S&Jの対応によりセキュリティ基盤構築と実施計画を実現
自社だけでは難しいセキュリティ対策と運用

企画本部情報システム部情報システムG
課長 工藤 敏成様

貴協会と情報システム部の業務について教えてください

一般財団法人東北電気保安協会 工藤 敏成様（以下、工藤）東北電気保安協会は、住宅や商店などの電気の安全を診断する「調査業務」(登録調査機関)、工場やビルなどの電気設備の保守点検を行う「保安業務」(電気保安法人)、電気を安全にお使いいただくめの「広報業務」、これら3つの業務を提供する一般財団法人です。東北6県と新潟の7県を管轄しています。

当協会の情報システム部では、人事労務など各種業務システム、機器の更新計画立案、開発、保守、運用、加えて情報セキュリティの運用や指導まで行っています。

サイバーセキュリティ対策強化として、どのようなことから検討を始めましたか？

高橋先述した経済産業省のメッセージのなかで、「サイバーセキュリティお助け隊サービス」などの支援パッケージを活用することも推奨されていました。これがいい足がかりになりました。

セキュリティ対策強化にSOCやCSIRTが有効であり、当協会のように専門知識や人員的にも難しいなら、外部サービスを活用するという方法もあるとのことでした。ここからSOCやCSIRTをキーワードに各種サービスを比較検討し始めました。

企画本部情報システム部情報システムG 小野 康享様

最終的にS&Jを選んだのはどのような理由からでしたか？

高橋SOCやCSIRTでWeb検索すると、山ほどヒットします。自分たちだけではどの企業がいいのか判断できませんでしたので、NPO日本ネットワークセキュリティ協会（JNSA）や日本セキュリティ監査協会（JASA）などのサイトを通じて調査を進めました。

一般財団法人東北電気保安協会 小野 康享様（以下、小野）比較した項目はSOCの監視対象や対応時間、CSIRTインシデント対応や対応時間、加えて年額料金などです。違いが分かりやすいのは金額でしたが、SOCもCSIRTも初めて導入するため明確な基準がなく、金額だけでは決められませんでした。

高橋最終的にはWebサイトの分かりやすさやサービス提供範囲などで4社ほどに絞りこみました。そのなかでS&Jは守備範囲が広く、サービスの多様性があり、セキュリティ評価も実施しています。特にセキュリティ運用の土台作りの支援は魅力でした。

小野数社と相談を進めていくなか、S&Jは最後まで熱心に説明を続けてくれました。なかでもセキュリティ運用を「手段ありきで進めていくやり方でいいのでしょうか？」と問題提起してくれたことが印象的でした。もともとSOCやCSIRT支援サービスを要件として業者を探していましたが、「サービスを導入するだけでは万全ではなく、継続的に取り組む必要があります」との説明は説得力がありましたし、具体的に「こうすればいいですよ」とアドバイスもいただけて、信頼できると感じました。

企画本部情報システム部情報システムG 三浦 大介様

サービス導入して得られた効果や気づいたことはありますか？

一般財団法人東北電気保安協会 三浦 大介様（以下、三浦）EDRを導入してみると、頻繁ではないものの月に数回アラートが発報されている状況です。アラート内容についてS&Jに問い合わせると、例えば「この内容なら攻撃ではないので問題ないです」と解説してもらえるので安心できます。

セキュリティ評価の結果は、おおよそ初回評価時の平均的なスコアでした。自分たちが気づかなかったところも含めて、中長期的に対策が必要なところを指摘していただけたので、優先順位が高いものから順次実施していこうと考えています。

高橋それらの結果には、必要な対策が優先順位別にリスト化されていただけではなく、必要な工数の見積もりも添えてあったのがよかったです。対策を施すなら人員を割り当てないといけませんが、どれくらい必要か分からないと計画が立てにくいですから。工数は一般的な環境における目安ですが、参考になる情報でした。

セキュリティアドバイザーも含めて、各種サービス導入を通じて効果や変化はありますか？

高橋月次定例ミーティングはまだ3回目です。直近のセキュリティに関するトレンドやニュースなどを紹介してもらい、知識が増えてきています。

三浦思ったより運用の手間が増えておらず安心しています。EDRを導入したらいろいろな手間が増えるかと覚悟していましたが、アラートが発報されたら問い合わせして、結果を見て終わるということが多いです。作業があっても「過検知なのでホワイトリストに登録」といった程度のものです。

今後の展開や展望について教えてください。

一般財団法人東北電気保安協会 本部

三浦中期的には、セキュリティ評価で指摘いただいた対策を順次進めていく予定です。加えて、社内のCSIRT構築、特にインシデント対応を中心とした体制づくりに向けて専門家からのアドバイスをお願いしたいと考えています。セキュリティ運用体制としては、技術的な改修・改善と運用の両輪で、S&Jにアドバイスをいただきながら徐々にレベルアップをはかっていきたいと思います。