セキュリティ企画チーム マネージャー 奥野 緑氏
グリーグループでは、ゲーム事業をはじめとする様々なインターネットサービスを展開する中で、常に情報セキュリティ対策を重要視してきました。しかし、Secure SketCH導入以前は、グループ全体としての対策レベルや他社と比較した際の客観的なポジションを把握する手段がなく、感覚値に頼らざるを得ない状況でした。
これについて、グリーホールディングス株式会社 ビジネス・テクノロジー本部 セキュリティ部 セキュリティインフラグループ セキュリティ企画チーム マネージャーの奥野緑氏は次のように語ります。
奥野氏 組織やサービス単位で実施しているアセスメントにより情報セキュリティ対策の実施状況は確認できていました。ただ、グループ全体としての対策レベルの把握や他社との比較など、客観的な評価を行うのは難しい状況でした。
また当時は、世間一般でランサムウェア被害の増加やクラウド利用の拡大が進み、リスクの高まりが広く認識されていたこともあり、経営層からセキュリティ対策状況について説明を求められる場面も増えていました。
こうした背景もあり、経営層に対して客観的な根拠をもとに説明できる仕組みの必要性を強く感じ、信頼できる評価指標の導入が急務であると考えていました。
Secure SketCH導入前、セキュリティ部では自力でセキュリティ対策の状況を俯瞰する仕組みづくりを試みました。奥野氏は当時をこう振り返ります。
奥野氏 まずどのガイドラインを使うかを決めるために、英語の情報源も含め情報収集を始めたのですが、翻訳や内容の理解に時間がかかり非常に苦労しました。
特に、米国立標準技術研究所（NIST）のCSFをベースにチェック項目を作成しようと試みたものの、翻訳はできてもそれを具体的な設問に落とし込むのが難しく、どの項目を参照すべきか、解釈が適切か、網羅性は確保できているのかという点に不安がありました。
さらに、ガイドライン自体が随時アップデートされるため、自作のチェック項目を常に最新の状態に保つことの難しさも感じていました。
そのような状況の中で、適切かつ効率的にセキュリティ対策状況を確認できるソリューションを探していたところ、Secure SketCHにたどり着いたといいます。
Secure SketCHを選定した理由について、ビジネス・テクノロジー本部 セキュリティ部 部長の大本篤史氏にお聞きしました。
ビジネス・テクノロジー本部 セキュリティ部 部長 大本篤史氏
大本氏 セキュリティ専門家の知見をもとに、ISO27001やCSF、CISなど複数の主要な情報セキュリティガイドラインの要求事項が、わかりやすい質問項目として整理されている点が導入の決め手でした。
自力でガイドラインの翻訳や解釈を行うよりも作業工数を大幅に削減でき、自社では見えていないリスクにも気付けるというメリットを経営層に説明したところ、理解を得ることができました。
社内では「ISMSだけで十分ではないか」という意見もありましたが、奥野氏は包括的なアプローチの必要性を説明しました。
奥野氏 ISMSだけでは技術的対策やサイバー攻撃への実践的な対策が十分にカバーしきれないことを、具体的な例を挙げながら説明しました。最終的には、複数のガイドラインを基に「いいとこ取り」で作られた、Secure SketCHの包括的なアプローチが評価されました。
また、セキュリティ専門企業であるNRIセキュアが提供し信頼性が高い評価項目を利用することで、「解釈に誤りがあるのではないか」という懸念も払拭できる点を、安心材料として伝えました。さらにNRIセキュアのご担当者には質問や要望に非常に丁寧にご対応いただき、サービス内容を十分に理解した上で、スムーズに導入することができました。
Secure SketCHの導入は、同社のセキュリティ意識向上に大きく寄与しました。特に定量的なスコアで評価できる点が、他部門の協力を得る上で効果的だったといいます。この変化について大本氏に伺いました。
大本氏 Secure SketCHでスコア化することで、インフラストラクチャ部門や情報システム部門の協力を得やすくなりました。
例えばデータベースの暗号化強化の話をした際、『それで点数が上がり、対策効果を定量的に示せるのであれば是非やろう』という前向きな反応につながり、課題への取り組みが促進されました。セキュリティ対策の実施状況を数値で示せるため、数字で判断する傾向のあるエンジニアからも協力を得やすくなりました。
奥野氏も同様に社内の意識変化を実感しているようです。
奥野氏 設問への回答や改善活動への協力が以前に比べて得やすくなりました。『情報セキュリティ対策はグループ全体で取り組むべき重要課題だ』という認識が浸透しつつあります。
対策の必要性を伝える際も、セキュリティ部門独自の判断ではなく、業界標準のセキュリティ基準に基づく要請であることを伝えることで、より納得してもらえるようになったと感じています。
6年間の継続利用により、同社では単発的な評価にとどまらない長期的なメリットを実感しているといいます。
奥野氏 ガイドラインの改訂や、新たな脅威の出現、クラウドサービスやリモートワークの普及など、環境の変化に合わせてSecure SketCHの設問やベストプラクティスが定期的にアップデートされるのは非常に助かっています。常に最新の基準で対策状況を確認できますし、自分たちでガイドラインの改定内容を調べて整理しようとすると膨大な工数がかかります。その負担を大幅に軽減できている点は大きなメリットです。
社内ルールの見直しにおいても、Secure SketCHの活用が効果を発揮しています。
奥野氏 社内ルールの改定時には、Secure SketCHの設問やベストプラクティスを参考にすることで、どの項目を見直すべきかを効率的に特定できます。特にNIST CSFやISMSの改訂時には、迅速で漏れのない対応ができました。また、ベストプラクティスを確認することで、これまで許容していた点についても解釈の見直しを行っています。
なお、当初はスプレッドシートで管理していましたが、現在は関連部署の担当者にSecure SketCHに直接ログインして回答するように依頼しています。設問の表現も改善され回答しやすくなったほか、証跡資料の登録もスムーズになりました。常に利用者目線で使いやすさが向上していると思います。
「情報セキュリティ報告書2025」では、前年の785点から843点へとスコアが大幅に向上し、総合評価がAからSにアップしました。改善に寄与した具体的な取り組みについて奥野氏に伺いました。
[出典] グリーホールディングス 情報セキュリティ報告書2025https://hd.gree.net/jp/ja/sustainability/internet-society/information-security/
※ 2025年度の最新版も発行されました！ 詳しくは▲をご覧ください。
奥野氏 具体的には、ベストプラクティスで暗号化を推奨されている保存データを特定し、暗号化の強化を進めました。さらに、サプライチェーンセキュリティの強化の一環として、業務委託契約書に情報セキュリティ条項を新たに追加し、情報セキュリティ誓約書への署名取得を実施しました。
これらの改善施策は、現場の理解と協力があってこそ実現できたものです。続いて、大本氏に取り組みについて詳しく伺いました。
大本氏 保存データの暗号化は、以前から課題として認識していましたが、コストやパフォーマンスの面で課題がありました。クラウド移行のタイミングで全面的な暗号化を実現できたのは、Secure SketCHのスコアアップという明確な目標があったからこそです。
サプライチェーンのセキュリティ対策についても、対策の必要性を現場に説明する際に、客観的な基準に基づいている点が説得力となり、理解を得やすかったです。
グリーグループでは、Secure SketCHの評価結果を活用したリスクコミュニケーションの全体フローを整備し、前述の情報セキュリティ報告書に掲載しています。この取り組みについて、奥野氏に伺いました。
奥野氏 当初は評価・分析・課題対応というPDCAのサイクル部分だけを図に表現していましたが、NRIセキュアからいただいたアドバイスを基に、リスクコミュニケーションの要素を加えました。
単にプロセスを回すだけでなく、リスクについて説明し、議論を深めることの重要性を改めて認識しました。特に経営層・統括部門・現場部門の三者の関係性については、単なる上下のつながりではなく、横のつながりや相互のコミュニケーションフローも含めて整理しました。
これにより、読み手にとってより分かりやすく、納得感のある構成に仕上がったと思います。
[出典] グリーホールディングス 公式オウンドメディア
https://hd.gree.net/jp/ja/6degrees/2025/02/01.html
情報セキュリティ報告書を公開することの意義について、奥野氏に伺いました。
奥野氏 お客様やお取引先に対して、取り組み姿勢や対策状況を客観的に示すことは、非常に大きな意義があります。また報告書として公表することで、従業員の意識向上にもつながります。
社外への説明責任を果たすと同時に、社内のガバナンス強化やリスクコミュニケーションの活性化、モチベーションの向上にも寄与しています。報告書の発行は、有効な取り組みだと実感しています。
同社の情報セキュリティ報告書は、社外からも高い評価を受けています。
奥野氏 他社様が弊社の取り組みを参考にされていることは非常にありがたく、うれしいです。情報セキュリティ報告書の発行は業界内でも挑戦的な取り組みでしたが、Secure SketCHの評価結果や生成AIのガイドライン概要の掲載など、毎回試行錯誤を重ねながら、内容を工夫してきました。
お取引先から情報セキュリティ体制や対策状況を問われた際にも、報告書に掲載したSecure SketCHのスコアを提示し、参考にしていただいています。
大本氏 こうしてセキュリティへの取り組みを報告書という形で示せることは、お取引先からの信頼獲得に大きく貢献しています。
また、報告書には、リスクスコア算出基準も掲載しています。この基準は、「CIS RAM」に基づいていますが、策定する際にNRIセキュアのブログ記事が非常に役に立ちました。
「CIS RAM」は専門的で理解が難しいところもありますが、分かりやすく解説されており参考になりました。結果として、リスク対応について現実的な優先度を設定しやすくなりました。
[出典] グリーホールディングス 情報セキュリティ報告書2025
https://hd.gree.net/jp/ja/sustainability/internet-society/information-security/
2025年1月にグリーグループがホールディングス体制に移行したことに伴い、セキュリティ体制にも変化がありました。
奥野氏 ホールディングス体制への移行により、グループ各社がそれぞれの事業特性に基づき判断する場面が増えたことで、セキュリティ対策の基準適用や状況把握が難しくなるケースも出てきました。
大本氏 そのような状況の中、グループ全体としての方針や共通の対策項目を定め、それに基づいて各社の状況を確認・整理する仕組みを構築しました。
その結果、グループ全体のバランスを保ちながら運営することができています。従来はグリーと各子会社の間でセキュリティへの意識に温度差がある場面もありました。
しかし、ホールディングス体制への移行により、各子会社でもグリーホールディングスと同等レベルの自律的な対応が求められるようになったことで情報セキュリティを含むリスクマネジメントを同じ枠組みの中で進められるようになり、管理や統制がしやすくなりました。
グリーグループは「エンジニアファースト」の文化があり、開発環境やツールを積極的に活用しています。その一方で、情報セキュリティとの両立も重要なテーマです。この両立のため、どのようなアプローチを取っているのか伺いました。
大本氏 基本的には過度な制限をかけるのではなく、リスクを検知して防いだりログを追跡できる体制を整えています。そのうえで、従業員には『何かあったらログで確認していること』『ログの取得は従業員自身を守るためでもあること』を説明しています。
私自身もインフラストラクチャ部門の出身なのでよく分かるのですが、エンジニアは明確な根拠や理由が示されれば、前向きに協力してくれることが多いです。ただ漠然と『監視している』のではなく、『公的なガイドラインではこう定められている』『この対応でこんな成果が得られる 』といった根拠やメリットを示すことで、納得して対応してもらいやすくなります。
奥野氏 セキュリティ部門が独自に考えた基準だと受け止められると、抵抗が生まれる場合があります。そこで、公的なガイドラインで求められているベストプラクティスであること、さらにそれを実施しない場合のリスクを丁寧に説明するようにしています。エンジニアとのコミュニケーションでは、根拠や背景を示しながら対話を重ねることを大切にしています。
近年、生成AIや新たなクラウドサービスの急速な普及により、企業のビジネスモデルは大きく変化しています。同時に、ランサムウェアや脆弱性を狙った攻撃が巧妙化し、情報セキュリティはもはや経営リスクとして捉えられる時代となりました。そうした中での今後の展望について、奥野氏に伺いました。
奥野氏 今後も環境の変化や公的ガイドラインの更新に迅速に対応し、経営層に最新のセキュリティ対策状況を的確に伝える仕組みとして、Secure SketCHを活用していきたいと考えています。
また、今後の情報セキュリティ報告書の方向性についても語っていただきました。
奥野氏 これまでもクラウドサービスや生成AIの活用に伴うリスク、サプライチェーンリスクなど重要テーマを取り上げてきましたが、技術の進化や脅威の高度化に伴い、内容の迅速なアップデートと実効性のある対策方針、具体的な事例紹介を強化していきたいと考えています。
また、ホールディングス化に伴い、各社の事業特性に応じた対応を行いつつ、グループ全体での統一的な方針策定も重要な課題です。今後の報告書では、セキュリティガバナンスの強化や部門間連携についても、より積極的に取り上げていきたいです。
最後に、Secure SketCHの導入を検討している企業の皆さまに向けて、アドバイスをいただきました。
奥野氏 Secure SketCHは、適用する公的ガイドラインの選定や解釈に悩んでいる企業様に特におすすめです。数多くのガイドラインの中から重要なポイントを適切に整理し、設問形式でわかりやすく提示してくれるので、非常に使いやすいツールです。
また、他社との比較が可能なスコアリング機能もあり、自社の対策状況を客観的に把握できるだけでなく、その結果を経営層に説明しやすい点も大きなメリットです。さらに、スコアアップを目指すことで、社内のモチベーション向上にもつながります。
続けて、導入時に意識すべきポイントについても教えていただきました。
奥野氏 導入時には、単にスコアリングして評価するだけでなく、その評価結果をどのように経営層に報告するのか、また評価をもとにどのように課題を設定して改善していくのか、という一連のフローを事前に整理することが大切だと思います。導入目的及び活用方法を明確に定めることで、より効果的な運用が可能になります。
Secure SketCHはシンプルなツールですが、使い方次第で活用の幅は大きく広がります。当社でも、導入当初は自社の対策状況の確認から始めましたが、現在ではリスクコミュニケーションの手段や社内ガイドラインへの反映など、多岐にわたり活用しています。ぜひ一度試して、使いやすさや効果を実感してみてください。
前列左から大本氏、奥野氏（グリーホールディングス様）
後列左から足立、小椋、長谷川（弊社）
※本文中の組織名、職名、概要図は2025年5月時点のものです。
過去の記事はこちら