業務用iOSアプリと静的Web技術のリーディングカンパニー

弊社では、ISMSやPマーク等の認証取得は行っておらず、今後も取得する予定はありません。本ページでは、その考え方と具体的な取り組みについてご紹介します。

認証の有無だけで判断するリスク

弊社は、認証の有無だけで企業のセキュリティレベルを判断する傾向に疑問を持っています。

ISMSやPマークといった認証制度には、第三者による審査やマネジメントシステムの確認という意義がありますが、その一方で、認証の取得そのものはサイバー攻撃や情報漏えいの防止を保証するものではないという事実は、幾分か軽視されていると考えています。

実際に、ISMSやPマーク等の認証を取得している企業であるにもかかわらず、重大なセキュリティインシデントを発生させている事例は枚挙にいとまがなく(注1)、弊社はその原因が次の3点にあるという見解を持っています。

1. セキュリティリスクが生じる原因の技術的理解が乏しいこと
2. 認証機関やコンサルタントが用意する雛形でマネジメントシステムを構築すること
3. 1+2の結果、実施必要性に腹落ちしないルールとなり形式化・形骸化がしやすくなること

特に1点目は、根深く深刻な問題です。

多くの日本企業は、インターネット技術やソフトウェア開発技術を担う部門を組織内部に持っていません。そのため、セキュリティインシデントがなぜ発生するのかを技術的観点から本質的に理解することが難しく(ランサムウェア感染の発生原理等)、より良いリスク軽減・根絶策を自ら導出できないという構造的弱点を持っています。この弱点が克服できない限り、認証を取得している企業によるインシデントは今後も起こり続けます。

だからこそ、ISMSやPマーク等の認証を取得していることだけで取引先に安心を提供できるという発想は、取引先に対する誠実さを欠いた無責任な姿勢であり、それだけでなくセキュリティに関する技術的な理解が不足している表れだとさえ考えています。

弊社は、ISMSやPマーク等の認証の有無ではなく、なぜインシデントは発生するのかを徹底的に考察し、その発生原理の技術的理解に基づいたセキュリティポリシーを掲げ、どのような取り組みを行っているかを公表することが最重要であると考えています。

1. セキュリティポリシー

弊社は、セキュリティインシデントが発生する技術的背景と主要因を正確に捉え、その因子を極力排することでインシデント耐性を獲得することを基本ポリシーとしています。

本ポリシーは被攻撃面を最小化するということであり、これは「自動車事故を避けるためには、自動車に乗らず車道に近づかない生活を徹底するのが better である」という考え方に近いと言えます。1つの不備が甚大な被害をもたらす情報セキュリティのインシデント対策においては、極端とも言えるこの姿勢が最も安全かつ合理的であると考えています。

以下に、弊社がこの方針のもとでどのようにしてセキュリティインシデント耐性を保持しているかの例を示します。

Windowsの禁止

Windowsは市場シェアが大きいために攻撃者にとって最も費用対効果の高い標的となっており、同じ運用レベルであっても被害に遭う確率は高くなる傾向があります。弊社は、このリスクの絶対量を根本から減らす観点から、創業以来Windowsの利用を原則禁止としています。

パスワードマネージャーの利用徹底

パスワードが推測しやすいことや、本人が手入力することは、セキュリティインシデントの遠因です。パスワードマネージャーを使えば、推測されやすいパスワードを作ることがなくなり、本人もパスワードを覚える必要がなくなります。また、入力先がフィッシングサイトの場合はパスワードが入力されることがなく安全性が増します。

2. 実施しているセキュリティ対策

弊社では以下のような取り組みを行っています。

いずれの対策についても運用マニュアルを整備し、組織内部で定期的な監査を行っています。監査は人手に頼らず、システムによってヒューマンエラーを防ぐ体制を重視しています。

3. 各対策の詳細

認証

業務上重要なサービスの利用には多要素認証(MFA)を原則として必須とし、対応するサービスではパスキーによる認証方式を利用しています。社内のIDはSSOで一元管理し、管理者権限を持つアカウントは通常業務で使うアカウントと分離しています。

権限管理

アカウントには業務上必要な範囲に限定した権限(最小権限)のみを付与しています。退職やプロジェクトの終了に伴い、該当するアカウントの権限を無効化・削除しています。

エンドポイントセキュリティ

業務端末は全台をMDM(モバイルデバイス管理)の対象とし、EDR(エンドポイント検知・対応)を全台に導入した上で、ストレージも暗号化しています。また、業務端末はセキュリティ上の脆弱性が指摘されやすいWindowsではなくmacOSに統一し、Microsoft OfficeやAdobe Acrobat Readerといった脆弱性の指摘が多いアプリケーションの利用も原則禁止しています。メールの添付ファイルを介した攻撃はセキュリティインシデントの主要な原因であるため、社内コミュニケーションでのメール利用は原則禁止としています(メールを使わないことで、異常なメールへの気づきやすさを高める狙いです)。

パッチ管理

OSやソフトウェアパッケージは原則として常に最新版へ更新しています。共通脆弱性評価システム(CVSS)のスコアだけに頼らず、弊社環境への影響から深刻度が高いと判断した脆弱性は、原則として即時に対応します。

脆弱性管理

脆弱性スキャンを実施し、検出した脆弱性を技術的な観点から見て対応が必要と判断した場合に原則対応しています(脆弱性診断のツールやサービスの指摘には見当違いなものや実害のないものも含まれるため、鵜呑みにせず技術的知見をもとに優先順位を判断しています)。

個人情報の取得

業務上必要な範囲を超えて個人情報を取得しないことを原則としています。サービスの提供や運営に不可欠な情報に必要最小限に限定して収集するものとし、それ以外の個人情報は原則として取得しません。例えば、採用面接においては履歴書の提出を求めない(履歴書は採用の判断材料にならず不要な情報が多いため。必要な情報は別の方法で確認可能)ほどに徹底しています。やむなく取得せざるを得なかった個人情報は台帳管理を行い、不要になった時点で削除・破棄しています。

ログ管理

業務システムのアクセスログは常時収集し、一定期間保持しています。

開発セキュリティ

ソフトウェア開発においてはコードレビューを実施しています。

教育

セキュリティに関する社内教育を、最低週1回、加えて必要に応じて随時実施しています。また弊社代表は、情報セキュリティ分野で唯一の国家資格である情報処理安全確保支援士(登録セキスペ)の第一回試験に合格しています。(資格保有者として5年間活動した後、資格制度の実効性・有用性に技術的見地から疑問を抱き、資格保有者としての登録削除を申請済)

バックアップ

バックアップは、バックアップ元とは別の環境に複数世代にわたり保存しています。

インシデント対応

インシデント対応の手順をマニュアル化しています。発生したインシデントとその対応内容を記録し、履歴として残しています。

SaaS管理

業務で利用するSaaSについて、権限設定を定期的にレビューしています。

4. 継続的な改善について

一連のセキュリティ対策は、脅威の動向や事業環境の変化に応じて継続的に見直しています。

5. セキュリティチェックシート等について

お客様指定のセキュリティチェックシート等へのご回答は、有償で承っています。

種類や理由を問わずお客様指定のチェックシート・ドキュメントへの記入や署名は1点あたり¥100,000(税別)の有償でのご対応となります。前金制となり入金ご確認後の作成となりますのであらかじめご了承下さい。ご契約を前提にセキュリティチェックシートを無償回答させて頂くことはありません。(ただし、弊社との年間取引実績が100万円(税別)以上の場合、または同額以上の取引が見込まれることをメールや押印済みの書面など記録の残る形でご提示いただいた場合は、無償で対応いたします)

チェックシート・ドキュメントは、ファイル・書面が複数ある場合にはその数で積算致します。またスプレッドシート等の複数ドキュメントを内包できるファイルフォーマットでは、シートの点数だけ積算となります。またファイルやシートが長文であると弊社が判断した場合、弊社環境にてPDF化(A4用紙上の文字が視力1.0で容易に視認できるフォントサイズで印刷することを想定)を行った合計ページ数での積算となります。印刷時のページ数を少なく見せる意図が窺えるファイルは単価5倍とした上で積算し、ファイルを修正いただいた後も料金は変更しません。

なお、セキュリティチェックシートで尋ねられる項目の多くは、当ページまたは弊社サービスサイト等でお答えしていますので、適宜ご確認下さい。

6. お問い合わせ

セキュリティ対策に関するお問い合わせは、お問い合わせフォームより承っております。