金融機関基準のセキュリティを目指すフィンテックが選んだ「トータルバランスの高い脆弱性診断」

金融機関との取引に求められた、高度なセキュリティ体制

−−インパクト投資について、また、御社の事業について教えてください。

 

 

鈴木：まず、インパクト投資とは、投資収益の確保を図りながら社会・環境的効果（インパクト）の実現を目指す企業への投資です。さまざまな社会課題解決への重要性が叫ばれるなかで、革新的な技術や事業へ取り組む企業への投資は注目を集めています。

一般的な投資では、明確な投資判断の基準として経済的な投資対効果を基準としますが、このインパクト投資には明確な基準がありません。「地域経済の活性化を実現し雇用を安定させた」「貧困を解消した」などいろいろな事象が指標になり得る一方で、何をどう測って、どう並べて比較するのかが難しいという課題があります。インパクトの対象が広すぎて、財務指標のような一定の基準では単純にまとめられないためです。

そこで、インパクト投資の基準となる指標を自動的に生成し、投資家へ提示できればビジネスになるのでは、という思いからインパクト可視化を事業として立ち上げました。当初はコンサルティングサービスとして立ち上げ、2024年の夏からそのノウハウを構造化したSaaSプロダクト化のプロジェクトがスタートしました。

−−金融機関などの投資家向けサービスとして、求められるハードルはありましたか？

鈴木：フィンテック企業として金融機関を相手にしていますし、投資を募集する企業の事業計画のようなセンシティブな情報も含まれます。

2024年には情報セキュリティ規定を制定し、それに基づき代表取締役を委員長とする情報セキュリティ委員会を設置しました。実務責任者の下で、IPAの「中小企業の情報セキュリティ対策ガイドライン」の自主点検のひな形を元にしたチェックや、社員への啓発を私が担当しています。また、社員の情報資産のチェックや、クラウドサービスの確認、アクセスログの保存なども規定に入れて運用しています。

佐々木：金融機関向けのプロダクトに求められるセキュリティは、一般的なサービスと比べて段違いの厳しさです。セキュリティチェックシートの項目も細かいですし、責任も問われます。そこまで求められている以上、自社のセキュリティレベルもそれに合わせるべきだと認識しています。世の中全体の流れとしてもインシデントが増加し、セキュリティが強く求められる時代になっていると思っています。

鈴木：セキュリティ体制の構築に力を入れたのは、インパクト可視化サービスを導入する企業が拡大してきたことが大きな要因です。プライム市場に上場する大企業と取引するようになり、セキュリティ面で要求される範囲が広がりました。

−−脆弱性診断の必要性も、その要求拡大により生じたのですか。

鈴木：そうですね、開発するSaaSプロダクトは金融機関や大企業へ導入を想定していたので、セキュリティの担保は最重要事項としてしっかりと投資していこうと考えていました。

 

 

佐々木：金融機関のセキュリティチェックシートには「脆弱性診断を実施している」という項目も当たり前のようにあって、実施していないと採用されません。自社での対策だけでなく第三者による評価も含めて行う必要があると考えました。金融機関が使えるサービスとしてのセキュリティを担保するためには、相応のセキュリティ投資が必要になりますが、まずは自社の予算で対応できることとして、第三者による脆弱性診断を実施しようと判断しました。

 

診断依頼先を即決した決め手は「トータルバランス」と「コミュニケーションの速さ」

−−脆弱性診断の依頼先として、セキュアスカイを知ったきっかけは何でしたか？

鈴木：当社は開発部隊を持たず、開発はパートナー企業に依頼しているため、自社だけのセキュリティ知見では十分とは言えないと思っています。そこでまずは開発パートナーから診断会社を複数紹介いただき、そのなかで、診断サービスのラインアップや対象範囲、コストパフォーマンスを比較検討した結果、セキュアスカイに依頼を決めました。選定のポイントとしては、対応の速さや価格も含め、トータルのバランスが良かったということです。比較表の優位点に「○」をつけていき、「○」が最も多かったのがセキュアスカイでした。

佐々木：打ち合わせのときに、営業担当者と一緒に診断の実務担当者が打ち合わせに出てきてくれたのがセキュアスカイだけだったのは大きかったです。対応も親身で、その場でこちらの状況に合わせた提案まで返してくれたのが印象に残っています。Webフォームから問い合わせしてすぐ連絡が来ましたし、打ち合わせ当日に見積りを依頼したら、その日のうちにいただけたんですよ。スピード感の違いは、他社を圧倒していました。

他社さんだと「このプランがあります」というだけの説明だったり、決済の催促電話が何度も来たり、サービス内容をちゃんと説明できない営業の方だったりして、そこに時間を使うのは、コミュニケーションコストが高くなりそうだなと感じたんですよね。

 

技術的な疑問にも明確に回答。高い専門性がスムーズなコミュニケーションにつながる

−−説明内容については、ご納得いただけるレベルでしたか？

佐々木：セキュアスカイは「他社と同じところはここ、セキュアスカイの強みはここ」と初めからはっきり伝えてくれましたし、質問に対しても持ち帰り対応ではなくその場で的確な返答をしてもらえたので、安心して進められました。見積りの金額感もイメージ通りだったので、結果的には他社とほとんど検討せず即決できました。

当社からセキュアスカイへの診断依頼は初めてでしたが、私は前職で過去に脆弱性診断を受けた経験がありましたし、開発会社のPMのマネジメントも巧みでしたので、依頼側としてのコミュニケーションコストも減らせたと思いますし、セキュアスカイ側も非常に的確に対応してもらいました。チームの人数も少なかったので合意も取りやすく、結果として全体的にスムーズに進められましたね。

−−脆弱性診断の進め方や、結果の報告については、スムーズだったでしょうか。

佐々木：当初は診断希望箇所の項目数を提示したのですが、項目数ではなく診断時のリクエスト数に応じて費用が発生するため、事前調査で対象となるサイトをすべてチェックしてもらい、予算に納まるように診断対象範囲を設定してもらいました。重点的に診断したい機能など、こちらの希望も踏まえてちゃんと相談しながら進められました。

 

 

鈴木：診断報告書も、担当した自分たちやエンジニアへの共有はもちろん、社内のメンバーにもすぐに説明できる形になっており、大変ありがたかったですABC評価があって、リスクがLowからHighに整理されていて、修正した結果が再診断でどうなったかも追える。その構成がすごく良かったですね。

 

診断だけで終わらない、改修と再診断によるセキュリティ強化

−−診断報告後の再診断もご利用されましたが、いかがでしたか？

佐々木：診断報告書で指摘された脆弱性を改修し、再診断を受けました。第三者機関からの評価を受けることが目的の一つでしたので、上のランクの評価が出るまで再診断させてもらえて、大変助かりました。

鈴木：スタートアップのサービスは良いサービスをリリースしてもセキュリティ面で不安視されてしまう可能性がありますのでセキュリティの専門企業から「しっかり脆弱性を潰してあります」というエビデンスがもらえるのは、非常に大きな意味を持ちます。

佐々木：今回のプロダクトは、金融機関がユーザーなのでセキュリティチェックシートの「脆弱性診断実施」の項目に、堂々と丸がつけられるのはかなり大きいです。

プロによる脆弱性診断から学び、リテラシー向上を目指すきっかけに

−−今後のセキュリティ課題をどう捉えていらっしゃいますか。

鈴木：脆弱性診断によってセキュリティ課題が可視化されても、その対処が追いつかなくなる、というのがスタートアップにおける現実的な課題だと思っています。すべてのセキュリティ課題を完璧に潰していくというやり方では負担が際限なく増えていきます。そのため優先順位をつけて順に対処するとともに、セキュリティを保つ企業カルチャーを醸成してクリティカルリスクの発生を避ける、という方法を採らざるを得ないと考えています。脆弱性診断の実施についても、現状はルール化していませんが、今後ISMS認証を取得するなかで開発・リリースのプロセスに組み込んでいくつもりです。

 

 

佐々木：昨年末には大手企業でランサムウェアによるサイバー攻撃被害が立て続けにありましたし、注意すべきことはますます増えていくと思います。最近ではAI絡みでのセキュリティ対策がよりいっそう求められるでしょう。

鈴木：そうですよね。攻撃もその対策も、より複雑になってきていると感じます。今回の診断報告書を読み込みましたが、エンジニアでないと報告書に使われている単語さえも分からない人も多いのではないかと思います。診断項目も、世の中のリスクに合わせてアップデートされていると思いますので、セキュリティのプロによる診断を通じて、セキュリティ対策の現状をキャッチアップし、私たちのリテラシーを上げる機会につなげていきたいと思います。