NTTグループ 横浜CISOに聞く「一歩先行くセキュリティとは」

情報の品質をあげるために、「現場で次の行動につなげられる情報」にこだわる

外村：
初めにNTTグループ全体のセキュリティ推進体制について教えてください。

横浜：
持株会社である日本電信電話株式会社（以下、NTT）のCISOを責任者とするセキュリティ・アンド・トラスト室がNTTグループ全体のセキュリティ推進へのイニシアチブをとっています。そして傘下の各事業会社のセキュリティチームと緊密に連携しながら情報セキュリティマネジメント体制を整備しています。

外村：
具体的にはどのような体制で連携しているのでしょうか。

横浜：
セキュリティ・アンド・トラスト室が全体のセキュリティ施策や方針を策定し、各事業会社のセキュリティ活動を支援しています。セキュリティ・アンド・トラスト室の人材は、各事業会社で活躍しているセキュリティ担当者が出向する形でチームを編成しています。

セキュリティ・アンド・トラスト室の担当者が地に足のついた活動をするには、現場の状況を理解し、現場目線で情報を提供したり指示を出したりしなければなりません。そのためには、平時から事業会社の担当者と密にコミュニケーションをとり、信頼関係を構築していることが重要です。その点、セキュリティ・アンド・トラスト室と各事業者のセキュリティ担当者は人事交流で行き来してお互いがさまざまなコミュニケーションチャネルを持っていますから、フランクに意見交換や情報共有ができる環境があります。

外村：
脅威情報の収集とトリアージ（対応の優先順位付け）はセキュリティ・アンド・トラスト室が実施しているのでしょうか。

横浜：
はい。私たちが実施し、プライオリティをつけて指示を出しています。

脅威情報の量は膨大で、毎日のようにソフトウェアの脆弱性が報告されています。例えば、あるソフトウェアの脆弱性が発覚した場合、現場では「自社でそのソフトウェアを導入しているのか」を調査しなければなりません。そして、導入していることを発見したら該当するシステムを停止させて修正プログラム（パッチ）を適用し、再起動させる必要があります。停止させられないシステムであれば、次のメンテナンス時期に合わせて調整しなければなりません。しかし、多数ある脆弱性情報の全てに対してこのように対応することは不可能です。ですから、適切なトリアージが必要なのです。

セキュリティ・アンド・トラスト室が現場の状況を把握せずに上意下達で指示を出すと、現場は離れていってしまいます。私たちが留意すべきは、「現場の悩みをいかに解決できるのか」を旨として信頼を得ながら動いていくこと。指示を出す側と現場の担当者との相互理解が大事なのです。

外村：
事業会社によって異なるトリアージの結果を伝えることもありますか。

横浜：
基本的に出す指示は同じです。それを各事業会社が咀嚼して、それぞれの判断でどのレベルまで対応するのかを決定しています。セキュリティ・アンド・トラスト室の役目は現場をエンパワーすること。そうしたスタンスで関係を構築しています。

外村：
セキュリティ・アンド・トラスト室では情報の“品質”をどのように見極めていますか。

横浜：
その情報をもらった側が「次の行動につなげられるか」を判断基準としています。受け取っても何の役にも立たない情報は多数あります。例えば、「ダークウェブでNTTというキーワードでつぶやいている人がいた」「どこかで何かの攻撃が起きたらしい」という情報だけでは何もできませんよね。

誤解を恐れずにいえば、情報の絞り込みは、現場のセキュリティ運用を経験した人材であれば、誰でもできると思います。「自分がこの情報を受け取った時どのようなアクションを起こすのか」を考えれば、情報の絞り込みは難しいことではありません。私のように現場を知らない経営層が指示を出すとディスターバンス（余計な行為）になる恐れがあり、現場は疲弊します。

ポストコロナ時代は「トラスト」が基本通貨に

外村：
最後に、今後の取り組みについて教えてください。CISOとしてどのような活動に注力されるのでしょうか。

横浜：
「トラスト」を普遍的なものにしたいと考えています。日本では「トラスト」という言葉が特別な意味として受け止められていたり、「よくわからないけど大事だよね」程度の曖昧な意味に捉えられていたりするように感じます。しかし、ポストコロナ時代は「トラスト」が世界の基本通貨になると考えています。

外村：
どういうことでしょうか。

横浜：
1980年代から台頭したグローバリゼーションの基本通貨は、「プロフィット」でした。企業価値を最大化し、経済合理性の追求を基本通貨としてグローバリゼーションを牽引してきたのですね。しかし、これからのグローバリゼーションの基本通貨は、必ずしも「プロフィット」だけではありません。「その企業は社会的責任を果たしているか」「その企業のビジネスは信頼に足るものなのか」といった「トラスト」が重要になると考えています。

NTTのミッションは、安全なデジタルインフラを世界に対して継続的に提供し、パートナーとともに社会課題の解決を目指すことです。そのためにはNTTが社会からトラストされることが重要であり、一方で社会に対して「セキュリティ・アンド・トラスト」で貢献できるポテンシャルを持っているとの自負もあります。

外村：
セキュリティとトラストはコインの表と裏のように表裏一体であり、ひいては会社の存在意義を下支えする存在になるだろうという考えですね。本日は貴重なお話をありがとうございました。