セキュリティへの課題意識が、日本のスポーツ団体の“セキュリティの意識の底上げ”に貢献

東京オリンピック・パラリンピックがスポーツ団体のセキュリティ意識を高めるきっかけに

スポーツITソリューションが提供するのはITサービス全般だが、スポーツに特化した開発をワンストップで行っている点が特徴的だ。その規模はトップスポーツから、ボランティアで運営する市民スポーツまで大小さまざま。年間を通じて大小様々なプロジェクトが同時進行しているという。

スポーツITソリューションがSSTの脆弱性診断を導入したのは2016年のこと。東京2020オリンピック・パラリンピックに向けたシステム開発が本格化し、セキュリティ要件が大幅に高度化していた時期だった。そのころの状況を干場氏は以下のように振り返った。

「当時は、2020年に開催が予定されていた東京オリンピック・パラリンピックの案件が出始めた頃でした。東京オリンピック・パラリンピックはターニングポイントでしたね。案件が大型化・高度化したのに加えて、顧客へのリリース前の脆弱性診断をはじめとしたセキュリティに対する要求が、以前と比べて高くなった気がします。時間を掛けてでもセキュリティは強固にする、というオーダーがどの案件でも求められるようになりました」（干場氏）

 

 

機を同じくして、Webサイトへの攻撃が複雑化して、攻撃のパターンも多様化。脆弱性が狙われる事象の数もかなり増えたという。「顧客側も『何かが起きてからでは遅い』と、攻撃による被害や影響の大きさをしっかり認識されるようになった」と干場氏は語る。

スポーツITソリューションは自社のセキュリティポリシーを制定。またそれ以前からもクオリティコントロール担当を設置し、自社での脆弱性診断も行っているという。情報システム兼エンジニアの津江氏は次のように語った。

「当社ではPマークを取得しております。当社のセキュリティポリシーに沿って、クオリティコントロール担当によるチェックと、社内で自動ツールを用いた脆弱性チェックを基本的に行っています。クライアント側のセキュリティポリシーや要件に合わせてより厳しいチェックが必要となる場合には、専門企業での診断などを行っています」（津江氏）

東京オリンピック・パラリンピックを機に、業界全体で高まったセキュリティ意識を底上げすべく、コンサルティングの一環として、セキュリティをシステム開発の重要な要件と位置付け、DXとの整合性を意識した提案を行っていると干場氏は説明する。いわば“業界のセキュリティの視座を高める”重要な役割を担っているのだ。

「規模の大きなスポーツ運営団体が抱える個人情報は、数百万人単位になることもありますので、セキュリティの重要さは説明しています。効率性と利便性とのバランスを保ちながら、どうセキュリティを担保するか提案します。自分の団体での過去のやり方しか知らないケースも多いので、他団体での取り組みを例にすると、安心してくれますね」（干場氏）

 

診断スケジュールの確実性と手動診断のきめ細かさが決め手

スポーツITソリューションとSSTとのつながりのきっかけは、取引先からの紹介だった。複数のセキュリティ企業のなかから脆弱性診断の依頼先を探しているなかで、診断期間やクオリティ、評判などの情報を集めていたという。

「当社に出資している電通のグループ企業、ISID（電通国際情報サービス、現在の電通総研）でもSSTのサービスを導入していたこともあり、SSTの評判は聞いていました。SSTを選んだ理由は、納期の確実性と診断レポートの質の高さです。今でも顧客への納期との調整がつかない場合を除けば、第一候補となる依頼先はSSTですね。SSTの診断報告書は、脆弱性の再現手順や根拠がスクリーンショット付きで丁寧に記載されており、エンジニアも一目で分かりやすいです」と、複数の脆弱性診断依頼先のなかでもSSTは優先度が高いと干場氏は評価する。

脆弱性診断を依頼する際にもっとも肝心となるのが、リリース日程に合わせたスケジュール調整だ。プロジェクトマネージャーの藤田氏は「なるべく早めにSSTの脆弱性診断リソースの空き状況を確認するようにしています。それでも直前の依頼になってしまうことも多いですが、『この案件で診断を検討している』と事前にお伝えするだけでも、リソースの確保に動いてくれて助かっています」と明かす。

合わせて、スポーツITソリューションが選択基準として挙げたのが、手動診断のきめ細かさだ。

「診断手法には自動ツールと、手動とがありますが、手動でどこまで細かくやってもらえるか、という点が選択基準の一つになっています。脆弱性診断前の調査でSSTの担当者とやりとりをしていると、短い期間でシステムの仕組みや役割、目的を分かってもらえて感心します。われわれと感覚が近いというか、よく理解したうえで診断してくれるからスピーディなんだと分かりますね」（干場氏）

直近で脆弱性診断を行ったのは、スポーツITソリューションが10年以上にわたって開発・運用を手がけている、スポーツ競技団体のシステムだ。それまで並行して稼働していた複数システムを統合するにあたり、各システムに分散していたアカウント情報も統合する必要が生じた。その開発の核となったのがセキュリティだったと、担当した藤田氏は語る。

「公共性の高い団体だったため、セキュリティ要件を満たすための予算やスケジュールも確保した大規模開発となりました。権限周りのセキュリティを担保するために、今回はSSTに脆弱性診断を依頼しました。診断報告書を読んで『本当に細部まで診断してくれている』と感じました。私たちが見落としていたような脆弱性も発見してくれて、診断を依頼してよかったと改めて感じました」（藤田氏）

 

 

報告書の質が情報共有の速さに直結。脆弱性への対策スピードも高まる

報告書では、脆弱性の技術的な解説だけでなく、修正方法も具体的に提示されるため、開発チームで速やかに対応できるという。報告書のおかげで、セキュリティ課題を開発メンバー全員で共有しやすくなり、脆弱性を早期に発見し確実に対処することができると干場氏は語る。

「他社へ脆弱性診断を依頼したときとの報告手段や報告書内容を比較すると、SSTのほうが最後までしっかりやってくれている印象を受けました。他社ですとスケジュールが迫ると報告書ではなくメールベースでの報告で終わることもありますが、SSTは報告書でまとめてくれます」（干場氏）

案件によっては社内スタッフだけではなく社外スタッフやパートナー企業のメンバーも含めた大所帯のチームになる。報告書の内容が充実していると、共有もしやすいと藤田氏は語る。

「今回診断対象となったプロジェクトでは、プロダクトマネージャー（PM）やエンジニア、デザイナーなど総勢20名以上のチームで当たっていました。脆弱性診断の結果をPMだけ分かっていても意味がありません。報告書がしっかりしていると、ほかのメンバーと情報や課題を共有する手間も減りますし、結果として脆弱性の改修にもしっかり対応できます」（藤田氏）

 

“国内のスポーツ活動のセキュリティ”を支える立場の課題と、セキュリティ企業への期待

国内スポーツ団体の多くを顧客に持つスポーツITソリューションのセキュリティへの意識は、国内のスポーツ活動のセキュリティを支えているともいえるだろう。同社のセキュリティに対する取り組みや課題、そしてセキュリティ専門企業に期待する役割をうかがったところ、津江氏と藤田氏からは「最新の脅威や脆弱性に関する情報の入手」、そして干場氏からは「実践的な教育プログラムの必要性」が指摘された。

「開発側としては、IPAのメールマガジンやJPCERT/CCのメーリングリスト等から、最新の情報を得るようにするとともに開発チームのメンバーで共有を行い、大きなインパクトがあるニュースに関してはSlackなどで全社に通知しています。ただ、情報量が多すぎて、消化しきれないのが悩みの種です。現状は共有する取り組みを地道に続けていくことが大切かなと考えています」（津江氏）

 

 

「私もメルマガなどを購読したり、報道された情報漏えいのニュースをなるべくキャッチアップして、今どのような攻撃手法が多いのかを追うようにしています。『今このような脆弱性への攻撃が増えています』といったセキュリティの最新動向をつかめていると、クライアントへの情報共有のほか、セキュリティ対策の提案を行うときに活用できます。セキュリティの専門家から確度の高い情報を提供してもらえるとありがたいです。そうした情報を社内で展開したり、クライアントに提供できたりすれば、弊社のサービス価値も高められます」（藤田氏）

 

---

株式会社スポーツITソリューションについて

https://www.sports-it.jp/

スポーツITソリューションでは、「スポーツとインターネット」のプロフェッショナルとして、適切な技術と優れたデザインの提供を通じて、スポーツに関わる方々が抱える様々な課題の解決を提供し、21世紀の豊かなスポーツ環境の実現に貢献しています。また、最近はデータコンサルティングやeスポーツ、ライブ配信など各領域を拡大しています。