大量発生するセキュリティアラートへの対応に追われて疲弊していく現場――。多くのセキュリティ部門が直面している課題だが、NTTコミュニケーションズの情報セキュリティ部も同じだった。そこで取り組んだのがセキュリティ運用のDX。主導したのは、東京オリンピック・パラリンピック競技大会組織委員会への出向から戻ってきたばかりの男だった。NTTグループの上級セキュリティ人材を紹介する連載「＜サイバーセキュリティ戦記＞NTTグループのプロフェッショナルたち」の第15回は、NTTコミュニケーションズ 情報セキュリティ部の大西真樹を紹介する。
NTTコミュニケーションズの情報セキュリティ部、別名「NTT Com-SIRT」――。
約4年間の出向を終え、“古巣”に戻ってきた大西真樹を待っていたのは、以前にも増してセキュリティアラート対応に追われる同僚たちだった。
帰任した大西がリードすることになったNTT Com-SIRTのセキュリティオペレーション部門 第１グループは、次の3つの業務を主に担っている。
1つめは脆弱性管理だ。発見された脆弱性に対して、きちんと対応できているかどうかをモニタリングし、リスクを可視化する。
2つめは、導入している各種セキュリティツールから発せられるアラートへの対応である。
そして3つめが、帰任した大西が主導するセキュリティオペレーション部門全体のDX（デジタル変革）となる。
大西が出向していたのは、東京オリンピック・パラリンピック競技大会組織委員会（以下、東京2020組織委員会）。世界的祭典をサイバー攻撃から守り切り、大きな達成感に包まれながら帰ってきた大西だったが、実は1つだけやり残したことがあった。
セキュリティインシデント対応の自動化である。
「セキュリティの仕事は絶対になくならない」
大学院で情報ネットワークを学び、2000年にNTTグループに入社した大西。セキュリティの仕事には、支店での新入社員研修を終えた後、すぐに出会った。最初の本配属先となった研究所でファイアウォールやDDoS対策システムの研究開発に従事しながら、「セキュリティはこれから絶対に伸びるし、セキュリティの仕事は絶対になくならない。自分の社会人人生を賭けていいかもしれない」と思ったという。
研究所を離れると、セキュリティの仕事からも離れるが、思いはどうしても消えない。そこで大西は思い切った行動をとる。NTTグループの別会社に応募できるジョブチャレンジ制度を利用し、NTTコミュニケーションズのセキュリティマネジメント室、現在のNTT Com-SIRTへ転籍したのだ。
セキュリティ業務の重要性の高まりを背景に、今では100名を超える人員規模となっているNTT Com-SIRTだが、大西が加わった2006年当時はわずか7名。大西は多岐にわたる業務を任された。
例えば、NTTグループの主要会社初のBYOD導入のためのルール作りだ。企業情報化協会のITマネジメント賞も受賞した。
社内啓発用のビデオ制作も思い出深い仕事の1つだ。社内外で実際に起こったセキュリティインシデントを題材にしたビデオで、当時の課長と2人、制作会社を探すところから始めた。
「事故が起きると、再発防止のため新しいルールが作られますが、なぜ守らないといけないのか――。社員からすると、セキュリティに関するルールには分かりにくい面があると思います。そこで、なぜこのルールができたのかなどを、ドラマ仕立てで説明することで、社員みんなに『自分事』として理解してほしいと考えました」
ドラマ仕立てのビデオは、狙い通りの効果を生み、社員からも好評を博した。さらに元々は社内用だったが、グループ会社や顧客企業でも活躍したという。NTT Com-SIRTは、顧客企業のセキュリティ担当部署との情報交換の場を不定期に設けている。そうした際にビデオを観た顧客から「貸してくれないか」「販売してほしい」といった要望が寄せられたからである。大西は毎年1本のビデオ制作を約10年続けた。
