顧客視点のサイバーセキュリティスタンダードを発信～デロイト、インテリジェンスセンター（CIC）設立

デロイトトーマツリスクサービス株式会社（以下、デロイト）は5月24日、サイバーインテリジェンスセンター（CIC）を横浜市に開設した。その日本 CIC 開設に向け、早期から海外の主要デロイト CIC を訪問し、単なる情報交換を超えた信頼関係の構築に尽力した同社シニアマネジャー佐藤功陛氏と、それをサポートしたデロイトカナダのサイバーリスクサービスシニアマネジャー Adam Crawford 氏に話を聞いた。

――　まず、日本ではそもそも「サイバーインテリジェンス」（以下、「インテリジェンス」という）という言葉がしっかりと理解されていない印象があります。デロイトの CIC が提供するインテリジェンスの特徴やユーザー企業のメリットについて、特にインテリジェンスに強いカナダ CIC の Adam 氏にお聞きしたいと思います。

Adam氏：
　CIC で提供するインテリジェンスは、現在のセキュリティサービスを補完する形で提供されるもので、国や政府、ベンダ、サブスクリプションベースなどのさまざまなソースから脅威に関わる情報を集めています。デロイトが提供するインテリジェンスの特徴は、ひとつの業界や一社のクライアントに特化したインテリジェンスを、リスク軽減方法や対処法のアドバイスとともに提供できることです。

　また、攻撃者が武器として使用する無形のファクターを分解し、具体的なコンテンツやシグネチャといった有形のものに変えて提供します。これによって、CxO クラスの方や、オペレーションチームの方が、よりリスクの高いところにリソースをつぎ込んで対策し、脅威が組織に侵入しないように防ぎ、もしくは、万一侵入してしまってもダメージを最小限に抑えることができます。

――　カナダの CIC の規模、クライアント数を教えて下さい。

Adam氏：
　クライアント数は 14 組織です。少ない印象を受けるかも知れませんが、いずれも大規模なグローバル企業またはナショナル企業です。コンシューマ製品製造業、小売、製薬、銀行、石油、ガス、政府など、業界も多岐にわたっていて、1 社あたりの IP 数が非常に多いことが特徴です。多いところではクライアントPCを含めずに 1 万以上の IP があり、極めて広範囲のセキュリティモニタリングを 24 時間 365 日体制で実施しています。1 週間あたりのセキュリティイベントが 60 億件、それを 49 のソースから収集・監視しています。

――　今回、日本の横浜に開設した CIC（サイバーインテリジェンスセンター）という施設は、日本のセキュリティ企業が運営している SOC（セキュリティオペレーションセンター）や、セキュリティ企業の研究所やラボ、外資系セキュリティ企業が運営するグローバル SOC と何が違うのですか。

Adam氏：
　デロイトは世界に 150 の国・地域に拠点があり、約 20 の戦略地域に CIC を設置しています。これらのグローバルなリソース展開が他社と大きく違う点です。また、CIC で働く人材についても、資格を持つ優秀な人材をリクルートすることはもちろん、留保するためのメンテナンスにも工数を割いています。

　もうひとつ、重要なポイントとして、コモディティ化したような一般的なサービスは提供しないことです。常に顧客に合わせてカスタマイズしたサービスを提供します。そこが顧客に大きな価値を感じていただいているところであり、非常に重要な差別化要因になっていると思います。

佐藤氏：
　デロイトが他の外資系ベンダと大きく違うところは、デロイトのネットワーク力です。デロイトの日本とカナダ、あるいはスペインなどとは、並列の関係にあり、知見を共有する等強く連携しています。たとえば、海外に進出している日本のお客様から、世界中で監視をしたいという要望があったとき、通常それを実現するためにはいろいろな調整が必要で、国ごとに縦割りになっている外資系のベンダでは、低くないハードルがあるといえるでしょう。

　しかし、デロイトはグローバルネットワークの一員として同じブランドの中で各国がサービスを提供していますので、ハードルがそもそもありません。カナダと一緒に仕事をすることも、スペインのチームと仕事をするのもスムースです。そこが一番大きな差別化になると考えています。グローバルでのサイバー領域の連携は、他社に大きく先んじていると自負しており、デロイトは各国で互いに訪問し合って、Face to Face のコミュニケーションで信頼関係を作るというカルチャーがあります。

――　デロイトがグローバルでCICを展開している中、いま日本に CIC を設立する意義はなんでしょう。

佐藤氏：
　2020年の東京オリンピックに向けて、今日本は国を挙げてセキュリティの取り組みを行っています。それを支えているセキュリティエンジニアですが、私は、日本のセキュリティエンジニアのレベルは欧米諸国に比べて決して低くないと考えています。世界各国のデロイトを実際に訪問してみてそれを実感しました。ただ、セキュリティの重要性について、アウェアネスのレベルがまだまだ低く、セキュリティエンジニアが頑張れば2020年を乗り切れるかというと、そうではないと思います。
　一方、デロイトトーマツグループは、会計監査やコンサルティングサービスを提供する多くの大規模な企業をクライアントに有していますので、CxO クラスへのアプローチが直接できるというメリットを持っています。今回 CIC を作ったことで、そういう方たちへの働きかけがより容易になります。企業が現在行っているサイバーセキュリティに対する設備投資が本当に十分なのか、そこは欧米とのギャップが大きい印象があります。

　日本はこれまで、ネットワークの境界の監視だけをやってきて、内部のデバイスの監視までしていません。そこで警鐘を鳴らして、CxO クラスの方へのアプローチも含めて働きかけることで、実装レベルでの底上げをしていきたいと考えています。

Adam氏：
　CIC が必要となる重要な要因は、サイバー脅威が非常に高度化していることが挙げられます。どんなにセキュリティオペレーションを導入していても侵入されてしまいます。過去 3 年を見ても、大企業でも大きなセキュリティ侵害があり、被害が発生しています。CxO がきっちり精査して本当に必要なセキュリティ投資をしているのか、じっくり検証する時期を迎えていると思います。CIC は、こういった時期になくてはならないものだと考えています。

――　日本の CIC は、どんなサービスを提供していきたいと考えていますか？

佐藤氏：
　2016 年にセンターを作りました。時期という意味では後発であり、すでに同様のサービスを提供し、ブランドを確立している会社が多数あります。その中で、あえてデロイトブランドで日本のマーケットに参入しました。

　最初に企画を考えたときから一貫していることは、他社と同じサービスでは意味がないということです。いろいろな人と会って話をしていく中で、デロイトならではのできることは見えてきていて、それが成功につながると思っています。

　具体的には、デロイトはグローバルで約20 数カ所に CIC を持っていて、それ以外にもサイバーのコンサルティングサービスを提供している国はもっとたくさんあります。

　わたしは横浜 CIC 設立のため、世界のデロイトの CIC を訪問し、中心人物と膝をつき合わせて交流しましたが、非常に優秀な人材がたくさんいて、多様な研究や分析をやっています。

　その中には、機器やサービスの評価もあります。まだ日本に紹介されていない製品・サービスでも、海外のデロイトではすでに使われていて、実績や成果を出しているものもたくさん目にしました。そうした製品やサービスを、日本のお客様に適用可能かどうかを判断した上で提供していきたいとも考えています。

　「次世代○○」「標的型攻撃対策」など、日本ではセキュリティベンダが市場にいろいろなムーブメントを作ります。しかし、彼らはモノを売ることが目的ですから、一過性のムーブメントも多い。しかしデロイトは特定のベンダをかつがない公平な立場ですので、顧客の視点に立ったムーブメントを起こせるのではないかと思います。デロイトの横浜 CIC が提供するサービスで、セキュリティサービスの新しいスタンダードを作りたいと考えています。

――　成功するための最も重要な要件はなんですか？

佐藤氏：
　従来のセキュリティサービスと私たちの提供するサービスは、内容も価格も違います。単純に価格だけで比較せず、強みを理解していただくことが最初のハードルだと思います。

　ここ半年ほどの傾向ですが、ネットワークの境界だけでなく、組織内部に設置された機器の相関分析が注目を集めており、監督省庁が推進するケースも出始めています。一部のお客様は、そこまでやらないと結果的に自社のセキュリティレベルの向上が見込めないことや、インシデントレスポンスの工数が格段に増えるということを理解されているようです。

――　人材育成も重要な成功要件ですね。

佐藤氏：
　横浜 CIC 単体で人材育成を行うのは難しいので、横浜に存在する大学や教育機関などと連携する計画があります。

――　最後に、読者へのメッセージをお願いします。

佐藤氏：
　日本にも、ようやくお客様にお見せできるファシリティが完成しました。見学もできますので、ぜひ興味のある方はおいでいただきたいと思います。そして、CIC の見学をきっかけとして、わたしたちの考えているセキュリティのあるべき姿、逆にお客様が抱えている課題なども合わせてディスカッションさせていただくことで、お客様にとっても「一歩進めたな」と思っていただけるでしょう。

――　ありがとうございました。