業務用iOSアプリと静的Web技術のリーディングカンパニー

feedtailorでは、ISMSやプライバシーマーク等の認証取得は行っておらず、今後も取得する予定はありません。本ページでは、その考え方と具体的な取り組みについてご紹介します。

認証の有無だけで判断するリスク

弊社は、認証の有無だけで企業のセキュリティレベルを判断する傾向に疑問を持っています。

ISMSやプライバシーマークといった認証制度には、第三者による審査やマネジメントシステムの確認という意義がありますが、その一方で、認証の取得そのものがサイバー攻撃や情報漏えいの防止を保証するものではないという事実は、幾分か軽視されていると考えています。

実際に、ISMSやプライバシーマーク等の認証を取得している企業であるにも関わらず重大なセキュリティインシデントを発生させている事例は枚挙にいとまがなく(注1)、弊社はその原因が次の3点にあるという見解を持っています。

1. セキュリティリスクが生じる技術的な原因への理解が乏しいこと
2. 認証機関やコンサルタントが用意する雛形をもとにマネジメントシステムを構築すること
3. 1+2の結果、実施必要性に腹落ちしないルールとなり形式化・形骸化がしやすくなること

特に1点目は、根深く深刻な問題です。

多くの日本企業は、インターネット技術やソフトウェア開発技術を担う部隊を組織内部に持っていません。そのため、セキュリティ事故がなぜ発生するのかを技術的観点から本質的に理解することが難しく(ランサムウェア感染の発生原理等)、より良いリスク軽減・根絶策を自ら導出できないという構造的弱点を持っています。この弱点が克服できない限り、認証を取得している企業によるインシデントは今後も起こり続けます。

だからこそ、ISMSやプライバシーマーク等の認証を取得していることだけで取引先に安心を提供できると考えるのは、取引先に対して誠実さを欠く姿勢であり、それだけでなくセキュリティに関する技術的な理解が不足している表れだとさえ考えています。

弊社は、ISMSやプライバシーマーク等の認証の有無ではなく、どのようなセキュリティポリシーのもと、どのような取り組みを行っているかが重要であると考えています。

1.　セキュリティポリシー

弊社は、セキュリティインシデントが発生する技術的背景と主要因を正確に捉え、その因子を極力排することでインシデント耐性を獲得することを基本ポリシーとしています。

被攻撃面を最小化するということであり、これは「自動車事故を避けるためには、自動車に乗らず車道に近づかない生活を徹底するのが better である」という考え方に近いと言えます。1つの穴が甚大な被害をもたらす情報セキュリティのインシデント対策においては、極端とも言えるこの姿勢が最も安全かつ合理的であると考えています。

以下に、弊社が本スタンスでどのようにしてセキュリティインシデント耐性を保持しているかの例を示します。

Windowsの禁止

Windowsは市場シェアが大きいために攻撃者にとって最も費用対効果の高い標的となっており、同じ運用レベルであっても被害に遭う確率は統計的に高くなります。弊社は、このリスクの絶対量を根本から減らす観点から、創業来Windowsの利用を原則禁止としています。

パスワードマネージャーの利用徹底

パスワードが予測可能でかつ本人が知っていることは、セキュリティインシデントの遠因です。パスワードマネージャーを使えば、耐性の低いパスワードを物理的に作成することが不可能になり、さらに本人でさえパスワードを知らない状態にすることができます。

2. 実施しているセキュリティ対策

弊社では以下のような取り組みを行っています。

いずれの対策についても運用マニュアルを整備し、組織内部で定期的な監査を行っています。監査は人手に頼らず、システムによってヒューマンエラーを防ぐ体制を重視しています。

3. 各対策の詳細

認証

業務上重要なサービスの利用には多要素認証(MFA)を原則として必須とし、対応するサービスではパスキーによる認証方式を利用しています。社内のID管理はGoogle WorkspaceによるSSOに統一し、管理者権限を持つアカウントは通常業務で使うアカウントと分離しています。

権限管理

アカウントには業務上必要な範囲に限定した権限(最小権限)のみを付与しています。退職やプロジェクトの終了に伴い、該当するアカウントの権限を無効化・削除しています。

エンドポイントセキュリティ

業務端末は全台をMDM(モバイルデバイス管理)の対象とし、EDR(エンドポイント検知・対応)を全台に導入した上で、ストレージも暗号化しています。また、業務端末はセキュリティ上の脆弱性が指摘されやすいWindowsではなくmacOSに統一し、Microsoft OfficeやAdobe Acrobat Readerといった脆弱性の指摘が多いアプリケーションの利用も原則禁止しています。メールの添付ファイルを介した攻撃はセキュリティインシデントの主要な原因であるため、社内コミュニケーションでのメール利用は原則禁止とし、対顧客担当者以外の従業員が外部関係者とメールでやり取りすることも一切禁止しています(メールを使わないことで、異常なメールへの気づきやすさを高める狙いです)。

パッチ管理

OSやソフトウェアパッケージは原則として常に最新版へ更新しています。共通脆弱性評価システム(CVSS)のスコアが8以上となる深刻度の高い脆弱性が確認された場合は、原則として即時に対応します。

脆弱性管理

脆弱性スキャンを実施し、検出した脆弱性を技術的な観点から見て対応が必要と判断した場合に原則対応しています(脆弱性診断のツールやサービスの指摘には見当違いなものや実害のないものも含まれるため、鵜呑みにせず技術的知見をもとに優先順位を判断しています)。

個人情報の取得

業務上必要な範囲を超えて個人情報を取得しないことを原則としています。サービスの提供や運営に不可欠な情報に極限にまで限定して収集するものとし、それ以外の個人情報は原則として取得しません。例えば、採用面接においては履歴書の提出を求めない(履歴書は採用判断材料にならない上に不要な情報に溢れ、万が一必要な情報は取得代替手段が存在するため)ほどに徹底しています。やむなく取得せざるを得なかった個人情報は台帳管理を行い、不要になった時点で削除しています。

ログ管理

業務システムのアクセスログは常時収集し、一定期間保持しています。

開発セキュリティ

ソフトウェア開発においてはコードレビューを実施しています。

教育

セキュリティに関する社内教育を、最低週1回のペースで、さらに加えて必要に応じて随時実施しています。また弊社代表は、情報セキュリティ分野で唯一の国家資格である情報処理安全確保支援士(登録セキスペ)の第一回試験に合格しています。(資格保有者として5年間活動した後、資格制度の実効性・有用性に技術的見地から疑問を抱き、資格保有者としての登録削除を申請)

バックアップ

バックアップは業務環境とは別の環境に保存し、7世代分を保持しています。

インシデント対応

インシデント対応の手順をマニュアル化しています。発生したインシデントとその対応内容は、記録と対応履歴として残す仕組みを整えています。なお創業以来、セキュリティインシデントが発生したことはありません。

SaaS管理

業務で利用するSaaSについて、権限設定を定期的にレビューしています。

4. 継続的な改善について

一連のセキュリティ対策は、脅威の動向や事業環境の変化に応じて継続的に見直しています。

5. セキュリティ診断シート等について

お客様基準のセキュリティチェックシート等の対応が可能です。ただし、年間取引金額が100万円を超える見込みのある企業様を除き、有償でのご対応となります。

種類や理由を問わずお客様指定のドキュメントへの記入や署名は1点あたり¥100,000(税別)の有償で承っております。前金制となり入金ご確認後の作成となりますのであらかじめご了承下さい。ご契約を前提にセキュリティチェックシートを無償回答させて頂くことはありません。

ファイルが複数ある場合にはファイル数で積算致します。またスプレッドシート等の複数ドキュメントを内包できるファイルフォーマットでは、シートの点数だけ積算となります。またファイルやシートが長文であると弊社が判断した場合、弊社環境にてPDF化(A4用紙上の文字が視力1.0で容易に視認できるフォントサイズで印刷することを想定)を行った合計ページ数での積算となります。印刷時のページ数を削減する明らかな意図が窺えるファイルは単価5倍とした上で積算させて頂きます。

多くのセキュリティチェックシートの確認項目は、当ページまたは弊社サービスサイト等に記載されておりますので適宜ご確認下さい。

6. お問い合わせ

セキュリティ対策に関するお問い合わせは、お問い合わせフォームより承っております。