SOMPOホールディングス IT企画部（前編） – 独自の“CoE体制”と定量指標でグループのセキュリティを守る

専門性が高いセキュリティ人材をホールディングスに集める「CoE体制」

IT企画部は5つのユニットから構成されているということですが、みなさんが所属するユニットとその役割について教えてください。

堀米氏：
私が所属するプロダクティブ・ソリューション・ユニットでは、グループ横断で利用するサイバー共通基盤の構築、サーバやネットワーク機器類の脆弱性調査、メールセキュリティをはじめとするソリューションの展開などを行っています。また、グループ各社のIT担当者にセキュリティに関するノウハウを提供したり、現場での困りごとの解決を支援したりもしています。

喜多村氏：
私はリスク&ガバナンスユニットを管轄しています。あらゆるIT領域におけるリスク管理やガバナンスを担当していますが、特に注力しているのはサイバー領域です。当社独自のメトリクス（指標）を用いてリスクや対策状況の可視化を行い、グループ全体としてのセキュリティ戦略を策定するのが仕事です。各種ポリシーやガイドラインも私のユニットが策定しています。

岡田氏：
サイバー・コントロール・ユニットのマネージャーを務めています。サイバー攻撃からグループ全体を守る活動がメインです。SOC（Security Operation Center）、CSIRT（Computer Security Incident Response Team）、脅威インテリジェンス機能を備え、有事にはグループ会社の対応をサポートする役割を担っています。そのほか、社員、IT担当者、経営層にサイバーセキュリティの教育・啓蒙を行うのも仕事です。サイバーディフェンスに関する業務を網羅したユニットといえます。

李氏：
私が所属するサイバー・テック・ユニットには、専門性の高いサイバーセキュリティエンジニアが集まっており、ペネトレーションテスト（実システムへの侵入を試みて脆弱性をあぶりだす手法）や各種セキュリティテストなどを行っています。岡田のユニットが「守り」を担うのに対し、私のユニットは「攻め」のセキュリティを担当しているといえるでしょう。

喜多村氏：
ユニットとしてはもう1つ、サクセス・サポート・ユニットがあります。こちらはグループ会社とのコンタクトポイント、フロントオフィス的な存在で、グループ各社に在籍するIT・セキュリティ担当者と日々やりとりしています。私たちが実施するセキュリティ関連施策やサービスなどを展開する際には、このユニットを通して行います。

各ユニットを束ねる「ステアリング・コミッティー」という組織の体制と役割をお聞かせください。

喜多村氏：
ステアリング・コミッティーは、IT企画部の部長と私たち各ユニットのリーダーの計６人が参加するものです。週1回ミーティングを行って、セキュリティ領域に限らず、戦略立案、要員・予算のリソース管理、戦略遂行まで、あらゆることを協議・議論しています。他社では部長や役員がトップダウンで動かす方法をとっているところもあるようですが、当社では、専門性が高い人材をSOMPOホールディングスのセキュリティ組織に集める「CoE（Center of Excellence）体制」をとっており、その方針についても、基本的に各リーダーが中心となり主体的に決めるような形としています。

意思決定の場としてはほかに、この4人によるセキュリティに特化した定例会も開催しています。議題は幅広く、セキュリティ教育の内容から最新のテクノロジーの動向に至るまで、あらゆるものを含みます。導入を検討しているツールや実施予定の施策が生む価値や費用対効果などを話し合い、採用・実施するか延期するかをその場で即断することもあります。セキュリティを取り巻く環境は常に変化することから、年初に決めた予算を予定に沿って使えばいいというわけではありません。その時々の状況にあわせて柔軟にアレンジしながら対策しています。

サイバーセキュリティへの経営陣の理解を得て、3年で5人から約30人に増員

現在の体制になった経緯を教えてください。

喜多村氏：
2020年に策定された中期経営計画で、「クラウド」と「サイバーセキュリティ」が2大重点領域として定められ、2021年には「サイバーセキュリティリスクを重要な経営課題として認識する」という一文を入れたサイバーセキュリティ基本方針を策定しました。組織を守るためだけでなくビジネスを成長させるためにも、サイバーセキュリティへの投資が経営課題であると経営陣に理解してもらえたことで、私たちの活動へのバックアップも得られるようになりました。

またグループ各社に円滑にセキュリティサービスを展開するためには、当社とグループ会社とのあいだで互いに役割や責任を明確化し、連携しやすい環境をつくっておくことが一番のポイントです。そこで、インターネットとの接点の安全管理（境界防御）やセキュリティ教育など、グループ内で共通しており一元化できるものは私たちSOMPOホールディングスが担当し、グループ各社には、自社事業で使うサーバや端末の適切な管理、脆弱性診断など、各社にしかできないことにフォーカスしてもらうことにしました。これがCoE体制をとることになった背景です。

2020年の中期経営計画前にはサイバーセキュリティ関連要員は5人ほどでしたが、専門集団として価値を提供するために必要な人材を積極採用し、現在では約30人にまで増員しました。

定量的にグループ各社の状況を可視化する、独自の指標・調査項目を作成

独自のサイバーメトリクスを用いて、リスクや対策状況の可視化しているということでしたが、具体的にどのような指標を用いているのでしょうか。

喜多村氏：
一般的に、セキュリティ対策状況の確認は、「端末にセキュリティツールを入れていますか？」「インシデント対応策は十分に検討されていますか？」といった定性的な設問に回答してもらうセルフアセスメント形式で行うことが多いと思います。ただ回答に主観が入ってしまうと正確な状況が把握できません。そのため当社では、グループ各社のセキュリティ対策状況を「定量的に」測定するための指標を採用することにしました。

まずNIST（米国立標準技術研究所）や国内各省庁が出しているガイドラインを参考に、当社独自の管理対象項目を策定しました。「経営陣のセキュリティへの関与」から「端末の管理方法」まで、ありとあらゆるカテゴリーを網羅して、いわば「取り組むべきことリスト」として整備したものです。

そして、そのなかの重要な項目については、グループ各社の取り組み度・達成度を数字として把握するようにしています。たとえば「全従業員のうち、サイバーセキュリティ研修に参加したのは何％、研修後の試験に合格したのは何％」という具合です。端末の脆弱性診断やペネトレーションテストの実施率などといった情報もすべて数値化し、一定のロジックでスコアリングしてレポートとして出すのです。

これによって各社の実態がより客観的に可視化され、各社で特に手当が必要な領域が浮き彫りになりますし、取り組んでいるつもりで実は基準に達していない事項があることなどもわかるため、具体的な対策を検討できるようになります。さらに統一的な基準で評価を行うことで、業界水準と比べた各社の位置付けや、強みや弱みが見えてくるので、投資すべきポイントも明らかになり、費用対効果の確認にもつながります。

最初の1年は調査項目・指標づくりに注力しましたが、継続的にプログラムの見直しも行っています。たとえば、当初の調査項目数は約50でしたが、2年目には項目を追加して100項目ほどにしました。ただしその効果に対して各社の回答にかかる負担が増えすぎてしまうことがわかり、いまは70項目程度としています。半年後、1年後に見直すときには、セキュリティのトレンドや当グループを取り巻く環境の変化を踏まえて、また拡大や絞り込みが必要になるかもしれません。

最初から完璧なフレームワークを構築しようとするのはハードルが高いですが、つくりながらベストなものに近づけていけばいいと考えると、取り組みやすくなりそうですね。後編では、専門性の高いセキュリティ人材の採用や、働く環境に関する取組みについて伺いたいと思います。

関連する記事

SOMPOホールディングス IT企画部（後編） – 採用はグループのパーパスと応募者の目標の合致を重視

（取材・文：渡邊智則、写真：岩田伸久）