「ここは任せて、先にゆけ」｜DXセキュリティ事業のスローガンに込めた“挑戦”を支える意志

DXセキュリティ事業には、二つの本部があります。一つは、私が管掌するDXセキュリティコンサルティング事業本部で、セキュリティ診断やテクニカルコンサルティング、攻撃者と同じ手法でシステムへの侵入を試みるペネトレーションテスト、開発工程にセキュリティ対策等を組み込む「シフトレフト」の実現に向けた支援などを行っています。

もう一つのDXセキュリティプラットフォーム事業本部は足立が管掌しており、高度な専門性を学ぶためのセキュリティ教育、クラウドセキュリティ、SaaS型のセキュリティ評価サービスなどをお客様に提供すると共に、NRIセキュア全社のセールス・マーケティングも担当しています。

さまざまな要因によって企業はアナログなやり方だけでは生き残れなくなり、日本でも2017年頃からDXに取り組む企業が増えました。しかし、新しいテクノロジーを活用して企業の競争優位性を高めようとする際には、ビジネスの得意領域ではない部分で、何かしらの考慮が漏れることがあります。そこで当社は、企業のDXをサイバーセキュリティの側面からサポートしてきました。

さらに、2020年からは新型コロナウイルス感染拡大を受けて、リモートワークが普及し、インターネット経由で重要なデジタルデータをやり取りするケースが激増しました。便利になった一方で、攻撃者にとっては“攻撃できる領域（Attack Surface）”がものすごく拡大したわけです。その後、新型コロナのパンデミックは収束し、状況は随分落ち着きましたが、リモートワークでの業務をやめて以前のやり方に100パーセント戻す企業はありませんから、セキュリティニーズは依然として高いままです。

DXセキュリティという枠組みで、どのような価値観を土台として共有し、どこへ一丸となって向かうのか、時間をかけて議論した結果、DXセキュリティ事業のミッションとして「技術と経営をつなぎ、挑戦者の志を支える」という言葉を紡ぎました。これは私たちの信念であると言えます。

セキュリティ業界に従事する人の中には、「攻撃に関する技術に興味はあるけれど、セキュリティについて詳しくない人に分かりやすく説明するのは苦手」という人が少なくないと思います。でも、私たちのやるべきことはその両方です。経営者やマネジメント層にセキュリティや技術のことを分かりやすく伝え、思い切り挑戦してもらえる環境を実現するために必要な対策をしておく――。それが私たちの競争力の源泉で、実現すべき姿だということを改めて明確にしました。

このスローガンには、いろんな関係性が盛り込まれています。まずは、お客様と当社の関係において、「セキュリティを心配することなく、どんどん事業を先に進めてください」というメッセージです。企業のセキュリティ担当者は、「守って当たり前。守れなかったら責任を問われる」ポジションだから、孤独で辛い。欧米でCISO（最高情報セキュリティ責任者）の退職が続いていると言われますが、その理由の一つでもあるでしょう。

でも、「ここは任せて、先にゆけ」と言ってくれるパートナーが居たら、企業のセキュリティ担当者はきっと心強いし救われるじゃないですか。また、社員が「○○もやりたいけど、△△があるから今はできない」と感じている時、同僚や上司が「△△はやっておくから、君は○○に挑戦してよ」と、挑戦者の背中を押してあげるようなチームの関係性を表した言葉でもあります。

先日、大規模システムの公開を控えている企業から「他のセキュリティベンダーの診断を受けて問題はなかったが、念のためNRIセキュアでも見てほしい」とセカンドオピニオン的な脆弱性診断のご依頼をいただきました。それで当社でも診断をしたら、脆弱性や課題がたくさん検出されてしまったことがありました。

そういう時、普通のセキュリティベンダーなら「これだけ問題が見つかりました。もう対策済みで問題ありませんので、安心してください」というようなスマートな対応をするかもしれません。そうすれば、きっと次の診断の時もお声がけいただけて、売上に繋がるでしょう。でも、当社のメンバーは違いました。「こんなに見つかるなんて、そもそも日頃のセキュリティへの取り組み方はどうなっているのですか？」と、お客様の経営層に苦言を呈しに行ったらしいんです。そこでセキュリティ・バイ・デザインの重要性についてプレゼンしてきたという話を聞いて、めちゃくちゃいいなと思いました。

目先のビジネスの事だけを考えるなら、今後もセキュリティ診断し続ける提案をして、フィーをいただくのがいい。でも目先の売上だけにとらわれることなく、お客様が本当にやるべきことを伝えに行ったというわけです。

セキュリティ診断を依頼するクライアントは、セキュリティ面の不安なく、事業やサービスを運営して、ビジネスを成長させることが主目的であり、決してセキュリティ診断そのものを欲しているわけではありませんからね。そうやって本質的な対応を進めた結果、従来のような「問題を見つけるためのセキュリティ診断」はなくなる日が来るかもしれませんけど、それで良いんです。セキュリティ診断で問題を見つけることを前提とするのはなく、さまざまな取り組みの結果、安全であることを確認するために脆弱性診断を使っていただけるようになった方が良いはずですから。

「セキュリティ診断に依存した日本のセキュリティ文化に終止符を打つ」くらいの強い意志を持って、これからも攻撃技術を追い求め続けていくことが、セキュリティ診断において日本トップクラスのシェアをいただいている自分たちの使命だと考えています。

これからキャリア採用でNRIセキュアに入って来てくださる方は、皆さん、他社で培ってきた経験をお持ちですよね。みなさんがお持ちの経験や視点から、私自身も組織も学ばせてもらいたいと思っています。

若い頃、足立と私はコンサル事業部門で一緒に働いていたのですが、その後の約5年は全く異なる部門へ異動しました。足立は新規事業の立ち上げ部門へ、私は子会社であるユービーセキュアへ赴任したのですが、その時の経験や挑戦が、巡り巡って今DXセキュリティ事業での仕事にすごく活きている実感があります。

私が行ったユービーセキュアも、NRIセキュアとは人もカルチャーも全く異なる組織でした。それまでのやり方では通用しないこともたくさんあり、そこでの経験を通じて自分自身の仕事のやり方や生き方を見直すきっかけにもなった。そして、その経験によって「自部門やNRIセキュアという枠を越境し、競合や他社も広く見て学ばなければ」と感じるようになりました。

仕事をしていると、どうしても内向きになってしまうことがあります。でも、自分たちが常識だと信じて疑っていないことが、社会の非常識になっていないか？ということは、常に外を見て意識し続ける必要があります。お客様の課題解決をする時には、点でセキュリティ商材を提供するのではなく、複合的に点と点を線で繋いでいく必要があるので、自社や自部門だけではなく広い視点を持っていなければなりませんから。

他社での経験をお持ちの皆さんがNRIセキュアにご入社されたら、いろんなギャップを感じることがきっとあると思うので、ぜひ感じたことを教えていただきたい。日本のセキュリティ文化を見直して、日本を変革していくような挑戦を、ぜひ一緒にしていきましょう。