体制は整ったものの、当時はグループ各社のセキュリティ対策状況が見えていませんでした。そのためグループ内の対策状況を数値化し、網羅的に強化施策を実施できる仕組みの必要性を感じていました。 

 以前より、他のベンダーが提供するスポット支援型の評価サービスを受けたことはありましたが、そのベンダーが考える独自の基準を用いた評価であったため、必要な対策の根拠や継続性に疑問を感じることがありました。

 我々が求めていたのは、グローバルで一般的に使われているスタンダードなフレームワークを用いて、定量的かつ客観的な評価を継続的に実施することでした。そこで選定したフレームワークが、NIST CSFです。 

 部内でNIST CSFの採用を立案し、取締役会での承認を得て最終決定しました。経営陣としてもNIST CSFの採用については前向きでした。当社には現場からの提案を経営陣が積極的に支援してくれる組織文化があり、今回も現場発の取り組みとして推進することができました。 

Web上で評価でき、大きな費用はかからず、自分たちで運用ができること、これらの要件にSecure SketCHが合致していました。さらに、ベンダー独自ではなく一般的に利用されるセキュリティ基準を用いること、なおかつ評価結果の他社比較ができる点が魅力的でした。

経営層への報告においても「当社はどれくらいできているのか、どれくらいを目指すべきなのか」というNIST CSFの評価値（Tier1～4）での見える化が必要でしたが、それ以上に重要だったのは、そのTier値の根拠と妥当性を示すことでした。 

 2023年から、当社の各年の業務計画に合わせた柔軟かつスピーディな支援スケジュールを提案していただいています。特に2024年にNIST CSFのバージョンが 2.0への改定が行われた際も、NRIセキュア側にノウハウと技術的な蓄積があったため、新しいバージョンに対応した設問へ即座に更新いただけました。 

グループ全体の強み・弱みが可視化され、どの領域で目標値との差が大きいかが明確になりました。特に良かったのが、セキュリティ製品の標準化や一元管理など、各社でバラバラに運用していては改善効率が悪い領域を特定できたことです。

また評価結果をもとに優先すべき対策を明確化して、それらの対策を実施した場合の予測結果を算出できるので、具体的な改善計画の策定に役立っています。 

SketCHのスコアを利用し業界と比較したことで、現状のTier値、及び目標値がどの程度の水準なのかを、誰でも分かる形で経営層に対して報告することができました。

NIST CSF 2.0のTier値だけでは「これが良いのか悪いのか」という基準が分からないのですが、Secure SketCHの統計データと組み合わせることで「業界平均と比較してこの位置にいる」「目標値は業界内でこのレベルに相当する」といった説得力のある説明が可能になりました。

実際に経営陣からも「この指標なら理解しやすい」と高く評価されており、ある役員からは「Secure SketCHが算出するこの評価は、報告書の冒頭に持ってくるべきだ」とのコメントももらうほどで、経営層がこの取り組みの重要性を深く理解してくれている証だと思います 。

日本と比べIT組織の規模が異なり、IT専任担当者がいない会社もあります。海外各社のインフラやアプリケーションなどの情報がほぼない状況からスタートしましたので、担当者の工数確保、各社の販売チャネル・インフラ・アプリなど一からヒアリングが必要でした。

日本の数倍の回答支援・レビューが必要で、全問チェックし、認識違いを全て説明するなど大変でしたが、最終的には中国語、英語、タイ語、日本語の4言語で運用することで、海外拠点を含めた統一的な評価を実現できました。 

現状では、NIST CSF 2.0のTier値を算出するためには、個別にNRIセキュア側に依頼が必要です。将来的には、ぜひSecure SketCH上で自動的に算出できるように機能を開発いただきたいです。

設問に回答した各社からも「とにかく結果を早く見たい」という希望が多く寄せられています。それだけでなく、例えば回答ミスを修正した結果をすぐに確認したり、ある改善策で評価値がどう変わるか予測したりする場合にも、入力後すぐに結果が表示される機能があると、本当に助かります。

各社がリアルタイムで点数の変化を確認できれば、グループ全体の活動がより活発になるのではないかと期待しています。 

NIST CSF 2.0という客観的で継続性のあるフレームワークと、Secure SketCHの統計データや使いやすい機能を組み合わせることで、効率的で説得力のあるセキュリティ管理を実現できていると実感しています。

私たちが今回NRIセキュアと構築したこの評価の仕組みは、近い将来、他の企業様にもご利用いただけるサービスとして展開される予定と伺っています。当社と同様の課題をお持ちの企業の方は、試してみる価値があると思います。