき、当社に発注いただけたときはよろこびを感じますね。

田中

今日は技術者で明日はプレゼンター、なんてこともありますよね。技術的な力、わかりやすく伝える力、両方を高められるのもこの部署の面白さだと思います。

和田

確かに伝える力も求められますね。私も当社のグループ会社にセキュリティ研修を行った際に、「来年もやってほしい」「わかりやすかった」と言ってもらえるのがうれしかったです。

田中

その分苦労もあって、幅広く最新の知識をもつ努力は欠かせません。例えば、お客さまとの商談の際、「MSSを使ったら、いま流行っている○○という攻撃はブロックできますか？」と聞かれた場合、知っていたら自信をもって「できます」と答えられますが、口ごもってしまうと不安感を与えてしまいます。知識のアップデートを行うために、日々ITニュースに触れるほか、勉強会やセミナーにも積極的に参加しています。また、自分が得た情報をグループチャットに流すなど、部内での情報共有も欠かさず行っています。