セキュリティ企業からの「お墨付き」で、増大する情報漏えいリスクへの懸念に対応

医療領域と予防医療領域に事業を展開するなかで、セキュリティ強化が不可欠に

フィッツプラスは2006年に設立し、特定保健指導を中心とした健康管理に関連する事業を開始。現在は企業の人事部門や健康保険組合を顧客とする予防医療に関連する事業を展開している。

脆弱性診断をはじめとする、SSTとのコミュニケーションの窓口を担っている柿久保氏に、サービス導入の経緯およびSSTへの診断を継続的に行っている理由を聞いた。

 

 

「私たちの部門でリリースするシステムについて、取締役からセキュリティをより高めたいという指示があり、簡易ツールを使った自社での診断だけではなく専門企業の脆弱性診断を検討しました。その当時のCTOがSSTのCTOの長谷川氏と面識があったため、SSTともう1社を選定し、脆弱性診断を依頼したのが最初のきっかけです」（柿久保氏）

比較検討した2社は金額や診断項目に大きな差はなかったが、SSTの脆弱性診断はSlackでのコミュニケーションや請求書のオンライン処理が可能で、コミュニケーションコストが格段に少なかった。このスムーズなコミュニケーションが、その後の継続依頼につながったと高山氏は語ってくれた。

 

 

「アプリの動作検証中に、問題発生の状況や解決方法の説明が言葉では難しいケースもあったのですが、そのやりとりをすべてSlack上で行えました。そのおかげでエラーの内容や検証環境などもすぐ共有できましたし、過去のやりとりを参照したり、資料のファイル管理ややりとりも楽でした。メールでやろうとするとかえって面倒が増えてしまいます。私たちが使い慣れたツールでコミュニケーションが取れるのはありがたかったです」（高山氏）

「また、再診断にも柔軟に対応してもらえたこともあり、その後はSSTに継続的に依頼しています。SSTに診断を依頼していることを健康保険組合などの顧客に伝えると説得力が増すというメリットもありました」（柿久保氏）

セキュリティに対する意識の変化と、企業全体の信用維持に対応

40〜74歳の被保険者・被扶養者を対象とした特定保健指導を支援するサービスであるフィッツプラスでは、エンドユーザーの体重、身長、生活習慣、既往症など、要配慮個人情報に該当するデータを数多く取り扱う。そのため、情報漏えいのリスクを最小限に抑えるべく、脆弱性診断の実施が不可欠である。PMに準じる立場から製品開発を担当している畑木氏は、次のように語る。

 

 

「顧客企業からお預かりしている情報は、各個人にとって公開したくない情報も多く、データの安全性担保は強く意識しています。昨年4月に個人情報保護法が改正され、『要配慮個人情報』の漏えい、および1000件以上の情報漏えいが重大事項として扱われるようになりましたので、顧客となる健康保険組合でも以前にも増して情報漏えいによる信頼喪失リスクを重要視しています」（畑木氏）

個人情報保護管理者として数年来監査を担当する畑木氏によれば、以前は「ダブルチェックの有無」「メール送付の添付ファイルの確認」といった運用面での指定が多かったが、ここ近年はシステム的なセキュリティ対策の有無の確認へと変化している。そのため、第三者による客観的な視点での脆弱性診断が、フィッツプラスのクライアントニーズとしても高まっているという。顧客への信用という観点からセキュリティの重要性を指摘する。

「専門家が頭をひねって攻撃してやっと確認できるような脆弱性を見つけていただけるとすごく助かると思います。仮にわずかな情報漏えいだったとしても、情報が漏えいしたという事実は、事業を進めるうえで大きな影響を与えかねませんし、その影響の大きさは弊社の経営陣も理解しています。業界の特性上、サービスを提供するうえでも信用は重要な要素ですから、十分なセキュリティ対策を行うべきという意識は共有されています」（高山氏）

丁寧な事前ヒアリングが可能にする、精度の高い診断。報告書の説得力は顧客の安心につながる

これまでに複数の製品を対象として、実施された脆弱性診断は合計5回。継続的な診断の実施を通じて、診断報告書を起点とした改修フローの構築につながったと柿久保氏と高山氏は語る。

「SSTからの報告書では検出された脆弱性を重要度ごとに分類して報告してくれます。弊社側ではその診断結果をもとに一つ一つの脆弱性対策をチケット化し、重要度に応じて対応期限を設定するなど、改修フローを作ることができました。報告書には脆弱性の悪用可能性などのエビデンスも記載されており、顧客向けの説得材料としても役立っています」（柿久保氏）

「印象に残っているのは、スマホアプリの『ダイエットプラスプロ』の診断です。前回の診断時と比べ、直近の診断ではより重大な脆弱性が少なくなっていました。柿久保が述べたように、診断結果をそのまま開発側で対策タスク化するフローのおかげで、過去の知見を生かして開発ができた結果だと感じています」（高山氏）

また、脆弱性診断前に行われるヒアリングにより、SSTのエンジニアが対象のシステムの特徴や仕組みを理解し、きめの細かい診断を行っている点を評価のポイントとして指摘した。

「特定保健指導業務の効率的支援ツール『Tonoel』では、健康保険の管理者と事業所の担当者、弊社の管理者など、利用する立場に応じてロールが複雑に設定されています。『Tonoel』の脆弱性診断の際は、それぞれロールの役割を理解しながら診断を行ってもらえました」（柿久保氏）

「自社で脆弱性診断ツールを使った簡易的な診断をすることもありますが、仕様のなかに意図せず作り込んでしまった脆弱性は見つけられません。SSTは、事前の調査や打ち合わせのフェーズで『どういったユーザーが、どんな情報を、何のために扱うのか』をしっかりヒアリングしたうえで、頭をひねらないと見つからないような仕様の穴を見つけてもらえて、大変助かっています。セキュリティの専門家ならではの視点での診断は貴重です」（高山氏）

「クライアントのセキュリティチェックシートにも、SSTに脆弱性診断をしてもらいました、と自信を持って報告できますよね」（畑木氏）

「問題が発生していないシステム」へのセキュリティ対策や、より高度なセキュリティ教育に期待

フィッツプラスは高度な情報セキュリティ管理体制を維持すべく、情報セキュリティポリシーを制定し、定期的にアップデートを行っている。ポリシーに基づき、重要なリリースや個人情報を扱うサービスについては、脆弱性診断と品質保証チームによるセキュリティチェックとを実施するほか、社員向けセキュリティ教育、インシデント発生時の対応手順の整備、脆弱性情報の共有など、組織全体でセキュリティ意識の向上に努めているという。

要配慮個人情報を扱うヘルステック企業として、セキュリティ対策に真摯に取り組むフィッツプラスがセキュリティ専門企業に求めることとして挙げたのは「アプリの脆弱性診断」について。そして自社が取り組むべきセキュリティ課題として浮かび上がったのは「セキュリティ対策の優先度を上げる仕組み作り」と「セキュリティ教育・トラブル時の対応訓練」だった。

「現在はサーバーサイドの診断のみですが、今後はクライアントサイドのアプリケーションも含めた診断を検討しています。アプリ全体の脆弱性診断にも対応してもらえるとありがたいです」（柿久保氏）

「私も同じ意見です。当社でもスマホ用のアプリを開発・リリースしていますので、アプリそのものの脆弱性を見つけてほしいですね」（高山氏）

「長く続いているサービスで、問題が起きていないがためにセキュリティ対策のアクションが取れていないという悩みがあります。年に1回フルスキャンをかけようという声があっても予算化が難しいのです。問題のない製品に対して正しく危機感を持ち、予算を付けてセキュリティ対策を行う仕組み作りが課題だと考えています」（高山氏）

「そうですね。古いシステムのセキュリティ対策の優先度を上げるために、診断で脆弱性の存在を示すことができるとよいですね。また、新卒のエンジニアを対象とした、初学者向けセキュリティ講座は現在行っていますが、開発リーダークラスが受講できるようなハイレベルなセキュリティ教育も社内で必要とされています。前CTOと話をした際に、セキュリティ診断企業が自社の社員向けに行う研修を受けてもらい、攻撃のオペレーターになれるくらいの技術を身に付けるというアイデアがありました。そのような、セキュリティの専門家による踏み込んだセキュリティ教育やカリキュラムの開発に期待しています」（柿久保氏）

「診断についてはいろいろと融通を利かせてもらっているので、十分満足していますね。事故って不意に起きるものですから、脆弱性によるインシデントのトラブルがあったとき、社内の対応フローを考えておかないとBizDev側も対応できません。GameDayのようなかたちなども含めて、インシデント発生時の対応訓練なども今後検討したいと考えています。机上のマニュアルだけでなく、実践的な訓練の実施には社内リソースだけでは難しい面もあるため、外部の専門家の力を借りることも視野に入れています」（畑木氏）