DNPのセキュリティ対策リーダーが経験した「エポックメイキング」な出来事：製造ITニュース

大日本印刷は2021年11月30日、同社のCSIRTの取り組みについて、リーダーを務める同社 情報セキュリティ本部 本部長 DNPシーサート シーサート長の辺見匡氏が紹介する説明会を開催した。CSIRTの基本的な活動や、活動の中で意識している点について解説を行った。

[池谷翼，MONOist]

　大日本印刷は2021年11月30日、同社のCSIRT（シーサート）の取り組みについて、リーダーを務める同社 情報セキュリティ本部 本部長 DNPシーサート シーサート長の辺見匡氏が紹介する説明会を開催した。CSIRTの基本的な活動や、活動の中で意識している点について解説を行った。

グローバルなセキュリティ対策が可能な体制

　DNPはカタログやポスターなどの製造に先立って、顧客企業から一般公開前の新商品情報や事業情報などの情報資産を受領する。こうしたセキュアな管理が求められる情報を扱うために、同社のモノづくりの現場では「5段階のセキュリティレベルに応じたゾーニングを行い、ハイセキュリティゾーンでは2人以上でないと作業が行えないよう権限分離を図っている」（辺見氏）など、厳重なセキュリティ対策を実施しているという。

モノづくりのセキュリティ体制［クリックして拡大］ 出所：DNP

　これに加えて、サイバー空間を経由したセキュリティ脅威への対策も、5〜6年前に設置したCSIRTが情報セキュリティ本部などと連携しながら進めている。CSIRTは「Computer Security Incident Response Team」の略で、サイバーセキュリティのインシデントに対処する、企業など組織内のチームを指す。DNPでは国内外グループ全体のサイバー脅威に対応するため、CSIRTを同社本社に設置してグローバルに対応可能な体制をとっている。

DNPのセキュリティに関する組織体制［クリックして拡大］ 出所：DNP

サプライチェーン全体のセキュリティ強化への意識強く

　辺見氏はDNPでのCSIRTの主な活動として、「インターネットのスキャニング」「ダークウェブのモニタリング」「セキュリティ教育の実施」「インターネットのアクセスとエンドポイントのAI（人工知能）分析」「サイバーリスク保険の加入／適用」などを取り上げた。

　例えば、インターネットのスキャニングとしては、脅威インテリジェンスサービスを用いてDNPグループ全体のネットワークを調査し、脆弱性の発見に努めている。攻撃者に先立ってセキュリティ上の課題を把握することが目的だ。これによってセキュリティ上のリスクとなりやすいシャドーITの発見にもつながるという。

CSIRTで取り組むセキュリティ対策［クリックして拡大］ 出所：DNP

　これに関連して辺見氏は、サプライチェーン全体でのセキュリティ強化を目指す顧客企業からセキュリティの脆弱性を指摘される事例も出てきていると話した。

　「当社の顧客である外資系企業から、分析ツールで独自に測定した『セキュリティスコア』を提示されたことがある。併せて、当社のシステムが抱えるセキュリティ課題を指摘され、期日までに改善するよう求められた。サプライチェーンのセキュリティ強化に向けた取り組みが進んでいるが、そうした情勢を象徴する“エポックメイキング”な出来事と感じた。もちろん、企業リスクをオープンに指摘してもらえたこと自体はありがたい」（辺見氏）

　インターネットへのアクセスとエンドポイントの挙動をAIで監視し、不審な動きを検知する仕組みにより、ネットワークをゼロトラスト化する取り組みも進める。また、セキュリティ教育としては、標的型メール攻撃に対処するセキュリティ訓練を年に1回開催するとともに、外部企業のセキュリティ研修を通じて実際の攻撃を体感する機会づくりを行っている。

　辺見氏はCSIRTのリーダーとして何を意識しているかについても語った。その1つがセキュリティ対策全体の「レベル感」の維持である。「CSIRTのメンバーからはセキュリティ対策に関するさまざまな提案をもらう。しかし、対策の有効性だけでなく、『本当に運用できるのか』『維持できるのか』といった点をしっかり検討しなければならない。その上で対策の取捨選択を行う意識が必要だ」（辺見氏）。

⇒その他の「製造ITニュース」の記事はこちら