セキュリティ業界を横断して企業の課題を解決する団体「CSIJ」の取り組み

セキュリティコンサルティング部の藤原です。

2022年4月に発足した、サイバーセキュリティイニシアティブジャパン（以下、CSIJ）というセキュリティ団体をご存じでしょうか。実はラックもCSIJの幹事会員（理事に社長の西本、運営委員に執行役員の中間）として参加し、活動を行っています。

CSIJでは日本のサイバーセキュリティ環境を向上させるために様々な活動をしており、その中で私も携わっているCSIJの評価分科会の内容を中心に紹介します。

CSIJとは

CSIJは、昨今のDX推進の流れによる技術の急速な進展・環境変化とともに増大しているセキュリティリスクへの対策を推進することを目的として、2022年にNRIセキュアテクノロジーズ株式会社、グローバルセキュリティエキスパート株式会社、株式会社ラックの3社が発起人となって設立されました。

※ ラック、NRIセキュア、GSXが合同で「サイバーセキュリティイニシアティブジャパン」を設立

CSIJでは、特にクラウド、ゼロトラスト、IoT、サプライチェーン等の新領域に対するセキュリティの対応を、セキュリティ業界を横断して日本企業に向けた支援をしています。現在、発起3社以外にも多くのセキュリティビジネスに関わる会員企業が参加し、活動を盛り上げています。

CSIJの活動は、評価分科会と人材分科会の2つの分科会にて、これからのデジタル社会に必要となる「セキュリティ対策」「セキュリティ対策・実装人材の輩出」にむけた各種フレームワークを策定し、会員企業に提供しています。

評価分科会

評価分科会は、サイバーセキュリティの共通対策フレームワークの策定と、安全な運用の維持を目的として発足しました。現在は主に、後ほど紹介するクラウド環境の共通評価フレームワーク等を策定し、顧客企業のセキュリティ対策状況を可視化することで、セキュリティ対策の向上につなげる活動をしています。

人材分科会

人材分科会は、セキュリティ業務に携わる人材の育成に貢献し、慢性的なセキュリティ人材不足を解消することで安心・安全な社会を築くために活動しています。現在は主に、クラウドエンジニアやIoT技術者等、新領域のセキュリティ人材に対して必要なスキルセットの策定に取り組んでいます。

セキュリティの課題を可視化できる共通評価フレームワーク

CSIJでは、企業のセキュリティ対策状況を可視化する簡易チェックシートを、共通評価フレームワークとして無償で公開しています。

「セキュリティ対策をしたいが、どこから手を付けて良いかわからない」、「クラウドを利用し始めたが、安全に使うにはどうすればよいかわからない」等の悩みを抱える企業の担当者に対して、セキュリティ対策のファーストステップとして簡易的に自組織のセキュリティの現状やリスクを把握してもらい、今後のセキュリティ対策計画の策定・実行に活用してもらいたいと考えています。

現在、クラウド版、OT版、セキュリティ体制版の3つのフレームワークを公開しており、今後もサプライチェーンやゼロトラスト等、新領域に関するフレームワークを策定・発信していく予定です。

クラウド共通評価フレームワーク

共通評価フレームワークの第一弾としてリリースした「クラウド共通評価フレームワーク」は、クラウド環境の利用を検討している企業や、クラウドサービスを現在利用していて安全性に不安のある企業を対象に作成されました。

クラウド共通評価フレームワークのチェックシートに回答することで、利用しているクラウドサービス（IaaS、PaaS、SaaS）のセキュリティ対策状況や自社の運用体制等の状況を可視化できます。

分類	分類	評価対象
組織	組織 組織の情報セキュリティに関する規定類・運用方針などを確認
ネットワーク	外部ネットワーク クラウドサービスにインターネット経由でアクセスするネットワークを想定
端末	標準OA端末（社内・社外利用） クラウドを利用し、開発・保守管理を行う標準OA端末を想定
クラウド	IaaS/PaaSサービス クラウド上に自社でシステム開発・運用を実施している環境を想定
	SaaSサービス 社外での業務を想定し、機微情報を保有する等のSaaSサービスを想定

評価結果はサマリレポートとして提供され、各領域の対策状況、各チェック項目の対策の方針を把握できます。

評価結果を用いて経営層への報告、パートナー企業への共有、セキュリティ対策のフィットギャップの改善等に利用できます。セキュリティ対策を実行する場合に、ソリューションの導入や対策推進の伴走等のご相談についても、CSIJに参画しているセキュリティベンダからのサポート体制^※も整備しています。

※ 有償でのサポートとなります。

おわりに

昨今、DXにより企業活動が便利になる一方で、環境の変化によってサイバー攻撃が多様化、増加してきており、今後の企業活動においてサイバーセキュリティ対策は避けては通れない課題です。

多くの企業は、セキュリティ対策の予算の不足やセキュリティを運用するためのセキュリティ人材の不足等多くの問題を抱えています。その一方で日本は海外と比べると経営層のセキュリティに対する理解が低く、トップダウンによりセキュリティ対策が推進できていない状況です。

そのようなセキュリティの課題を解決する第一歩として、今回紹介したCSIJが提供する共通評価フレームワークは、セキュリティ対策の現状の可視化、経営層への報告などに利用できる有効なツールだと考えています。この記事を読んで、もしご興味をお持ちいただけましたら、ぜひCSIJにお問い合わせください。

また、より詳細にセキュリティのアセスメントを受けてみたいと考えた方には、ラックの情報セキュリティプランニングというリスクアセスメントのサービスがおすすめです。情報セキュリティプランニングは2023年の6月にリニューアルされ、リソース不足でお悩みの企業の方も検討しやすい内容で提供しております。

今後もラックは、皆様の安全なデジタル生活をサポートするために、CSIJとともに日本のサイバーセキュリティ環境の向上に尽力してまいります。