CASE STUDIES

同社がセキュリティ対策の見直しに着手したきっかけの一つが、取引先から求められたセキュリティ監査への対応でした。監査は定期的に実施されており、その中でより高いセキュリティ水準への対応が求められるようになり、こうした外部要求に応えるだけでなく、自社の事業継続体制を強化する観点からも対策の必要性が認識されていきました。「中小のサプライチェーンを取り巻くサイバー攻撃リスクの高まりも背景となり、従来の対策のままで十分なのかという課題意識が社内で共有されていきました。」(藤原氏)

こうした流れを受けて、同社ではまず自社内でのセキュリティガバナンスを明確化するため、基本方針や運用ルールを体系化したセキュリティ規程の整備に着手しました。従来は各部門ごとの個別対応に依存していた部分も多く、統一された判断基準や対応プロセスを整えることで、全社的なリスクマネジメントの強化を図る狙いがありました。さらに、対策の水準を客観的に評価・向上させるため、経済産業省が提示する「サイバーセキュリティ経営ガイドライン」や評価基準も参照し、自社として目指すべきレベルの定義を検討。その結果、現実的かつ実効性のある目標として、同基準におけるレベル3相当を当面の到達点に設定しました。これは単なる形式的な対応にとどまらず、インシデント対応力や継続的な改善プロセスまで含めた“実装されたセキュリティ”を意味します。このように、外部からの要求を起点としながらも、自社の成長と持続的な事業運営を支える基盤とてセキュリティを再定義する動きが、本格的に進められていきました。

製品選定において重視されたのは、機能だけでなく運用負荷とのバランスでした。同社の情報システム運用は実質1名体制で担われており、高度な専門運用を前提とした製品では継続的な活用が難しい可能性がありました。そうした中で提案されたのがCybereason Simple Security。必要な機能を備えながらも、無理なく運用できる構成である点が評価されています。加えて、限られたリソースの中でも安定的に運用を継続できる点も大きな決め手となりました。

今回の導入は単なる製品更新ではなく、今後のセキュリティ強化に向けた基盤整備として位置付けられています。サプライチェーン全体で求められるセキュリティ水準は今後さらに高まることが想定される中、同社では段階的に対策範囲を拡張していく方針。現場運用と両立できる形で対策を進めることで、継続可能なセキュリティ体制の構築を目指しています。「弊社では技術対策に加えて、社員一人ひとりのセキュリティ意識向上も重要なテーマとして認識しています。工場内でのタブレット活用など業務のデジタル化が進む中、利便性向上と同時に新たなリスクへの対応も求められるようになっていて、そのため今後は教育や啓発活動も含めた総合的なセキュリティ強化を進めていく方針です。」(藤原氏)