デジタルトラストの構築に向けたPwCのアクション：ニューノーマルにおけるビジネス変化とそれを支えるセキュリティ組織とは（リクルート）

COVID-19が加速させたビジネス変革とセキュリティ体制

村上：
COVID-19の感染拡大は、多くの企業の働き方とビジネスに大きな変化をもたらしました。リクルートにおいては、そのインパクトはどれほどのものだったのでしょうか。

鴨志田：
まず、自社の働き方については、リモートワークの割合が増加しました。コロナ禍以前からリモートワークの制度もVDI（Virtual Desktop Infrastructure）も構築済みだったため、セキュリティ統括室としては比較的スムーズに対応できたと思います。

村上：
リクルートのビジネスへの影響はどうだったのでしょう。

鴨志田：
消費者の生活様式が変化したことで、やはり事業への影響は少なくありませんでした。ただ、今回の変化はリクルートの事業にとって、大きな機会にもなり得ると思っています。

コロナ禍で、小売店や飲食店、美容院など多くのクライアントが、従来の対面でのサービス提供を制限されました。私たちはコロナ禍以前より、店舗向けの非接触決済サービスや、密を避けるためのオンライン順番受付管理アプリなどの開発を行っていたのですが、これらの取り組みが功を奏することになりました。今後もこうした取り組みを通じて、クライアントのビジネスに貢献し続けたいと考えています。

村上：
リクルート自体も、時代に応じてサービスの形態を変えていることがよく分かりました。クライアントに提供するそうしたシステムにおいては、個人情報を含む多くのデータを取り扱うことになります。リクルートではどのような体制でシステム開発を進め、セキュリティを担保しているのでしょうか。

鴨志田：
私が所属する株式会社リクルートを含むリクルートグループは複数の企業からなっており、それぞれがサービスを提供しています。サービスの数は合計で数百になりますが、セキュリティ部門で方針検討から実装まで一気通貫して担当するという体制は取っていません。親会社であるリクルートのセキュリティ部門だけで数百ものサービスのセキュリティ対策を行うことは、リソースの観点からも現実的ではないからです。

現在は各事業会社の関連部門とリクルートのセキュリティ部門が連携して、対策を強化する方針を採用しています。近年、セキュリティに関わる組織編成とセキュリティポリシーの改編を行いました。セキュリティに関わる組織編成から説明すると、事業部門との接点となる「セキュリティ推進組織」を設置しました。これは、組織ごとのセキュリティ部門と開発部門を兼務する組織です。システムの担当者と密に連携しながら業務に当たり、開発の初期段階からセキュリティを組み込むことを念頭に置いています。一方、セキュリティポリシーの改編では、雑誌ビジネスが中心だった時代から増改築を繰り返して肥大化してきたセキュリティポリシーを、系統立てて見直しました。

「1人CSIRT」から学んだセキュリティ部門の在り方

村上：
鴨志田さんは、セキュリティ対策の第一線で20年以上にわたりご活躍されています。そのキャリアの中でも私が特に印象深く感じたのが、株式会社リクルートテクノロジーズにおける「1人CSIRT」の立ち上げです。

鴨志田：
私にとっても非常に印象深い出来事でした。2014年にリクルートテクノロジーズに入社し、同時にCSIRTを立ち上げたのです。まさか、入社したばかりの社員がCSIRTをゼロから立ち上げることになるとは思っていませんでした……。ただ、当時は他にメンバーがおらず、1人でセキュリティインシデント対策に乗り出すことになったのです。

ゴーサインが出てから注力したのは、「短期間で実績を作ること」です。自分から進んで脆弱性やヒヤリハットを見つけては事業部門に説明し、その解決を支援しました。こうしたことの積み重ねで、現場からは「CSIRTがいるとこんなに楽になる」と認識されるようになりました。そうして、徐々にCSIRTメンバーも増やしていったのです。

村上：
セキュリティ部門がガバナンスを利かせようとすると、事業部門から「ビジネス推進の足かせ」として、反感を買うという話をよく耳にします。現場と連携するにあたり、特に心掛けられたことは何でしょう。

鴨志田：
「強制力をもって言うことを聞かせる」というアプローチは取らないことです。私自身、過去のキャリアで、セキュリティ部門と現場の関係が悪化していく姿を数多く見てきました。でも「セキュリティ対策をしっかりやりましょう」と言って反対する人はいないのです。現場も経営層も、基本的には賛成なのです。ただし、具体的な仕様の話になると予算や人的リソース、利便性などの問題があり、折り合いがつかなくなってしまうのです。

こうした総論と各論のギャップで苦しむのはセキュリティ部門です。強権的なセキュリティ部門ほど、このギャップは大きくなります。だからこそ、現場に寄り添って支えるCSIRTであることが重要なのであり、チームメンバーにもそうしたマインドであることを求めてきました。