デジタルトラストの構築に向けたPwCのアクション：セキュリティ／プライバシーに配慮した安心・安全なプロダクト開発組織に向けて（Sansan）

セキュリティと利便性を両立させるために

平岩：
最初にSansanの事業内容を教えてください。

藤倉：
Sansanは「出会いからイノベーションを生み出す」をミッションとして掲げ、法人向けクラウド名刺管理サービス、個人向け名刺アプリ、クラウド請求書受領サービスの3つの事業を柱に展開しています。特に法人向けクラウド名刺管理サービスについては、これまで紙でのやり取りが当たり前だった名刺をデジタル化することで出会いのデータを会社・人物単位で集約し、全社員の人脈を社内で共有することができるようになる利便性から、おかげさまで多くの企業で導入していただいています。

平岩：
法人向けクラウド名刺管理サービスは現在7,000を超える企業が導入していると伺いました。大量の個人データを取り扱うビジネスモデルゆえ、セキュリティについては特に重要視されているのではないでしょうか。

藤倉：
はい。Sansanは企業理念におけるプレミス（前提条件）として「セキュリティと利便性を両立させる」を掲げています。一般的に「セキュリティと利便性はトレードオフの関係にある」と言われますが、Sansanは「ビジネスを成長させ、かつセキュリティも強固にしていくにはどうすればよいか」を常に考えるようにしています。私たちは、お客様から個人情報をお預かりしている立場ですから、セキュリティはもちろん最重要事項です。その上で利便性を両立させ、お客様のビジネスを加速させることこそ、自分たちの使命だと考えています。

弊社は事業部制を採用しています。先に紹介した3つの事業ごとに、情報セキュリティを統括する組織体制を構築しています。会社全体のセキュリティを統括する最高情報セキュリティ責任者（CISO）がおり、各事業部の役員の中に、個人情報保護管理者を置いています。さらに、事業部の中には情報システム管理実務を所轄する組織があり、その組織のトップが、情報システム管理者になっています。

平岩：
Sansanは社内にCSIRT（Computer Security Incident Response Team）も設置されているのですよね。

藤倉：
はい。CISO直下の組織として設置しています。CSIRTはセキュリティの専門家の集団であり、セキュリティ関連の情報収集や社員のセキュリティリテラシー向上を目的とした教育、社内からのセキュリティに関する問い合わせに対応する役割を担っています。また、各プロダクトの脆弱性診断やWAF（Web Application Firewall）の分析、社内の開発環境やネットワークに対するペネトレーションテストなども担当しています。

エンジニアに求められるセキュリティへの当事者意識

平岩：
ここまでお話を伺って、セキュリティと利便性の両立を実現する近道はなく、情報の共有と相互理解の促進による地道な積み重ねが安心・安全なプロダクト開発につながるのだと実感しました。

藤倉：
おっしゃるとおりです。組織体制についてですが、現在はさらに一歩進んで、各事業部にセキュリティタスクフォースを設立しました。CSIRTとは別の組織で、普段はプロダクト開発に携わるメンバーを中心に構成されています。タスクフォースのメンバーには、最新のセキュリティインシデント事例や攻撃手法が優先的に伝達されるようになっています。こうすることで、メンバーは「その攻撃は、自分が開発しているサービスにどのようなインパクトを与えるのか」を把握し、迅速に対応することが可能になります。「当事者意識を持ってセキュリティ対応ができる」という観点からも、この組織体制は機能していると思っています。

平岩：
「開発にセキュリティを組み込む」という理想的な組織ですね。

藤倉：
とはいえ、プロダクト開発チームのセキュリティ意識を、組織が大きくなっても維持・向上させ続けるのは大きな挑戦です。IT技術は、ビジネスのあらゆる部分を支えています。ですからプロダクト開発に携わるエンジニアには、ビジネス全体を俯瞰できる視点が求められます。「自分が開発に携わっているシステムは、ビジネスモデルをどのように支えているのか」「提供しているサービスは、ユーザーに対してどのような体験を与えているのか」といったことを把握し、よりよいプロダクト開発に生かすのはもちろん、自身が適切に情報やデータを取り扱うことの重要性を理解しなければなりません。

平岩：
おっしゃるとおり、エンジニアに対するこうした要求は、年々増しているように感じます。

藤倉：
Sansanは名刺という個人データをもとにサービスを提供している以上、データセキュリティに対して責任を持ち、プロダクト開発の初期段階からセキュリティを組み込む「セキュリティ・バイ・デザイン」の考えに則って、プロダクトを開発しなければなりません。

また、組織に必要なのはエンジニアの教育だけではありません。セキュリティトレンドを見極め、CSIRTの在り方も柔軟に変えていく必要があると考えます。現在のCSIRTとプロダクト開発部門の関係はベストに近いと自負していますが、この状態がいつまでも続くわけではありません。組織の規模や体制が変われば、それに応じた対策が求められます。現状に最適なセキュリティの在り方を、常に模索していく必要があるでしょう。

平岩：
今後、テクノロジーの進化はますます加速すると考えられます。ビジネスとテクノロジーが高度に融合していく時、エンジニアには技術的な側面のみならず、ビジネスに対する広い視野と意識が求められるでしょう。プロダクトの開発に携わる人間がそうした素養をさらに身に付けることで、利便性とセキュリティが備わった高度なサービスが、さらに生まれていくのではないでしょうか。本日はありがとうございました。