はじめに
テクノロジー戦略本部セキュリティ部部長の松井と申します。
当社では今期、新たにセキュリティ部を設置し、私が本部長と兼務する形でその業務を担うことになりました。クラウドへの移行が進む当社にとって、セキュリティの強化はもはや単なる施策ではなく、事業継続を支える経営課題そのものだと考えています。
一方で、この領域を主導できる専門人材を確保することは、非常に難しく、その解決策を検討してまいりました。
本記事では、我々がこの構造的な課題をどう整理し、なぜクラウドセキュリティ基盤として「Wiz」への投資を意思決定したのか、その判断の道筋を共有させていただきます。同じ論点に向き合う方の一助になれば幸いです。
クラウドシフトに伴うセキュリティリスクの拡大
ここ数年、当社のシステムは着実にクラウドへ移行してきました。
クラウドがもたらすスピードと柔軟性は、事業の競争力に直結しています。しかし同時に、守るべき領域は静かに、そして確実に広がり続けます。一つの設定、一つの権限が、意図せず外部への入口になり得る。これは個別の過失というより、クラウドという仕組みが構造的に内包する性質です。
つまり、セキュリティの強化は「やったほうがよい取り組み」ではなく、クラウド活用を前進させる以上は避けて通れない要請でした。セキュリティ部の設置は、その要請に対して組織としての必然的な対応でした。
ただ、部を置くことと、運用を継続的に機能させることはまったく別物です。 これを確実に機能する部門とするための取り組みが必要です。
構造的な課題 ― 「人」に依存する運用の限界
立ち上げに際してまず直面したのは、単なる人手不足では片付かない、構造的な課題でした。
- クラウドセキュリティを統括できる専門人材は、採用市場に極めて乏しい
- 仮に採用できても、市場の需給から定着・維持のハードルは高い
- 結果として運用が特定個人に依存し、「見る・判断する・改善する」というサイクルそのものが回らない
各種調査でも、必要な人材を確保できないと回答する企業が大半を占めます。これは当社固有の問題ではなく、業界全体が同じ制約の中にある、という認識です。
加えて、各クラウドが備える標準的なセキュリティ機能だけでは、マルチクラウドを横断したリスクの関連性分析や、攻撃経路の可視化までは踏み込めません。守りの巧拙を一人の専門人材の練度に委ね続けることは、属人化という別のリスクを抱え込むことに等しい。ここを起点に、我々は問いを立て直しました。
専門人材の採用に投資し続けるのか。それとも、その判断業務の多くを仕組みで代替し、少人数でも持続する運用基盤に投資するのか。
出発点は「どうありたいか」 ― 目指すセキュリティ成熟度
ここで我々が意識したのは、順序です。ツールの検討から入るのではなく、まず「自分たちはどうあるべきか」を定義することから始めました。
目指したのは、特定の誰かの練度に依存せず、事業のスピードを落とすことなく、リスクを継続的に可視化し、評価し、是正できる状態。そして一度の対策で満足せず、組織としてのセキュリティ成熟度を、段階的に引き上げ続けられる状態です。
ゴールは「脆弱性をゼロにすること」そのものではありません。リスクと向き合うサイクルが少人数でも自律的に回り、回るほどに組織の練度が上がっていく。そうした仕組みを根づかせることこそが、本当に成したいことでした。
この姿を先に定義したことで、手段に求める要件は自然と定まりました。
- 数多の指摘の中から、本当に向き合うべきリスクを見極められること
- 見つけて終わりにせず、是正までを一貫してやり切れること
- 判断を担う人材が限られても、その質を保ち、補えること
- 一度の導入で固定化せず、成熟度の向上に合わせて伸ばしていけること
ツールの選定は、この要件をどれだけ満たせるかを確かめる作業にすぎません。「何を導入するか」ではなく「どうありたいか」が先にあると考えています。
その姿を実現する手段としてのWiz
この要件を満たす基盤、すなわち人から仕組みへとセキュリティ運用を移していける土台を探す中で、しばらくは確信の持てるものに出会えずにいました。 そうした中、昨年秋ごろに出会ったのが、CNAPP（Cloud-Native Application Protection Platform）と呼ばれる領域の製品の一つ、Wizでした。
Wiz（ウィズ）
機能の説明やハンズオンを受ける中で、脅威とイシューという考え方、イシューに対する修正のアドバイスやワークフロー、直感的な操作性やマルチクラウド対応に引き込まれるものがありました。
専門人材を一名採用できたとして、広範なクラウドのセキュリティを属人的に任せることはリスクであり、かつスケールしないと考えていました。それに対し、Wizを活用することで、専門人材を一名採用・維持するコストやその実務作業コストに比べ、より広い範囲を、より持続的にカバーできると感じました。
もちろん、手段ありきで飛びついたわけではありません。ガートナー社へのインクワイアリで市場とCNAPP領域の動向を確かめ、複数の選択肢も同じ基準で比較しています。ただ、終始ぶれなかった判断の軸は、コストの多寡ではなく「先に定めた“目指す姿”に、最も近づけてくれるのはどれか」でした。
その問いに照らしたとき、Wizは挙げた要件をいずれも高い水準で満たしていました。目指す姿に引き寄せて、特に評価したのは次の3点です。
1. 可視化にとどまらず、リスクを「評価」して提示する
状態を可視化するツールは数多く存在します。しかし、可視化された数千の指摘をそのまま渡されても、少人数の体制では消化しきれず、かえって優先順位を見失います。
Wizは、設定・権限・脆弱性・公開状態といった個別の情報を「Security Graph」として一つに統合し、実際に悪用され得る危険な組み合わせ（Toxic Combination）を、優先度の高い順にリスクとして提示します。
すべてを等しく警戒するのではなく、いま最も対処すべき一点から着手できる。この「評価された状態で渡される」という設計が、最初の決め手でした。
2. 修正の指示からワークフローまでを統制できる
リスクが特定できても、誰が・いつ・どう是正するのか、その実行が回らなければ意味を持ちません。現場が滞留するのは、たいていこの是正フェーズです。
Wizは、検出した課題に対して是正方針を示し、対応状況をワークフローとして管理します。検出から解決までが一本の線で統制される。発見は終点ではなく起点であり、その起点から終点までをプラットフォームとして担保している点は、運用を継続させるうえで本質的な価値だと評価しました。
特に内製エンジニアや外部ベンダー、CCCグループのIT基盤など多岐にわたる部門と対応を協議する際に、対応ガイドを示せることは、コミュニケーションコストの負担を抑え、対応スピードを上げる重要な機能だと考えました。
3. AI（MikaAI）が是正の妥当性まで検証する
責任者の立場として最も重視したのが、この点です。
Wizに搭載されたAI「MikaAI」は、是正方法そのものの妥当性を検証します。その対処が適切か、副作用を生まないか ―― 本来は熟練したエンジニアの判断を要する領域を、AIが補完する。判断を担える人材が限られる体制において、この検証機能の有無は、運用の質と継続性を大きく左右します。
可視化し、優先度をつけて評価し、是正のワークフローを統制し、その妥当性までAIが検証する。ここまでが一気通貫で揃って初めて、「少人数でも持続的に機能する運用基盤」という構想が、我々が目指した姿が、実現できる手ごたえを感じました。
リスクの可視化を、どう位置づけるか
導入を進める過程で、組織としてのリスクの捉え方を一段整理する必要がありました。
可視化を進めれば、これまで認識されていなかった課題が表面化します。当初は想定以上の指摘が並び、決して心地よいものではありません。しかし冷静に捉え直せば、これは後退ではなく前進です。
見えていないリスクは、統制できません。見えたリスクは、優先順位をつけて是正できる。可視化された脆弱性のリストは、当社の欠点を並べた台帳ではなく、「これから改善し、統制下に置いていける対象」を明示したものです。リスクを直視できる状態をつくること自体が、セキュリティガバナンスの出発点だと位置づけています。
これから ― Critical / High のゼロ化に向けて
導入はゴールではなく、運用の起点です。 我々はここから、段階的に運用を成熟させていきたいと考えています。
当面の目標は明確で、Critical / High に分類される重大リスクの解消、そしてその状態の維持です。一度に完璧を目指すのではなく、事業へのインパクトが大きい領域から着実に、少人数でも継続できる形を目指していきます。
セキュリティ関連の取り組みは、どちらかというと暗い話や地味に映る取り組みが多いと感じています。
そのような中で、導入前後でユーザー会に複数回参加させていただきましたが、どの企業の方もWizという製品を通じて、セキュリティの向上に確かな手応えと、それらの取り組みにより、企業として自信をもって安心したサービスを提供できることを誇りに思われてるように感じました。（ユーザー会に参加される時点でモチベーションが高く、Wizに好意的な方が多いのは当然ですが）
我々も、共有に足る知見が蓄積された段階で、あのユーザー会の皆さんのように、自分たちの成果を誇らしげに語れるようになりたいと改めて感じ、少しでも早く運用を軌道に乗せ、この場で続報をお伝えしたいと考えています。
最後に。 本記事が、クラウドセキュリティの課題に向き合う方々にとって、議論のきっかけや何らかの参考になれば幸いです。
