DeNA セキュリティ部 – 経営戦略とミッションを合致させ、「事業の成功」に貢献

グループミッションに対応させた、セキュリティ部のミッション・ビジョン

DeNAグループのセキュリティ体制と、その中での岡村様の役割について教えてください。

まず、代表取締役社長が委員長を務める、情報セキュリティ管理委員会と個人情報管理委員会があり、当グループのセキュリティに関する取組みは、基本的にはここで意思決定がなされますが、重要事項については経営会議や取締役会でも議論、報告されます。その決定事項を実行するのが、私が部長を務めるセキュリティ部です。

セキュリティ部の中には、セキュリティポリシーの策定や教育・研修などを実施するセキュリティ推進グループと、事業部が制作したプロダクトの脆弱性診断をはじめとした技術的な対策や、SOC（Security Operation Center）（※）などを担当するセキュリティ技術グループがあります。

さらにセキュリティ部がIT、法務、経営企画など複数部門の協力を得ながら、グループ横断的にセキュリティ課題を解決するバーチャルな組織として、DeNA CERTを設けています。

セキュリティ部では、どのようなミッションや方針を定めていますか。

DeNAグループのミッション「一人ひとりに想像を超えるDelightを」に対応するかたちで、「セキュリティをコントロールし、世の中に届けるDelightに安全・安心という付加価値を提供する」をセキュリティ部のミッションとしています。「安心と安全の付加価値」と謳っていますが、安心・安全はもはや基本的価値です。事業を成功させるためには事業基盤がグラつかないように安心・安全を担保しなければなりません。セキュリティ部としては、目立たなくともしっかりとした土台を提供し、その分、事業が目立ってくれればいいと思っています。

ミッション実現のために、4つのビジョンを掲げています。1つ目は「顧客にDelightを届けるために、利便性と安全性の両面で妥協しない」。よく利便性と安全性のバランスをとるという言い方をしますが、どちらもしっかりと考えよう、妥協するのはやめようという考えを強調したく、このビジョンを定めています。

2つ目は「事業部自らがセキュアに事業運営できる骨太な体制を支援する」。セキュリティ部の人数は限られていますから、事業部自体がセキュリティについて考える力を持つ状態にしたいと思っています。3つ目は「価値のある業務に関わることで、セキュリティ部員の市場価値を高める」。そして最後が「技術力と発信力で業界のセキュリティを引率する」。これらのビジョンに沿って、日々活動しています。

事業部にセキュリティを実装するための「1.5ライン」チーム

「事業部自らがセキュアに事業運営できる」体制を支援するというビジョンを掲げていますが、そのためにはどういったことに注力していますか。

DeNAグループの各事業部内でのセキュリティ活動を第一線（ファーストライン）だとすれば、それを支えるセキュリティ部は、第二線（セカンドライン）に位置づけられます。セカンドラインにいる私たちは、セキュリティに関する統一的なルールなどをつくることはできますが、事業に深く入り込んでいくのはなかなか難しいことがあります。そこで、2021年度から2023年度を対象としたDeNAセキュリティの3か年計画の中で、各事業部のリスク管理を事業目線で支援する「1.5ライン」にあたるチームを置いて、事業部にセキュリティを実装していくための体制づくりを行いました。

「1.5ライン」のチームとは、具体的にどのようなものですか。

セキュリティ部と事業部のそれぞれからメンバーを出して、リスク管理のチームとして構成したチームです。同じチームとして活動した方がお互いに知らない部分を補えますし、事業部にとっては、セキュリティ部とのコミュニケーションがとりやすくなると考えています。

こうしたチームを主要な事業（ゲーム、スポーツ、ヘルスケア・メディカル、ライブコミュニティ）やカスタマーサービス等の中につくったことで、実際に、事業部のセキュリティ意識が高まったと感じています。事業によって実装すべきセキュリティ強度は異なりますし、事業固有のセキュリティ・プライバシー対応が必要なケースもあります。事業に即したセキュリティを実装するには事業を詳しく知る必要もあります。事業部にリスク管理部門を設置し、セキュリティ部と事業部のそれぞれからメンバーを出したことで、その事業に特化したセキュリティを速やかに議論できる状態を作ることができました。ほかにも、事業部主導でのセキュリティ教育やインシデント対応の演習といった活動も増えてきています。事業部でのセキュリティに対する考え方自体が大きく変わったと思いますね。

さらに本年度からは、定期的に各事業のリスク管理部門が一堂に集まり、インシデント、課題、良かった取り組みなどを共有し合う場も設けています。

年850件もの相談対応のほか、グループ全社への調査や勉強会も実施

DeNAグループのセキュリティ体制について見聞きする中で、事業部とセキュリティ部の距離感が近い印象を持っていましたが、そうしたチームの効果があったんですね。そのほか、セキュリティポリシーをつくる場合などにも、現場の方へのヒアリングを重視しているようですね。

当社のグループセキュリティポリシーは、各事業に向けた具体的な規定のベースラインとなるものとしてつくられています。事業が多様であり、そのすべてに当てはまる規定をつくるのは難しいため、リスクの高い事業部門は、ベースの上に事業に沿ったポリシーを足していく、二階建て構造をとっています。

セキュリティポリシーは「ちょっとおかしいな」と思ったら、すぐ変えようと決めています。もちろん事業への影響が大きいルールを簡単に変えることはありませんが、グループ全員が見る「DeNAグループ情報セキュリティポリシー」については、年に何回か見直しています。事業の状況に合わせて変えることもあれば、現場から「使いづらい」という声があって見直すこともあります。

2020年に「DeNAグループ情報セキュリティポリシー」を全面改訂した際には、事前に主要な事業部やIT部門などに問題がないかを確認し、さらに100人ほどのグループマネージャーから改訂案に対するパブリックコメントを受け付けました。100件ほどの意見が来ていたと記憶していますが、その意見を汲んで変更・対応した部分もあります。このように、大きな改善をするときにはグループ内でパブリックコメントを行うようにしています。セキュリティポリシーは事業を伸ばすために作成するものなので、公開した後に「これでは使えない」と言われては、何のためにつくったのかわからなくなってしまいます。

ちなみに現在も、「DeNAグループ情報セキュリティポリシー」の大型アップデートを計画しています。これはM＆Aによってグループに仲間が増えたことが主な理由です。2024年4月時点で、国内外に17社の主要子会社を擁しており、関連会社も多数あるなか、現行のポリシーは従来のDeNA色が強いので、新たに仲間になった子会社も自らのセキュリティについて考え、事業に即したセキュリティを実装しやすいものに変えたいと思っています。

折に触れてポリシーの見直しをされているということですが、現場の実態と現行のポリシーが合っているかを確認するためには、どのようにアンテナを張っているのでしょうか。

主要事業については、先ほどお話しした「1.5ライン」を通してコミュニケーションをとっています。またセキュリティ部では全事業部からセキュリティ相談を受け付ける窓口を用意していて、ここには年間850件ほどの相談が来ます。同じ内容の相談が多ければ、ポリシーの見直しを考えるきっかけとなります。

ほかには、グループ全社へのセキュリティアンケートも実施しています。直近では「セキュリティやプライバシー施策、セキュリティポリシーについて意見があれば聞かせてください」といった、質問を投げかけました。さらに年に1回、各事業で何か大きな変更がないか、新たに個人情報を扱うサービスを始めていないかなど、簡易な予備調査もしています。DeNAグループの事業とセキュリティの全体像を把握し直すわけです。予備調査でリスクが高く変動したと判断した事業部には、セキュリティ部によるモニタリングをすることもあります。

もう1つ、四半期に1回程度、昼休みの時間をつかって、グループの全従業員向けにZoomでセキュリティ共有会を開催しており、そこでも意見を聞いています。この共有会は、よくあるeラーニングのように「こういうことを守らないとダメです」といったものではなく、「サイバー攻撃をする人は、どんなコミュニティに潜んでいるか」など、面白く聞いてもらえそうな話を取り上げます。毎回、200人ぐらいが参加してくれていますね。その中で「セキュリティについて、困っていることはありませんか」「見直したほうがいいと思ったことはありませんか」「リスクの高い行動をしている人を見たことはありませんか」といった質問をしています。こうした活動を通して常に現場に働きかけていることで、セキュリティポリシーを見直すうえでの内部環境の変化を概ね掴めているのではないかと思っています。

事業部が新たなビジネスを始めるときには、最初の段階からセキュリティ部が入ってサポートをするのでしょうか。

案件にもよりますが、最初から手取り足取りセキュリティ部が入ることはないですね。ある程度は事業部に自治権をもってやってもらいたいと考えています。当社はエンジニアが多い組織であり、セキュリティに対する事業部のリテラシーは比較的高いと感じているので、基本的にはまず事業部で考えて実装してもらいます。そのために参照できる「DeNAグループ情報セキュリティポリシー」を整備しているわけです。

もちろんプロダクトをリリースするまでに事業部からの相談や脆弱性診断等でプロダクトの安全性もチェックしますし、そこでリスクが見つかることもありますが、そこまでのプロセスでは各事業部で自分ごととして考えてもらうことが大事だと思っています。「セキュリティ部が全部、最初から支援します」と言ってしまうと、事業部は考えることを止めてしまうおそれがあります。事業部が自分ごととしてセキュリティを実装する力をつけるためには、やはり事業部自身で考えることが重要です。

セキュリティ施策には経営層の理解も重要になりますが、経営層とのコミュニケーションは、どのようにとっていますか。

私は四半期ごとに経営会議で時間をもらっていて、そこでセキュリティにまつわる外部環境、内部環境など、経営層に知ってほしいこと、理解してもらいたいことを話しています。また、そのほかに月1回、代表取締役社長が委員長を務める情報セキュリティ管理委員会でも話をする機会があります。この委員会で議論されたことは経営会議にも報告されています。委員長の岡村（信悟）社長は気さくな人で、私は気になったことがあると社長にSlackで質問したり、委員会で議論したいことを対面で擦り合わせたりしています。経営層とも密にコミュニケーションがとれていると思います。本年度からは月次経営会議にも出席することになりましたので、よりコミュニケーションを図っていきたいと考えています。

先ほど、2023年度までの3か年計画についてお話しいただきましたが、2024年度からの新たな3か年計画は、どのようなものになりそうでしょうか。

まず2023年度までの3か年計画では、6つの柱を立てていました。

次の3年は、項目をもっと集約したいと思っています。まず多様化してきたグループの事業に柔軟に対応するための「プリンシプルベース（※）のプライバシーとセキュリティガバナンス」をつくりたいと考えています。2つ目はプリンシプルベースでありつつも安心・安全を担保する「プロダクトに安心・安全の付加価値を」、3つ目に「セキュアな社内インフラの提供」、そして「セキュリティの調査・研究・追求」の4つです。4つ目は、セキュリティ人材への投資や、新技術のセキュリティ的な観点からの調査を行うという意味です。

採用面接では、事業に関する話をしてほしい

セキュリティ人材への投資という話がありましたが、採用にあたってはどのような人を求めていますか。

採用するポジションによっては、高度なセキュリティやプライバシーに関する知識を持っていてもらいたい、という思いもありますが、それよりも大事なのは、当社のミッションやビジョンに共感して、それらを体現できる人かどうか、採用ではここに一番注意を払っています。

どれだけセキュリティについて知っていても、セキュリティは会社を成長させる道具にすぎません。当社で一緒に働くうえでは、事業成長に意識を向けられることが前提になります。面接でも、事業に関する話、たとえば「こういう事業をやっているからこそ、こういうセキュリティ業務をやっていきたい」といった熱量を感じられると嬉しいです。

現状、セキュリティ部における新卒・中途の採用方針やメンバー構成はどうなっていますか。

ガバナンスや教育など文系的な仕事の多いセキュリティ推進グループは、基本的に中途採用のメンバーで構成しています。一方のセキュリティ技術グループは、ほぼ毎年新卒採用者を配属しています。昨年度に入社した2人は、もう1人で脆弱性診断を任せられるくらいになっています。

入社後は、中途採用者にはすぐに実務に入ってもらい、新卒採用者には座学・OJTによる教育を行っています。たとえば、セキュリティ技術グループでは、研修用サイトの中にわざと仕込んだ脆弱性を発見させたり、実際に先輩社員と脆弱性診断に入ってもらったりと、小さなところから始めて成功体験を積んでいき、ある程度のレベルに達したと判断できたら独り立ちしてもらいます。個人的に、人が育つためには、座学だけではなく、それ以上に体験が重要だと思っています。そのため、伸ばしたいと思っているスキルや担当したい業務を1 on 1等で聞いたら、なるべくそれに合わせた仕事をアサインするようにしています。

大きな会社だと、新卒研修以降も、中堅研修、マネージャー研修のように、役割に応じて体系的に学んでいくケースがありますが、当社にはあらかじめ決められた研修ステップはありません。その代わり、有志が開催する勉強会や動画配信が会社の中で溢れていますし、セキュリティ部でも外部企業によるオンラインコースを用意しています。「Delight」を届けるために、自分は何をすべきか考えられる人にとっては、学ぶための環境がたくさん用意されていますし、実務経験が積める場も豊富です。

評価についてはどのような基準を設けていますか。

DeNAグループは全社で、成果評価と発揮能力評価の2つの評価基準を設け、半期単位で評価しています。成果評価は、部門の成果に対して個人の貢献具合を見るわけですが、大事にしているのは、個人目標をどう設定するか、です。簡単に達成できるような目標ではなく、ある程度、高みを目指したものにしないと事業や個人のプラスになりません。また、目標に辿り着くまでの道のりも大事です。そこで評価期間内に少なくとも2回、期初の目標とその進捗を鑑みて、マネージャーと目標達成に向けたコミュニケーションをとる機会を設けています。

発揮能力評価というのは、目標達成のためにどういう能力を発揮したかを見るものです。目標を達成できても「たまたまできました」では能力を駆使して結果を出したと言えません。たとえば、「プリンシプルベースのセキュリティルールをつくる」といった目標を掲げたとき、スケジュールどおりにできたかはもちろんですが、「プリンシプルベース」であることを実現するためにどういう能力を使い、活動したかが重要なポイントになります。もし事業部側の意見を聞かずに独断でつくったものだったとすれば、十分な能力発揮とはいえません。

社外との交流が、グループや業界のセキュリティ強化に繋がる

他社や他団体との交流も盛んに行っているようですが、その狙いや、外部との情報発信・情報共有で特に注力していることがあれば教えてください。

井の中の蛙になりたくないんです。セキュリティは1社で取り組むには限界があり、業界で連携して取り組むべき問題だと思っています。当社から情報やナレッジを発信して、外からも情報をもらう、このコミュニケーションサイクルが結果的に当社のセキュリティ、ひいては業界のセキュリティの強化になると考えています。メンバーに対しても、そのために外部とコミュニケーションをとるように言っています。特に、当社が幹事会社を務める日本シーサート協議会（NCA）は、加盟組織が多く、様々なワーキンググループもあるので、コミュニケーションのきっかけをつくるには最適だと思っています。

私自身も、日本シーサート協議会で法令関連のワーキンググループに入っていて、他の加盟企業の方々とプライバシー対応に悩まれている企業が活用できるようなプライバシーガイドラインをつくっているところです。そうした活動をしているといろいろな繋がりができますし、当社以外におけるセキュリティ活動について考えることもできます。社内だけでは経験できない活動が人を育て、ひいては会社が強くなっていくことに繋がるものと考えています。

最後に、セキュリティ部としての今後の展望をお聞かせください。

これまでのセキュリティ戦略は、どちらかといえば「セキュリティ部の活動方針」をグループ内に向けて情報発信する色が強いものでした。一方、今期に策定した2024年からの3か年計画は、これまで以上に経営戦略との整合性を持たせたものにしています。

企業の多くの資産がデジタル化されている現代において、サイバー攻撃への対策はまさに経営課題です。だからこそ経営戦略とセキュリティ戦略をしっかり整合させなければなりません。会社が特に伸ばしていきたいところをきちんと意識したセキュリティ、安定期を迎えている事業については安定期にあったセキュリティ、というように、各事業のフェーズごとに、経営とセキュリティの戦略を合致させていきたいと思っています。

企業のセキュリティ組織は、企業のミッションに沿うこと、これが一番大事だと思っています。セキュリティだけを突き詰めるのなら協力会社にアウトソースすればいいわけで、私たちが事業会社のセキュリティ組織として取り組むべきは、あくまでもDeNAグループの事業を成功させるためのセキュリティ・プライバシー戦略であることを、強く意識していなければならないと考えています。

（取材・文：渡邊智則、写真：岩田伸久）