ビジネス視点で分かるサイバーのリスクとセキュリティ

グローバル展開する企業が抱える「最大の脆弱性」への解決策

染谷征良 (パロアルトネットワークス)

2023-07-14 06:00

 本連載は、企業を取り巻くサイバーセキュリティに関するさまざまな問題について、ビジネスの視点から考える上でのヒントを提供する。

 ここ最近は、ランサムウェア被害を中心に日系企業のセキュリティインシデントが後を絶たない。中でも顕著なのが、海外子会社での被害や海外子会社を経由しての国内での被害だ。グループ全体でのシステムやデータ連携が行われる中で、サプライチェーンリスクや地政学リスクを背景に、これまで以上に懸念が高まっている。今回は、日系企業の“最大の脆弱性”とも言える海外拠点におけるセキュリティの問題点と解決に向けたヒントを考察する。

 セキュリティに関して日系企業を最も悩ませているものの一つが、俗にいうグローバルガバナンスだろう。セキュリティやコンプライアンスの責任者にとっては、以前から課題意識を高く持っているテーマの一つだ。特に最近では、コロナ禍と相まって海外拠点でセキュリティインシデントが発生していることにより、業種を問わずグローバルガバナンスに対する温度感が確実に変化している。

本社と海外拠点でセキュリティがバラバラな理由

 海外拠点のセキュリティ強化を阻害する課題が幾つかある。中でも顕著なのが、海外子会社でのセキュリティ対策の不履行や別の対策を行っているパターンだろう。現地担当者から「本社の指示通りに実装した」と報告を受けていたにもかかわらず、セキュリティインシデントの発生を受けて現地に赴くと、実態が全く違っていたという経験を持つセキュリティ担当者は多いのではないだろうか。こうしたことは地域差や個人差はあるものの、仕事に対する社会的通念の違いによって引き起こされる傾向にある。

 本社で採用している方針やセキュリティベンダー、ツールを海外子会社が納得しない場合には、現地で独自にツールを調達することになり、グループ全体で見た時には、いびつなセキュリティ対策になっているケースが特に多いだろう。全体方針に関する意思疎通が機能していなかったり、海外拠点の声が大きかったりする場合に、この問題は顕著になる。

 セキュリティ運用を自社で行う、あるいは外部に委託するという違いも恐らくあるだろう。日本では慢性的なセキュリティ人材の不足やベンダー就職率の高さから、セキュリティ担当者を十分に確保できている企業が決して多くはない。結果的に、セキュリティベンダーやシステムインテグレーター(SIer)、コンサルティング会社への依存度が高くなっている。逆に欧米の場合は、ユーザー企業がセキュリティ対策を自社で構築、運用していることが多く、比較論にはなるが、セキュリティ人材不足の問題が日本ほど深刻ではない。国内本社よりも海外拠点のセキュリティチームの方が高い知見を持つ場合には、特に反発や摩擦のような形で、国内本社とは異なるツールが独自に調達されることになる。

 マネジメントスタイルの違いも影響を及ぼしているだろう。欧米に本社機能がある企業では、ITやセキュリティに限らず、さまざまな業務領域で本社の方針が実装されることが一般的だ。逆を言うと、各拠点や担当者の独断が許されないことになる。だが、日本では調和を重んじるが故に、本社側で定めたポリシーの実装を強制しにくいという問題もあるだろう。

 言語的な問題もあるが、コミュニケーション不足やそもそもコミュニケーションパスがないといった問題もある。海外子会社はおろか国内の子会社でさえ現地責任者や担当者と会話したことがない、あるいは存在を分かっていても一度も会話をしたことがない、最悪の場合、誰が担当なのかさえ把握できていないといったケースもある。コミュニケーションする経路や手段が確立されていなければ、ガバナンスを効かせることは事実上不可能だ。

 結果的には、本社と海外拠点でセキュリティがバラバラの状態になってしまい、企業全体で見た時にいびつなインフラになってしまう。セキュリティ上の不備を抱える海外拠点がインシデントを経験した延長線上で、被害が国内の本社に及んでいるケースもある。国内外で共通のセキュリティになっていないだけでなく、海外拠点と国内本社をつなぐネットワークの部分でセキュリティチェックを行わないケースが多いからだ。従来の境界型防御の考え方がここにもまだ色濃く残っている。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. ビジネスアプリケーション

    改めて知っておきたい、生成AI活用が期待される業務と3つのリスク

  2. ビジネスアプリケーション

    ITR調査結果から導くDX浸透・定着化-“9割の国内企業がDX推進中も成果が出ているのはごく一部”

  3. ビジネスアプリケーション

    Google が推奨する生成 AI のスタートアップガイド、 AI を活用して市場投入への時間を短縮

  4. クラウドコンピューティング

    生成 AI リスクにも対応、調査から考察する Web ブラウザを主体としたゼロトラストセキュリティ

  5. セキュリティ

    初心者にも優しく解説!ゼロトラストネットワークアクセスのメリットと効果的な導入法

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]