偏差値30からの電通セキュリティ革命

非エンジニアだからこそ見えたセキュリティ課題とは

小林：
最初に根津さんの経歴を教えてください。

根津：
私は2002年に電通へ入社し、広告営業や計画部門、電通デジタルなどを経て、2020年から国内ITの責任者を務めています。現在はdentsu JapanのCIO兼CISOとして、セキュリティを含むIT領域全般を管轄しています。

CIO兼CISOではありますが、私はエンジニア出身ではなく、コードも書けません。セキュリティの専門性という点では、部下のほうが圧倒的に勝っています。ただ「ハイレベルのマネジメントは専門知識だけでは務まらない」というのが私の実感です。今回は、ノンエンジニアにも分かりやすく、どのようにセキュリティレベルを高めてきたのかという電通の経験を紹介できればと思います。

小林：
さっそくですが、実際の取り組みについて伺います。根津さんが国内ITの責任者に就いた当時、電通のセキュリティはどのような状態だったのでしょうか。

根津：
電通は広告・マーケティングを中心に、イベント、コンテンツ、デジタルマーケティングなどの分野へ事業を展開しています。また、電通グループはSIerである電通総研も擁しています。そうした事業基盤がある一方で、正直に申し上げると、当初のセキュリティレベルはかなり低い状態でした。

まず、資産の把握ができていませんでした。当時、システムは約400、論理サーバーは約1,000台ありましたが、情報システム部が把握しきれていないものも多くありました。また、登録はされていても、何のためのシステムで、どんな環境で動いているのか分からないものもありました。

特権管理も同様です。J-SOXの対象となる会計システムなどは台帳管理されていましたが、それ以外のシステムでは、「誰が」「どの権限を持ち」「どのアカウントを使っているのか」を十分に把握できていませんでした。さらにEOLのサーバーも多く残っていました。当時はEDRも導入されていなかったため、仮にマルウェア感染や不正アクセスが起きても、気づけなかった可能性が高かったと思います。

実際、2021年にペネトレーションテストを実施したところ、30分ほどで社内ネットワークの認証基盤における管理者権限を取得されてしまいました。当時のセキュリティは境界防御に依存していたため、一度内部に侵入されれば、ランサムウェアが広範囲に感染してもおかしくない状態でした。

小林：
多くの企業では資産管理やバージョン管理が重要だと理解していながら、その対策は一部の領域にとどまっています。電通では、なぜそうした状態が続いていたのでしょうか。

根津：
一言で言えば、必要な投資をしてこなかったからです。

約400のシステムの構築・運用には、これまで数百億円規模の費用を投じてきました。しかし、これらのOSやミドルウェアをメジャーバージョンアップするには、さらなる動作検証やプログラム改修が必要です。場合によっては、一つのバージョンを上げるだけで数億円かかります。一方で、ユーザーから見ると、バージョンアップしても画面や機能が大きく変わるわけではありません。そのため「なぜそこに数億円をかけるのか」という議論になりやすいのです。

予算申請でも同様です。IT部門の予算増を申請すると「なぜこんなに増えるのか」と問われます。「EOLなのでバージョンアップが必要です」と答えると、「やらなければどんなデメリットがあるのか」「やらなければシステムは停止するのか」と聞かれます。停止するわけではないと分かると、「では見送ろう」となり、コストを抑えたことがむしろ評価されるのです。

こうした判断は、その瞬間だけ見れば合理的に見えるかもしれません。しかし長い目で見れば、企業として本当にそれでよいのかという問題があります。これは電通だけでなく、多くの企業で起きていることではないかと思います。

「塩漬け」システムからの脱却、クラウド移行とEDR全台導入

小林：
ミッションクリティカルなシステムほどスクラッチ開発で作られており、止められないためにバージョンアップできない、という話はよく伺います。先送りするほどコストが膨らむ、いわゆる「塩漬け」の状態ですね。電通では、そこからどのように改善を進めたのでしょうか。

根津：
最初に取り組んだのは、主要サーバーのクラウド移行です。移行を進める過程で電通のシステムを情報システム部門が把握し、システム基盤を会社管理の標準環境へ統一すべく、標準ルールに沿って運用できる状態に変えていきました。当然、古いオンプレミス環境で動いていたシステムの中には、そのままクラウドへ移行できないものもありましたが、規模の大きい会計システムは全面的に刷新しました。

監視体制も見直しました。現在はすべてのPCとサーバーにEDRを導入しています。OSの種類やバージョンがばらばらで、EOLの環境ではEDRを入れられないケースもあります。しかも、そうした古い環境ほど重要なシステムであることも少なくありません。そのため、他社の方に「電通では全台にEDRを導入している」とお話しすると、驚かれることもあります。

ただし、EDRは導入して終わりではありません。EDRはあくまで監視の仕組みです。アラートが上がったときには確実に検知し、対応できる体制が必要になります。サイバー攻撃は夜間や週末にも発生します。そのため電通では監視業務の一部を外部に委託し、24時間365日体制でアラートを検知できるようにしています。社員が常時対応しているわけではありませんが、少なくとも監視を途切れさせない体制にしています。

さらにパッチ適用も継続的に行っています。Windows PCは毎月、macOSはパッチが配信されたタイミングで適用しています。サーバーについてもWindows、Linuxそれぞれにメンテナンスウィンドウを設け、定期的にパッチを適用しています。

あわせて脆弱性監視の仕組みも導入しました。以前は「クリティカル」または「高リスク」に分類される脆弱性が一台サーバー当たり平均60件ほど検出されていましたが、今はPCとサーバーを合わせても2、3件程度で、ほぼ解消できています。脆弱性がどこにあるのかを確認し、不要なサービスは停止・削除する。パッチ適用で動かなくなるものがあれば改修する。そうした作業を積み重ね、現在の状態にするまでに2、3年ほどかかりました。

小林：

新製品を入れることだけがセキュリティ強化ではなく、こうした基本的な取り組みを徹底することが重要ですね。

根津：
はい。以前、セキュリティのコンサルタントに電通の現在地を相対的に評価してもらったところ、「偏差値でいえば70程度」と言われました。着任当時を仮に30とするなら、そこからかなり改善できたと自負しています。直近のペネトレーションテストでも、以前のように簡単に侵入される状態ではなくなっています。もちろん完璧ではありませんが、一定の安心感を持てるレベルには近づいていると思います。

転機はグローバル化、「守れる最低限」から「あるべき姿」へ

小林：
こうした取り組みを進めるには、技術面だけでなく、組織の意思決定やこれまでの進め方を変える必要もあったと思います。何が転機となったのでしょうか。

根津：
実質的な転機は、グローバル基準のリーダーシップが入ったことだと考えています。

背景には、2020年に電通が純粋持株会社化したことがあります。その際、コーポレート機能のリーダーシップをどのように設計するかを議論し、グローバル事業との連携を前提に日本人と外国籍メンバーが対になるダブルリーダー制を導入しました。

海外企業では、CIOやCTOは経営機能として明確に位置付けられています。一方、当時の電通では、ITは総務系の延長として扱われる面もあり、専門性やグローバル対応の面で課題がありました。そこで私が国内ITの責任者として任命され、海外側のリーダーシップとも連携しながら、セキュリティ改革を推進することになったのです。

小林：
グローバルの考え方を取り入れる中で、どのようなことを重視されましたか。

根津：
欧米型の高い基準を取り入れつつ、現場で実行できるよう、理想と現実のギャップを管理することです。その背景にはポリシーやルールに対する日本と海外の考え方の違いがあります。

日本では、社内規則は「必ず守るもの」と捉えられます。そのため最初から現実的に守れる範囲でルールを定めがちです。結果として、形式的には遵守できても、セキュリティレベルは上がりにくくなります。

一方、海外のポリシーは、目指すべき理想状態を定義するものに近い考え方です。現状とのギャップがあることを前提に、その差分を管理し、PDCAを回しながら埋めていきます。もちろん、理想を掲げるだけでは不十分で、規則やプレゼンが立派でも、現場で実行されなければ意味がありません。だからこそ、高い基準と現場での実行可能性の両立を意識し、そのギャップを管理することに力を注ぎました。

小林：
「守れる最低限」に合わせるのではなく、「あるべき姿」を先に定め、現実との差分を埋めていく。その考え方が、改革の出発点なのですね。とはいえ高い基準を掲げると、現場から反発もあったのではないでしょうか。

根津：
はい、ありました。最初は「そんなことはできない」という反応が多かったです。「海外はSaaS中心だが、日本はスクラッチ開発が多い」「海外には人員がいるが、日本にはいない」――そうした違いを指摘する声もありました。

その指摘自体は間違っていません。ただ、「状況が違うからできない」で終わらせては何も変わりません。リーダーの役割は現状を踏まえたうえで「何を優先し」「どこまでをリスクとして受け入れ」「何を後回しにするのか」を判断することです。その方針を役員会や全社説明会で示し、組織として前に進める必要があります。もちろん、その判断を実行に移すには投資も必要ですが、まずは経営として優先順位を明確にすることが最優先でした。