セキュアスカイ・チームインタビューVol.03：特定診断チーム

Vol.03では、特定の大規模クライアント向けに専任体制でWebセキュリティ診断を行う「特定診断チーム」のメンバーにインタビューしました。多岐にわたるサイトを運営する大規模クライアントの脆弱性診断やセキュリティ監査を専門に担当するチーム。現在は4人体制で、クライアント独自の診断項目・脆弱性の危険度の判定基準に準拠した診断を行っています。チーム発足当初からフルリモートで運営され、対面で全員がそろうのは年に一度の全社キックオフだけ。それにも関わらず、チームの結束力は固い。そのコミュニケーションの秘訣を4人に聞きました。

 

【特定診断チームとは】

特定の大規模クライアントに対し、カスタマイズされた脆弱性診断を提供する専門チームです。クライアントのセキュリティ部門の一部として監査目的の検査を実施し、独自のリスクレベル判定基準に沿った診断を行っています。

特定診断チームでは、年間を通して毎日、特定のクライアントのサイトを継続的に診断しています。診断対象はサイト全体ではなく、機能追加や新規リリースに関連する範囲を限定し、日々の開発・リリースの流れにあわせて診断を組み込んでいます。

 

【インタビュイープロフィール】 

チームリーダー：塚田
2013年中途入社。通常診断チームを経て特定診断チームに配属。現在はチームリーダーとして顧客対応・契約周りをメイン業務、クライアントとの窓口として技術的な要望への折衝などを担当。

診断員：大里
通常診断チームを経て、塚田さんより先に特定診断チームへ配属。サイト診断をメインに担当。2013年中途入社で、入社日は塚田さんと同日。チームメンバーとしては最古参の診断員。

診断員：百田
2020年に通常診断チームから特定診断チームへ異動。大里さんと同様の診断業務を担当するほか、通常診断チーム側の診断項目の調査・分析業務も兼務。

調整員：S
2018年中途入社。特定診断チームの調整役として採用され、入社時から現職。クライアント側で脆弱性診断を担当する部署との窓口として、診断に必要な情報収集・スケジュール調整・環境整備を一手に担う。

 

年間を通して特定クライアントのサイトの診断をこなす専任チーム

特定診断チームと通常診断チームの違いについて教えてください

塚田：大きな違いは、クライアントが固定されていることですね。通常診断チームはさまざまなお客様から依頼を受けて案件ごとに契約して診断を行いますが、私たちは特定のクライアント向けの診断リソースを一括で確保する形で、定期契約を結んでいます。

 

百田：通常診断チームの案件ではサイトを全体的に診断することが多く、一つの案件あたり1週間～2か月程度の期間で対応します。
特定診断チームでは、年間を通して毎日1サイトを対象に、継続的に診断を実施しています。診断対象はサイト全体ではなく、機能追加や新規リリースに関連する範囲を限定し、日々の開発・リリースの流れにあわせて診断を組み込んでいます。
ベースとなる診断項目は通常診断チームと特定診断チームで同じですが、時間の使い方は根本的に異なります。

 

塚田：こうした継続的な特定診断に加えて、サイト全体を対象とした網羅的な脆弱性診断も、定期的に実施されています。部分的な高頻度診断と全体を俯瞰する診断を組み合わせた、クライアントのセキュリティに対する意識の高さがうかがえる運用ですね。
もう一つの大きな違いは、クライアント独自の診断基準に準拠しているところです。セキュアスカイの診断項目をベースにしつつも、クライアントの要望に応じてカスタマイズした診断項目・脆弱性の判定基準で診断しています。私たちはクライアントのセキュリティ部署に所属する形で、監査目的の検査を担っています。

 

各メンバーの担当業務について教えてください

 

 

塚田：普段は診断をせず、顧客対応をメインにしています。クライアント側のセキュリティ・脆弱性診断担当部署との窓口業務や、契約周りの対応ですね。時代に応じて新しい脆弱性の診断が求められるので、クライアントからの要望に対して社内で技術的な対応可能性を検討し、折衝するのも私の役割です。以前は診断も担当していましたので、大里さんと百田さんに何かあった時に診断に回れるよう、バックアップする役割もあります。

 

大里：私はサイトの脆弱性診断をメインに担当しています。案件によっては2日から最長1週間のものもあります。
多くのWebサービスを運用するクライアントにおいて、このように日次で診断を回し続けることで、リリースに伴うリスクを早期に把握し、迅速な対応につなげています。

 

百田：私も大里さんと同様に脆弱性診断を担当しています。心がけているのは、複数のサービスの診断が同時並行で進む中で、診断実施日や診断対象となるサイトの取り違いを起こさないことです。クライアント側の開発環境で診断を行うので、先方の開発チームに想定外の影響を与えないように、予定通りの日程で診断を進めるように細心の注意を払っています。

 

S：私は、クライアント側の担当者とセキュアスカイ側の診断担当の2人との間で、スケジュールなどの調整役を担っています。改修されたサイトのどの部分を検査するのか先方と認識合わせをして、ログイン情報やパスワードなど検査に必要な情報を漏れなく収集し、画面の動作確認をして、診断員が作業できる状態まで準備する。塚田さんと診断員のちょうど間に入るような立ち位置です。

 

大里：Sさんの仕事は本当に診断の前段階で一番大事な部分です。もしその段階で漏れがあったりすると、本番環境のほうに大量のデータを作成してしまうなど、ユーザーに影響を及ぼすような事が無いように調整してくれています。診断環境の確認を受け持ってくれているSさんは大変だと思います。

 

S：サイトを見ていて、「開発環境」とお客さんは言っているけれど、URLを見るとどう見ても本番環境なんじゃないか……というように、常に慎重でいる必要はありますね。違和感があった時にお客さんに確認するなり、チームに相談するなりして、安全に脆弱性診断ができるよう心がけています。

 

フルリモートでも業務への支障はゼロ、その秘訣は？

特定診断チームもフルリモートで業務を行っているのですか？

塚田：東京オフィスと福岡オフィスのメンバーが混在しているチームなので、コロナ禍の影響で全社でフルリモートになる以前から、特定診断チームはリモートでコミュニケーションを取るのが当たり前の状態でチームが発足しました。だからメンバーが新しく加入したためとか、コロナ禍でリモートに移行したわけでもないので、違和感や不便さを感じることはないですね。

 

S：確かにそうですよね。対面で全員が揃うのは年1回の全社キックオフだけ。でもリモートで会話するのに慣れているので、心細さを感じたりすることもありません。

 

百田：直接会うのは年1回くらいですが、リモートで週1回は会話しているので、会ったからといって久しぶりという感じもしないし、特に変化は感じないですね。

 

求められるのは「コツコツ続ける力」「違和感へのアンテナ」

特定診断チームに向いているのはどんな人ですか？

 

 

大里：黙々と一つのことをやれるタイプですね。毎日定期的に案件が入ってくるので、慣れが出てきて他のことに手を出したくなる人もいるんと思うのですが、そうなると本来注力すべき脆弱性診断を負担に感じたりしてしまう事もあると思うので。コツコツやっていける人が向いていると思います。

 

塚田：そうですね、コツコツタイプが向いていますね。あとはチームワークを重視できること。1日で終わる案件も多いので、レスポンスが早くて、こまめにコミュニケーションが取れることが大事です。

 

百田：自分で時間管理ができる人がいいですね。この作業はこのぐらいで終えられるなという見積もりが自分でできる人。

 

S：調整の視点だと、クライアントの要望を適切に言語化して診断員に伝えられる人がまず挙げられます。同じサイトでも案件ごとにヒアリングシートをちゃんとチェックしないといけないので、同じ作業の繰り返しでも苦痛にならない人。あとは、細かいところに気づける“違和感に対するアンテナ”を持っている人だといいですね。私自身も、クライアントからのヒアリングシートを一つ一つ丁寧に見てチェックする、地道な作業を積み重ねて身に付けました。

 

皆さんの目から見た、特定診断チームの特徴は？

大里：うちのチームは相談しやすい雰囲気がありますね。何かあった時に「ちょっと聞いていいですか」と気軽に言える関係性を大事にできる人が集まってると思います。そういうコミュニケーションを続けていると、ほかのメンバーも声をかけやすくなりますから。

 

塚田：そうですね、言えるし、言ってもらえる関係性というのは、いいチームの現れかもしれませんね。レスポンスの早さは本当に重要です。Slackで聞いたらすぐ返ってくる。それだけでお客さんへの対応もスムーズになるし、チーム全体の回転がよくなりますから。

 

百田：大里さんにはいつも気を遣ってもらっていて、通常診断チームの仕事もしている僕に対して「この辺案件重たそうだけど大丈夫？」と声をかけてくれるんです。振りたい時にいつでも振れるのがすごくありがたい。

 

S：疑問に思った時に皆さんが相談に乗ってくださるし、逆に「ここ、おかしくないですか」と教えてくださることもある。レスポンスも本当に早いので、診断員メンバーの意見をすぐにいただけて、お客様とのやりとりがスムーズになることに役立っています。

 

チーム内でお互いにリスペクトしている点を教えてください

 

 

塚田：まずSさんには、いつも細かいところまでチェックしてくれてありがとうございます、と言いたいです。大里さんも百田さんも、毎回きっちり診断してくれて大きなトラブルがもう10年近くない。トラブルなく長年過ごせているのは、本当に皆さんのおかげです。

 

大里：ひとりで大変だった時期が1年〜2年くらいありましたが、そんな時に、百田さんが加入してくれて本当に助かっています。塚田さんにはお客さんとの窓口を担ってもらっていて、僕が直接連絡を入れていた頃のタスクも全部お願いできている。Sさんにはもう完全に頼りっぱなしで、何かあったら問い合わせをお願いして……。皆さんに大変助けられています。

 

百田：僕はよく確認事項が抜けるんですけど、その抜けをSさんは事前に気づいてくれて、お客様にお問い合わせする時に「こういうのも聞いたほうがいいんじゃないですか」とアドバイスをくれます。おかげでクライアントへの問い合わせを書く時のプレッシャーが減って助かっています。

 

S：よかったです。仕事のなかで、「あれっ？」て違和感を覚えた時は相談に乗ってくれるし、そのレスポンスもすごく早いんです。診断員視点の意見をすぐにくださるので、お客さんとのやりとりがスムーズにできて、毎日感謝してます。

 

好循環の現状維持を土台に、さらに大きな視座を目指す

特定診断チームとしての展望、また個人としての展望を聞かせてください

塚田：チームとしては、今は本当にいい状態なので、まず現状維持を目指して、トラブルなく高い品質と売上を継続できること。ただ、現状維持だけでは今後立ちゆかなくなるかもしれませんので、そのうえで、他のチームとの協業や連携する力も整えていきたいですね。

 

大里：現状維持が第一なんですけど、できればそれに加えて、似たような大規模なクライアントの案件を増やして横に広げていければいいなと。今は4人だけのチームですが、案件が増えて人数も増えても、より効率的にこなしていく体制にできたらと思います。

 

百田：展望の話は大概言われちゃいましたけど（笑）。強いて言えば、通常診断チームのメンバーに特定診断チームへ加わってもらう、ローテーションでトレーニング期間を作ってもいいかなと。特定診断チームにいると、時間がタイトな分、診断項目の理解が強くなるはずなので、診断事業部全体として強くなれるんじゃないかと思います。

 

S：日々の調整業務の質を落とさず、今のチームの土台を維持していくことですね。診断員さんの意見をすぐにいただけることで、お客様とのやりとりがスムーズになっているので、このチームの関係性を大事にしていきたいです。