導入の背景
実際に取り組み痛感した、グループ企業におけるセキュリティ対策の難しさ
民放キー局として放送業界を牽引する、日本テレビ放送網株式会社(以下、日本テレビ)。日本テレビが中核を担う日本テレビホールディングスは、20社を超えるグループ会社を擁し、イベントや動画配信など業種も多岐に渡ります。
2019年にグループの再編が行われ、新たな連結会社が生まれたことを契機に、改めてグループ全体でのセキュリティレベルの底上げの必要性が高まっていました。
ICT ビジネス局 サイバーセキュリティ推進事務局 マネージャーの原徳康氏は、グループ全体のセキュリティレベル向上には、まずは各社の対策状況の把握が必要であると考えていました。
原氏 セキュリティソリューションの導入の検討を進めていたのですが、どの企業にどのようなソリューションを導入する必要があるのかを判断するためには、まずは各社のセキュリティ対策状況の調査が必要だと考えました。
しかし、グループ会社ごとに組織規模や業務内容が異なり、円滑に調査を進めるには丁寧なコミュニケーションが必要でした。
当時は各社に直接出向いてセキュリティ対策状況のヒアリングを実施したものの、大きな負担であったと、ICT ビジネス局 サイバーセキュリティ推進事務局 チーフエンジニアの三浦好弘氏は振り返ります。
三浦氏 当時のグループ会社は24社ありました。各社に訪問のアポイントを取るだけでも相応の手間を要し、大きな負担になっていました。訪問調査には3ヶ月ほどかかり、定期的な調査の実施を考えると、効率化の必要性を痛感していました。
調査の効率化が必要となる一方、ICT ビジネス局 専任部長 サイバーセキュリティ推進事務局長の宇佐美理氏は、外部企業への業務委託はコスト面で懸念があったと述べます。
宇佐美氏 セキュリティコンサルタントに調査を依頼する場合、当然ながら24社分の調査費用がかかります。また調査の際に提供する資料準備などで社内に負荷が発生することも予想されたため、外部への依頼は難しいと感じていました。
そこで一度は自分たちでセキュリティチェックリストを作成して調査を実施してみたものの、粒度の設定や優先度の取り決めなどもうまくいかず、社内だけでの取り組みにはもう限界を感じはじめていました。
グループ全体の継続的なセキュリティ評価の実施に課題を感じていた中でNRIセキュアから紹介されたのが、Secure SketCH GROUPSプランでした。
導入の決め手
プラットフォームによって２４社のセキュリティ評価業務の負担を大幅に軽減できる
セミナーへの参加をきっかけに繋がりを持ったNRIセキュアから受けた提案の一つに、クラウドベースで複数のグループ会社のセキュリティ評価を実施できる、Secure SketCH GROUPSプランがありました。
宇佐美氏 Secure SketCH GROUPSプランの説明を受けた上で、これは日本テレビグループ全体のセキュリティ評価と対策強化に適していると感じました。国内外の著名なセキュリティガイドラインを基に作成された、選択回答形式のチェックリストで評価ができるため、各社も回答がしやすいのでは思いました。
三浦氏 当時はSecure SketCHのようなクラウドベースのセキュリティ評価サービスの存在を認知しておらず手探りの状態でしたので、まずは色々試してみようと導入を決意しました。とりあえず種を蒔いていこうという考えが強かったです。
図１. クラウドベースで複数拠点のセキュリティ評価を効率よく実施できるSecure SketCH GROUPSプラン
導入時の取り組み
現場の作業負荷を考えて、セキュリティ強化に取り組みやすい環境づくりに注力した
グループ会社によっては業務におけるセキュリティ強化のプライオリティが高くないところもあります。Secure SketCHの導入にあたって、各社の担当者の負担を考え、セキュリティ強化に取り組みやすい環境づくりに注力したといいます。
原氏 通常Secure SketCHのチェックリストへの回答はWeb上で行うものですが、導入当初は各社の担当者が使い慣れているExcelのヒアリングシートに回答内容を記入してもらいました。このExcelシートの記入データを、NRIセキュア様に依頼してSecure SketCH上に反映していただきました。
宇佐美氏 初めての取り組みゆえ、各社の回答内容には不備もあったかと思います。しかしNRIセキュア様には各グループ会社の回答内容の精査を行っていただくなど、丁寧に対応いただいたことがスムーズな導入につながったと考えています。
一方、導入当初は現在ほどセキュリティ対策の重要性が認知されておらず、グループ各社も積極的には取り組みづらい雰囲気があったと三浦氏は語ります。
三浦氏 各社がセキュリティ対策を進めやすくするために、グループ各社の経営層向けにセキュリティセミナーも実施しました。なぜセキュリティ対策を行うことが大事なのかを伝えることで、グループ全体でセキュリティに対する意識の醸成を図っていきました。
目的やメリットが明確になればモチベーションが生まれ、積極的にセキュリティ対策に取り組むことができます。その意味で、Secure SketCHには明確なメリットがあったといいます。
原氏 Secure SketCHは、自社のセキュリティ対策状況が数値化されるため、他社と比較してどのレベルにあるのかが一目瞭然になります。これは各社にとって非常にわかりやすい指標になるので、セキュリティを統括する側としても運用が進めやすかったです。
図２. 「数値化」された各社セキュリティ対策状況を一元的に管理できる（Sample）
導入による変化
グループ会社間のコミュニケーションが活発になり、組織全体のセキュリティの底上げに成功
Secure SketCHが導入されたことで、グループの統括部門、グループ各社の双方のセキュリティ評価の業務負担が大幅に軽減されました。リソースが限られる状況にありながらも、グループ全体のレベルアップが順調に進んでいると宇佐美氏は語ります。
宇佐美氏 Secure SketCHの導入から年を追うごとにグループ全体の点数が向上しているため、安心感があります。各社の課題が明確になったことや、グループ内での順位が把握できることは担当者のモチベーションアップ繋がっているのではないでしょうか。
図３. 評価する各企業の「得点」や「偏差値」が表示され、グループ内の順位がわかる（Sample）
Secure SketCHという共通言語が出来たことでグループ会社間のコミュニケーションや交流も活発になってきたと原氏は言います。
原氏 今までは各社の中でセキュリティ対策が完結していましたが、他社との比較という新しい評価基準が生まれたことで、より客観的な評価と有効性のある施策が実施できるようになりました。
グループ内で点数が高い会社には、自社の取り組み内容をグループ内に紹介していただいています。日本テレビとは規模の異なる会社も多いので、規模が近い会社の具体的な取り組み内容を参考にしてほしいという狙いがあります。
また、定期的な評価の後に実施すべきセキュリティ強化の施策は、各社に任せていると三浦氏は語ります。
三浦氏 各社で業務や規模が異なり、各社の状況は各現場の担当者が最も理解しています。例えばインシデント対策のメール訓練であれば、ツールの導入方法だけ我々が伝え、実際の運用は各社に委ねています。このメール訓練への参加社数は年々増えているので、グループ会社間で情報交換がなされているのではないでしょうか。
SecureSketCH導入から3年。効率化による現場の業務負担の軽減、グループ全体でのセキュリティ意識の醸成、セキュリティ対策を行うメリットと目的の明確化など、着実に築いてきたこれらの取り組みが実を結び、グループ全体で継続的なセキュリティ対策を行う体制が整いつつあります。
三浦氏 いわばSecure SketCHは健康診断のようなもの。最初のチェックは大変かもしれませんが、定期的な診断により、結果の改善が実感できることが現場のモチベーションにもつながっているのだと思います。
今後の展望
テレビ局として「可用性」と「セキュリティ」のバランスを柔軟に保ちながら新しい挑戦を続けたい
日本テレビグループのセキュリティに関する今後の課題は、可用性とセキュリティの両立にあると３人は考えています。
宇佐美氏 公共の電波をお預かりしているので、その意味ではテレビ局には頑強なセキュリティが必要になります。一方で、コンテンツ制作のための社外とのやりとりにおいてはフレキシビリティと自主性を損なってはいけません。
また、場所に縛られず業務を行える環境を整備しなければ、テレビ業界自体が立ち行かなくなると感じています。それに伴いセキュリティリスクも増加するため、可用性とセキュリティのバランスを取っていくことが今後不可欠だと考えています。
三浦氏 テレビ局員は情報への感度が高く、新しいものをまずは取り入れてみようという柔軟な姿勢があります。それに対してセキュリティが足枷になってしまうと本末転倒です。
これからはSecure SketCHのような新しいテクノロジーを活用しながら、セキュリティとのバランスをとりつつ新しい挑戦を積極的に行うことが、他の業界以上に必要だと感じています。
原氏 グループ全体のセキュリティ強化における新しい挑戦という意味では、各社のシステムを統合しソリューションの運用状況を統一ダッシュボードで可視化することです。そのうえで、AIなど最新技術を用いて業務を自動化することが理想であるといえますね。
※本文中の組織名、職名、概要図は2022年5月時点のものです。
