“相談力の高さ”と“マニアックな脆弱性診断”がSSTの特徴。信頼できるセキュリティコンサルとしての役割に期待

FAX同報のノウハウを、多様なSaaS提供でのコミュニケーションチャネルへ

ネクスウェイは、「デジタルとアナログをつなぐ通信サービス」と「SaaS形態のソリューションサービス」のB to Bサービスを提供している。通信サービスの系譜は、FAXの一斉送信サービスから始まる。多数の宛先に同じ内容を一括で送信するという同報のノウハウを、時代の変化にともなうコミュニケーションツールの多様化に対応させ、現在ではFAXとメールの一斉送信や、SMSの一斉送信のほか、マーケティングから発送までをワンストップで行えるDM郵送サービスなども展開している。

さらに通信サービスのほか、製薬・医療機器メーカー向けの情報提供サービスや、そこから派生した薬局や薬剤師向けの業務支援、証券会社の口座開設時などに用いられる顔認証による本人確認サービスなどのソリューションを提供。「営業・マーケティング」「受発注管理」「多店舗間の情報共有」などを支援する同社のサービスの取引社数は、約15000社にのぼる。

小田切氏は「情報通信のコミュニケーションチャネルは今後も増えつつある。新たなチャネルに対応して市場の拡大に対応するとともに、ソリューションサービスも同時に拡大していきたい」と語る。

1年に一度、コンプライアンス室がセキュリティポリシーを更新

小田切氏はITエンジニアリング部のマネジャーとして、インフラ部分を担当する「プロダクト開発グループ」および、アプリケーションの開発を担当する「サービス開発部」を統括している。藤本氏はプロダクト開発グループに所属し、サービス開発部と協力しながら基盤部門の維持運用を担当。事業創発部に所属する山下氏は社内の新規サービスの立ち上げや開発を担当している。

セキュリティの具体的な施策や対策は、各部署・プロジェクトに任されているという。そのよりどころとなるのが、コンプライアンス室がまとめる同社のセキュリティポリシーだ。

プライバシーマーク付与事業者に求められるPDCAサイクルの中に、セキュリティポリシーの更新も含まれている。1年に一度行われる、代表取締役や情報管理統括責任者など部門長クラスの経営陣をメンバーとしたマネジメントレビューで、昨今のセキュリティ事象、顧客からの要望、内部監査の結果などをもとに、アップデートしたルール作りがなされる。さらに、同社が所属するTISインテックグループの情報セキュリティ方針、法改正への対応などを擦りあわせ、コンプライアンス室が次の1年のルールを策定している。

ネクスウェイとSSTの最初の接点は、セキュリティ勉強会から

ネクスウェイとSSTの接点は、10年以上前にさかのぼる。現在は経営企画本部 コーポレートマネジメント コンプライアンス室にてセキュリティに関する推進、教育を行っている三和順悦氏がSST主催のセキュリティ勉強会への参加したことがきっかけだった。Webセキュリティに関する最新情報をキャッチアップするために、SST主催の勉強会やSSTとの仕事を通じたコミュニケーション上で、1年に2回〜3回くらいのペースで交流があったという。小田切氏は当時の状況を振り返り次のように語る。

「当時は、今と比べて部署やサービスの数も少なかったころで、まだWebアプリケーションサービスもありませんでした。SSTとの窓口も私一人で担当していましたが、部署やサービスが増えて一人では取り回せなくなり、現在は部署ごとに担当者を立てて、それぞれ依頼をする形になりました。2014年ごろから毎年1プロダクトずつWebサービスを作り始め、脆弱性診断も定期的にお願いするようになりました。2016年からは毎年診断を依頼しています」

現在の社内ルールでは、サービスの新規稼働時には、プラットフォーム診断とWebアプリケーション診断を実施するルールとなっているという。

 

 

対応の指針となる、診断先企業の実情に即した回答

直近では同社が提供する「SMSLINK」「本人確認BPOサービス」を対象として脆弱性診断が行われた。これまでのSSTの脆弱性診断に対する印象を聞いた。

山下氏がまず挙げたのは、新規サービスに対する脆弱性診断における、スケジュール対応の柔軟性だ。

「私の部署では新規サービス開発を行っていますが、リリース間際にスケジュールが変更したり、予定期日までに診断環境を準備できないケースも往々にしてあります。そのたびごとに申し訳ないと思いつつ相談し、柔軟に対応していただいて助かっています」

もう1つが、脆弱性診断後に発行される、診断結果レポートの情報量の豊富さだ。

「情報システム部門に所属していたとき、他社の脆弱性診断結果と比較したことがありました。SSTの脆弱性診断結果は非常に詳細なうえ、事前調査で診断不要と思われる部分を提示してくれます。判断のベースとなる資料を丁寧に作っていただけるので、こちらも判断がしやすく次のアクションにもすぐつながります」（山下氏）

 

 

小田切氏は、レポートの質について「事象ごとの危険度とその対応策がしっかりと提示されている。見せ方も、Webアプリケーション開発に関わらない人が見たときでも、危険な箇所や危険度の高さが伝わる」と語ったうえで、他社と比較したときの大きな違いが「対応策について質問でき、適切なレスポンスを返してくれる」点だと指摘する。

「『この場合、どこまで対応すればいいか？』という質問に対して、形式張った答えではなく実情に即した答えを返してくれます。他社だとそこまで答えてくれるイメージがないので、すごく大きな違いだと思います」(小田切氏）

「こねくり回した」診断に欠かせない事前準備と連係

もうひとつ、SSTの脆弱性診断に対する印象として挙げられたのが「マニアック」だ。小田切氏は「他の診断会社だと、ある程度決まったパターンやパラメーターでしか診断しないケースがある一方、SSTの診断は私たちから見れば“嫌がらせ”のようなこねくり回した攻撃やマニアックな方法で診断をしてくれます。診断結果を見て、『SSTにはきっと脆弱性を絶対に見逃したくない、ホワイトハッカーがいるんだろう』などと思ったくらいです」と語る。

そのような込み入った診断を行うためには、診断を受ける側の準備も欠かせない。今回の診断では藤本氏が中心となり診断に必要となる情報提供等の準備に対応いただいた。「大変だった」と振り返る藤本氏からは、その必要性についての認識がうかがえた。

「こねくり回した診断を行うためには、事前情報がなければできません。それはこちらとしてもよく分かりますので、インフラ担当の私で答えられる範囲ならすぐ対応しています。アプリ開発チームに聞かないと分からない部分は少し時間をもらって、いろいろな人や部署の間を駆けずり回りながら情報を集めて、SSTの診断担当者へ渡しています。お待たせしてしまって気まずいときもありますが、準備が大変なこととSSTの診断の価値とはリンクしていると思っています。負担が軽くなるのはうれしいですが、そのせいで十分に診断ができず、利用されるお客さまに何かあったときのほうが問題になります。診断の効果を最大限に引き出すためにも、頑張りどころだと思って対応しました」（藤本氏）

 

時代に対応した対策のために、「マネジャーのセキュリティレベル向上」が課題

現場で具体的な対応を行える反面、判断を行うプロダクトマネジャー（PMG）側のセキュリティ意識の底上げが課題だと、小田切氏と山下氏は語る。「すべてのレベルの脆弱性を解消するのはなかなか難しいので、危険度のレベルが一定以上の脆弱性は対応しようという意識になっている」という現状と、その判断の妥当性についての課題感をうかがった。

「その判断が適切かどうかは、山下ともよく話をしています。時代に合わせて私たちマネジャーのレベルが上がっていかないと、判断を間違えてしまいかねないからです。昨年から、PMGの横のつながりとしてPdMO（プロダクトマネジメントオフィス：PMが集まった仮想オフィスのような議論の場）を隔週に一度程度開催しています。その場では毎回セキュリティの課題が話題になり、異なるプロダクトのマネジャーが1つ1つ課題を挙げながら、互いにセキュリティ対応に関する知識や情報を共有して確認するようにしています」（小田切氏）

「PdMOを通じたセキュリティ知見の底上げで、100％の正解とは言わずとも、9割方正しい判断ができるようにしたいと思っています。ただ、1つの課題に対して皆で議論しても正解を答えられる人がいるわけではないので、なかなか難しく手探りなのが正直なところです」（山下氏）

セキュリティのプロフェッショナルとして、SSTに期待すること

最後に、小田切氏、山下氏、藤本氏から、今後のSSTに期待する役割を聞いたところ、「セキュリティをどこまで追求するべきかを指し示すコンサルタント」「私たちでは持ち得ない知見の提供」という、マネージャーおよびエンジニア、それぞれの立場からの要望が浮かび上がった。

「当社の規模ですと、品質保証（QA）チームを置くのは難しいと思っています。診断そのものについては他社も含めて精度が上がってきているのも感じます。そこでSSTに期待したいのが、どこまでセキュリティを追求すべきか、そうでないかを助言してくれるセキュリティコンサルタントとしての役割です」（小田切氏）

「これからも1年に1つ程度のペースで新しい業界・業種に向けた新たなSaaSプロダクトを提供するつもりです。会社として担保すべきセキュリティポリシーやレベルはありますが、プロダクトの特性やユーザーとなるお客さまの属性によって、どこまで追求するかは柔軟に判断しています。逆に言えば、一律には判断しがたいということでもあるので、セキュリティをどこまで担保すべきかという視点でSSTには伴走してもらいたいと考えています。短いサイクルで脆弱性診断を受けるのが理想ですが、コストやスケジュールの問題でできない部分もあるので、DevOpsのサイクルに定期的な診断を組み入れる取り組みを、まずは私たちのチームで始めたいと考えていますので、ぜひ今後も相談させてほしいです」（山下氏）

「第三者に脆弱性診断を依頼する理由は、私たちだけではどうしても持ち得ない知見を、外部の専門家でWebセキュリティの第一人者から得ることが一番だと思っています。言われるまでもないような最低限の対策は踏まえたうえで。攻撃手法も日進月歩どころか1日のうちに何度もアップデートされる時代ですから、イタチごっこにならざるを得ないと認識しています。セキュリティのプロの知見を借りながらキャッチアップしつつ、当社で運営しているサービスをよりお客さまに安心してご利用いただけるようにしていきたいと思っています」（藤本氏）

---

株式会社ネクスウェイについて

https://www.nexway.co.jp/

株式会社ネクスウェイは、デジタルとアナログをつなぐ通信サービスとSaaSを提供する会社です。情報の多くがクラウド上で処理される現在においても、なお私たちの生活はリアルな社会で営まれており、デジタルとアナログを結び付けることはますます重要になってきています。

ネクスウェイが提供するサービスを通じて情報を日本のすみずみまで届け、あらゆる人々が自分らしく働ける世界の実現を目指します。