株式会社アシックス 様

2019 年12 月に具体的な製品・サービスの検討に入った谷本氏は、さまざまな脅威モニタリング製品やサービス市場の情報をみずから収集・分析。最終的に5製品の候補に絞り込んでいきました。重視した検討項目は主に脅威情報分析サービスに関する「市場動向」、「市場のポジショニング」、「製品の評価」の3つ。これらを、信頼できる調査会社などの資料をもとに、比較検討を進めたといいます。

また製品の優位性を評価する際も、セキュリティ機能だけではなく、それらを利用してもたらされる投資効果（ROI）や、運用時における容易さまでを、トータルに検討するよう心がけたと谷本氏は語ります。「当社は、事業会社なので、サービス導入後に社内スタッフで使いこなせるか。またROI から見た場合、どんな導入メリットが期待できるかに重点を置きました。この結果、営業担当者および運用担当者の知識や技術レベルが非常に高いこと。加えて、当社の要望に対して柔軟かつ迅速に対応してもらえるとの期待から、最終的にNRI セキュアの『マネージド脅威情報分析サービス（TIA）』の採用を決めました」。

脅威インテリジェンスへの関心の高まりで、数多くのソリューションが登場する中、個別の製品にとらわれることなく「サービス」、「ノウハウ」、「人材」を融合させた、NRI セキュアならではのサービスに組み上がっている点を高く評価したと谷本氏は語ります。

2020年1 月後半からは、サービス運用計画の策定がスタート。ところが2020年4～9月の本番運用を目前に準備を進めていた3月下旬、プロジェクトチームに大きな衝撃が走りました。国内外における新型コロナウイルスの感染拡大を受けた、オリンピック／パラリンピックの開催延期決定です。

「この問題が浮上してきた2月以降、慎重に事態の推移を見守りつつ、予定通りの4月1日のサービス導入とその後の運用を進める決定を下しました」と谷本氏は明かします。

延期となった五輪開催が、もし可能になれば、当然そのための事前準備を進めておく必要があります。また今年中に運用がなくなったとしても、アシックスが直面している地政学的リスクが消滅するわけではなく、むしろサイバーセキュリティ対策のニーズは、今後も増大していくことが確実です。「中長期的な視点に立った脅威マネジメント体制の強化・充実という戦略からも、脅威マネジメント推進プロジェクトの継続は、必須だと判断しました」と谷本氏は振り返ります。

さらに同氏の確信をより強固にした要因の一つが、導入に先だって行われたPoC（概念実証）でした。今回谷本氏が危惧していた高リスクに、「偽ドメインサイト」があります。アシックスの公式Web サイトを装った不正サイトが、ネットワーク上やSNS にいくつも存在していることが、このPoC 期間を通じ、新たに判明したのです。

「サービスに実装されている脅威インテリジェンス管理用SaaS『IntSights（イントサイト）』が、そうした詐欺ドメインの一つを発見したのです。この結果、推測や予想では知り得なかった事実を新たに知ることができたのは大きな成果です」。

この検証結果によって、経営陣から現場までがサイバー脅威の存在を改めて実感し、脅威マネジメントに取り組む意識を共有できたと、谷本氏は手応えを語ります。

今回「マネージド脅威情報分析サービス」は、9月末の半年を予定されています。ここで得られた結果をもとに、谷本氏は「脅威インテリジェンス」を、今後アシックスのグローバルセキュリティ対策の不可欠な要件として定着させていきたいと抱負を語ります。

「すでに当社では、これとは別にEDR やSIEM 構築やネットワーク監視サービスを委託先とともに運用しています。そこに今後は、脅威インテリジェンスというプラットフォームそのものを、恒常的な機能として組み込んでいきたい。2020年、東京五輪大会自体は延期となりましたが、当社においては、今回の脅威マネジメントの運用はサイバー対策の成熟度レベルを向上させる、チャレンジでもあり、今後の海外展開を見据えた助走期間であると捉えています」。

この実現に向け、現在は費用面やリソース面も含めた具体的な継続運用や計画について、経営層に対して積極的に提案を続けているところだと明かす谷本氏。今アシックスの脅威マネジメントへの取り組みが、明確な目的をもって、スタートを切りました。

※本文中の組織名、職名、概要図は公開当時のものです。（2020年6月）