AGCグループ 伊藤氏と語る「激動の時代のセキュリティ戦略と変革の重要性」

ビジネス環境に適したセキュリティの構築

上村：
最初に、AGCが過去5年間でセキュリティ体制をどのように変革してきたのかを教えてください。5年前の2017年当時、AGCではセキュリティをどのように捉えていたのでしょうか。

伊藤：
当時、社内には「情報セキュリティ」という考えが十分に浸透していなかったと記憶しています。その背景には「情報セキュリティ＝情報漏洩を防止する」というイメージがあり、BtoB（企業間取引）を柱とした製造業であるAGCではセキュリティリスクは高くないと捉えられていたからです。しかし、その後の5年間で私たちはセキュリティ管理体制を大幅に見直したのですが、その背景にはさまざまな変化がありました。

上村：
具体的にはどのような変化があったのでしょうか。

伊藤：
大きく分けて外部要因と内部要因の2つの変化が挙げられます。外部要因は、これまでとは違うリスクの顕在化です。ランサムウェアに代表されるような、ビジネス活動そのものを停止させ、甚大な被害をもたらす脅威が台頭してきました。実際、同じ製造業でWannaCry（ワナクライ）の被害が報告されたこともあり、社内でサイバー脅威に対する危機感が醸成されました。

一方、内部要因としては経営戦略のアップデートです。私たちは2018年に「旭硝子株式会社」から「AGC株式会社」に社名を変更しました。その背景には経営戦略の意思として、既存事業を盤石にしつつ、新事業にもチャレンジしていくという「両利きの経営」を実現したいとの想いがあります。そのためには経営インフラであるIT基盤をアップデートし、柔軟かつ堅牢なIT基盤を構築しなければならないという使命感がありました。

「ビジネスに対して脅威がどのような影響を及ぼすか」を想定

上村：
先ほど、過去5年間で社内外の環境が大きく変化したとのご指摘がありました。外部環境の変化はAGCの取り組みにどのような影響を与えましたか。

伊藤：
この5年間で情報セキュリティの枠組みは拡大しています。たとえば、GDPR（EU一般データ保護規則）に代表されるように、欧州では個人情報の取り扱いの厳格化が進み、その他の各国でもデータ保護に関する法律が次々と制定されています。また、これまでITシステムが標的だったサイバー攻撃は、OT（運用制御技術）システムも標的とするようになりました。

そのような状況下で私たちは、「情報セキュリティのためのセキュリティ」ではなく「ビジネスを守るためのセキュリティ」という視点を持ち、プロアクティブに情報発信をしていくように心がけています。

例えば、工場の設備管理部門とIT部門とで緊密な協力体制をとり、サイバー攻撃を受けるとどのような被害が発生するのかを想定した上で、攻撃される可能性がある脆弱性の解消などに取り組んでいます。また、個人情報を取り扱う部門に対しては、IT部門の立場から「どのように個人情報を扱えばよいか」を説明し、適切な管理体制を構築するために一緒に取り組んでいます。

上村：
経営層に対してはどのような働きかけをされているのでしょうか。

伊藤：
経営層にサイバー脅威を理解してもらうには、IT視点だけではなくビジネス視点でリスクを説明することが大切です。「○○の脅威はビジネスにどのようなリスクを与えるか」という視点で丁寧に説明し、経営層やビジネス部門から理解を得るようにしました。

上村：
これまでAGCのセキュリティ対策は、必要なことを網羅的に実施するという「ベースラインのアプローチ」を採用していました。しかし現在はその方針を変更し、最新の脅威に対応する「リスクベースのアプローチ」を採用していますよね。方針を転換された理由を教えてください。

伊藤：
セキュリティのあり方が大きく変わる中で、「情報セキュリティレベルを上げる」「ビジネスリスクを最低限にする」というアプローチをくり返してきました。その際に実感したのは、新たなセキュリティ管理手法の必要性です。私自身、最初はテクニカルベースのセキュリティに主眼を置いていた部分がありました。しかし、さまざまなセキュリティ強化活動を進めるうえで大事なのは、「ビジネスに対して脅威がどのような影響を及ぼすか」を想定し、その深刻度に合わせて対策の優先順位を決めることだと考えるようになりました。

そうした優先順位は、IT部門だけでは決定できません。情報セキュリティ担当者や複数のビジネス部門と議論を重ねながら継続的に軌道修正し、アジャイル的なアプローチでセキュリティ対策のPDCAを回していくことが重要です。実際、このアプローチはある程度軌道に乗せることができたと自負しています。

上村：
AGCでは必要に応じて常にPDCAを回し、対策に取り組んでいますよね。このアプローチはアジリティの高い理想的なセキュリティ管理の姿です。こうした「To be像」は、最初から目指していたのでしょうか。

伊藤：
最初から明確な理想像を描いていたわけではなく、結果的に実現できたものです。新たな脅威が登場する現状では、1年に1回のPDCAサイクルでは対策が後手に回ってしまいます。サイバー脅威の現状を踏まえると、「想定外を想定する」必要があります。防御を破られて侵入された場合を想定し、「万が一の被害を最小限にする施策」も講じる必要があります。被害の可能性をゼロと考えることはできません。大事なのは、有事が発生した時に「どれだけ早く回復できるか」というレジリエンス（復元力）であり、その能力を社内で確実に持てるようにすることです。