お客様：株式会社ブレインパッド
事業内容：企業の経営改善を支援するビッグデータ活用サービス、デジタルマーケティングサービス
会社HP：https://www.brainpad.co.jp/
ご協力：
株式会社ブレインパッド 執行役員CIO 萩原匡勝 様（左）
株式会社ブレインパッド 情報システム部 リード 岩下 仁 様（右）
セキュリティインシデントの被害を最小限に抑えるうえで欠かせないのが、迅速な初動対応です。データ活用推進のパイオニアである株式会社ブレインパッド様は、社内で対応フローを整えてきた一方、夜間や土日・休日など業務時間外の対応に課題を抱えていました。そこで導入したのが、ＪＢサービスのセキュリティ事故受付代行サービスです。本記事では、同社執行役員CIOの萩原匡勝氏、情報システム部リードの岩下仁氏に、導入の背景や運用による効果についてうかがいました。
夜間や休日のインシデント対応に課題を感じていた
──まず、株式会社ブレインパッド様の事業内容をお教えください。
当社は2004年の創業以来、「データ活用の促進を通じて持続可能な未来をつくる」をパーパスに掲げ、データ活用のプロフェッショナルとして事業を展開してきました。現在は、専門人材によるプロフェッショナルサービスとSaaSによるプロダクトサービスの二軸で、お客様のデータに関する課題を解決しています。近年では、生成AIを活用したソリューションの開発にも注力しており、さまざまな業種と連携した、実用的なソリューションの提供を推進しています。
──貴社が抱えていた、情報セキュリティ上の課題についてお聞かせください。
社用PC・スマホ、社屋への入館証の紛失、資料の誤送信など、さまざまな情報セキュリティリスクがある中で、当社では以前からインシデントに対応するフローを整備していました。情報システム部で事故受付を行い、速やかに端末の使用停止措置などを行う仕組みでしたが、そこに課題がありました。部員が稼働していない夜間や土日、休日にインシデントが発生した場合、初動対応が遅れて重大な結果につながる可能性もあります。全社のガバナンス強化という観点でも、業務時間外の事故受付体制を整える必要がある一方で、従業員が24時間対応するのは難しく、課題感を持っていました。
──ＪＢサービスにセキュリティ事故受付代行を依頼した背景をお教えください。
当社役員が以前ＪＢサービスとお付き合いがあったことがきっかけでご相談しました。正直、どのように時間外事故受付のフローをつくっていくのか、私たちには明確なイメージがありませんでした。ただ、ＪＢサービスが複数の拠点を活用して24時間のサービス体制を整えていると聞き、「私たちに足りないピースを、この会社となら一緒につくれるんじゃないか」と感じました。
また、事故受付にとどまらず、ＪＢサービスには情報セキュリティ全般のノウハウがあります。実際に拠点を見学させてもらいましたが、館内のセキュリティが万全で、サービスをしっかり遂行できる企業だと感じました。また、災害など万一の事態への備えも含めて安心感があると考え、お願いすることにしました。
ＪＢサービスの伴走により、一元的な対応フローを構築
──ＪＢサービスからの提案内容はいかがでしたか？
私たちは、インシデント発生から初動対応までの時間を最小化することが、二次災害を防ぐために必須だと考えていました。ＪＢサービスからは、運用センター「SMAC」において、受付からデバイスのリモートロック・リモートワイプなど、一次対応をワンストップで行う提案をいただきました。これを分業するとなると、どうしても時間がかかってしまうので、一つにまとめてもらえたのが大きなポイントでした。
対応フローについても、ＪＢサービスと一からつくることができました。まずは、すべてのセキュリティインシデントのパターンを整理・分類。インシデントの中には、紙の資料の紛失などデバイスに関わらないものもあります。それらも含めてＪＢサービスが受け付ける、オールインワン・ワンストップの設計をしてもらえたのは大きなポイントでしたね。さらに、社内でのエスカレーションのフローまでインシデントごとに確立し、スマホや入館証の紛失から名刺などの紛失まで、すべてのフローについて丁寧にテストを実施。「本当にこのフローで回るのか」「どのくらいの時間がかかるのか」を確認したうえで、運用の準備を進めました。
壁にぶつかることもありました。入館証紛失時のフロー構築において、利用停止に必要なビル管理会社の端末への接続が、運用センターからは困難なことが発覚。しかしＪＢサービスの担当SEから、クラウドPC経由で接続するアイデアをもらい、無事に対応範囲に含めることができたのです。
当初は「決まり切ったサービスであれば実際の業務に合わず、後からさまざまな制約が出てくるのではないか」と考えていました。しかしＪＢサービスは、当社の企業特性やニーズを汲んだうえで、ユーザーファーストの業務フロー設計をしてくれました。標準化をしながら、必要な部分はアレンジ・カスタマイズする。そうした柔軟な提案をしてくれたのはありがたかったですね。
──導入にあたって、苦労した点はありましたか？
多くの個人情報を取り扱う事業特性上、社内からは「自社端末のリモートロックやリモートワイプを、他社に任せてしまってもいいのだろうか...」という意見も上がりました。ISMS認証・ITSMS認証を取得し、セキュリティの専門家も在籍しているＪＢサービスの堅牢な体制はもちろん、一緒にプロジェクトを進めていく中で醸成された信頼感があったからこそ、最終的には社内のコンセンサスが得られたのだと思います。
確実な事故対応に安心感 社員のセキュリティ意識も向上した
──実際に運用してみての感想をお聞かせください。
安心感がすべてですね。社内に誰もいない時間帯でも、セキュリティ事故対応がスピーディーかつ確実に機能していることは、企業経営に良い影響を与えています。
運用開始にあたっては、全社員に改めて「セキュリティファースト」の重要性を周知しました。せっかく優れた仕組みを構築しても、社員が報告してくれなければ機能しません。これは社内からのアイデアだったんですが、紛失時の連絡先を記したカードを作成し、社員に複数枚ずつ配布しました。これを各自がカバンや財布などに入れて、いつでも報告できるようにしたんです。報告の心理的ハードルを下げるためにも、メール・電話・そしてフォーム入力という複数のチャネルを用意しました。
運用してみて意外だったのは、フォームによる報告が比率として多かったことです。メールなどの場合「まずは謝罪から入らないと...。いや、まずは経緯を書いたほうがいいか」など、文面を思案するのに時間がかかってしまううえ、報告すべき情報が抜ける可能性もあります。フォームの場合は、項目ごとに入力を進めることで必要な情報が揃うため、スピーディーな報告につながっていると思います。インシデントに直面した社員が報告を上げやすいよう、ＪＢサービスの担当者とともにフォームの内容もさらに洗練させることができました。
──運用開始から1年が経ち、どのような効果を感じていらっしゃいますか？
24時間いつでも報告可能な仕組みになったことで、社員のセキュリティ意識が向上しました。たとえば社用スマホが見当たらなくなったとして、「隠そう」「自分でがんばって探そう」と考えるのではなく、とにかくスピーディーに報告する。そこから対応を進めれば、自分自身と会社を守ることにつながるという意識が浸透したと感じています。
また「紛失の際にはリモートワイプでデータが消えてしまう」と周知したことで、日々のデータ管理にも好影響がありました。個々の端末にデータを置いておくのではなく、きちんとバックアップを取り、共有ストレージにアップロードする文化が醸成されました。
幸い大きな事故は起こっていませんが、ＪＢサービスの対応スピード・品質には非常に満足しています。また、ＪＢサービスの担当者は、何か困ったことがあればすぐに相談できる存在です。一見実現不可能に思える相談でも、NOと言われたことはなく、一旦検討したうえで「こういう方法ならできるのではないですか」と提案をしてくれるのは頼もしいですね。
──最後に、ＪＢサービスへのご要望や、今後の展望についてお聞かせください。
今は、セキュリティインシデントが発生してからの対応をお願いしていますが、もっと視野を広げると、システムやPCへの攻撃など、情報セキュリティのリスクは他にもあります。もちろん当社でも検知・防御の仕組みを入れていますが、初動対策を含めて一元管理できるSOC運用体制を、ＪＢサービスとつくりたいと考えています。
ここまでくれば、ＪＢサービスはもうパートナーです。ビジネス展開の相談もできる存在ですし、ＪＢサービスの持つ強みを生かして、総合的なセキュリティ強化を進めていきたいですね。
