IaaS型クラウドサービスとデータセンター事業を展開するIDCフロンティア様は、国内トップクラスのITインフラ企業です。事業規模を問わず、お客様のビジネスをITインフラの立場からサポートし、お客様の成長と成功をともに考える同社にとって、セキュリティは最も重要視するポイントのひとつといえます。IDCフロンティア様は、お客様に信頼できるインフラを提供する為、そして自らのネットワークをセキュアに保つ為に、BBSecのセキュリティソリューションをご活用いただいています。
【お話をお伺いした方】
（写真左から）
ビジネス開発本部 ソリューションアーキテクト部
・部長 杉本 雅則 氏
ビジネス開発本部 パートナー開発部
・担当課長 三浦 友敬 氏
国内有数のデータセンター事業者/IaaSクラウド事業者として年々ビジネスを拡大するIDCフロンティア様は、2009年、Yahoo! JAPANグループとなり、同年にIaaSクラウドサービス事業をスタートしました。
「クラウド事業は今後、当社にとっての主軸ビジネスになることは疑いありません。クラウド事業を開始してから既に5年半ほど経過していますが、競合他社に対し、"日本品質のきめ細やかなクラウドサービス"を差別化要因としてサービスを展開してきました。また、パワフルなクラウドをコンセプトに、約20秒でサーバの立ち上げを実現するなど、お客様にストレスを感じさせないスピードにこだわったサービスを展開しています」と三浦様。データセンター事業で培ってきたITインフラ構築のノウハウは、クラウドシフトというビジネス転換期に、大きな強みとなって活きています。
データセンター事業者として、そしてクラウド事業者として、「セキュリティは最もプライオリティが高いビジネスのパーツ」と杉本様は断言しています。IDCフロンティア様はあらゆるタイプのお客様にITインフラを提供する事業者として、サービス開始当初からセキュリティには最善の注意を払ってきました。しかし、2012年頃から外部からの攻撃が如実に激化。この外部環境の変化に対し、更なる対策が求められるようになりました。これに対し、経営陣からは「社内のセキュリティレベルも再点検するように」との要求があり、当時、社内インフラを預かる杉本様は即座に現状分析を開始し、セキュリティホールになりうる可能性の徹底的な洗い出しと次なる対策の検討を行いました。
「経営トップにとって、セキュリティ対策の強化は、堅牢な経営基盤を築く上での緊急の課題と考えていた様です。言うまでもなく、セキュリティに対する脅威は増していくことはあっても減ることはありません。そう考えたとき、お客様をサポートするインフラ事業者の我々には今までよりも一段上のセキュリティが求められることは必定です。セキュリティのレイヤを上げる - その実現のためには、自社だけで解決しようとするよりも、最新情報を持ち迅速に対応できる信頼できるパートナーと組むほうが早くて確実なのは明らかでした。」(杉本様)
IDCフロンティア様は、これを機に、共に歩むことのできるセキュリティパートナー探しを始められました。
現在、IDCフロンティア様には、BBSecのセキュアメールサービス「AAMS (Anti-Abuse Mail Service)」、モダンマルウェア検知サービス「MARS (Malware Analysis & Response Service)」を含むマネージドセキュリティサービスなどをご利用いただいています。
セキュアメールサービス AAMS
「2012年当時、スパムメールが社内のメールサーバに侵入する前に"振り落とす"ことができたソリューションはAAMS だけでした」と、杉本様はAAMSを選んだ理由について振り返ります。当時は、ソフトウェアによってスパムやウィルスが添付されたメールを、メールサーバに取り込む前に認識／削除することは難しく、いったんメールサーバに取り込んだあと、クライアントPCに配信する前にブラックリストなどを頼りに識別するのが一般的な方法でした。IDCフロンティア様は、この時既に、サーバ内でスパムを確認してからアクションを起こすのではなく、サーバに搭載した機能で確実に隔離したいと考えており、このリクエストに応えられた唯一のソリューションが AAMSだったというわけです。
もっとも杉本様は「導入当初はカスタマイズにかなり手がかかりましたね。シグネチャベースでチェックを行うAAMSは、スパムを事前に識別する精度は高い一方で、隔離/削除すべきではないメールもスパムとして認識してしまうケースがあり、BBSecのカスタマーデスクと何度も調整を繰り返しました」と述べられています。しかし導入から数カ月後には「AAMSはスパムやウイルスからネットワークを守る大きな"壁"に成長」(杉本様)したとのこと。「もちろん、AAMSという壁をすり抜けるスパムやウイルスメールも存在します。
しかし、すり抜けたメールに対しては、サーバ、そして最終的にはクライアントPCでせき止めるという多層防御の構造を構築すれば、被害に遭う確率は格段に下がります。最初の壁が堅くて大きいほど、その確率はさらに下がる。AAMSを導入した効果は非常に大きかったと思います」と杉本様。現在、IDCフロンティア様では、自社活用の経験を生かし、AAMSを同社のお客様にもサービスの一環として提供されています。
モダンマルウェア検知サービス MARS
デスクトップセキュリティツールなどで食い止められる既知のマルウェアだけでなく、まだその存在を世に知られていない未知のマルウェアをも発見する"モダンマルウェア検知サービス"は、企業セキュリティの出口対策を高めるソリューションとして、ここ数年で急速に市場のニーズをあつめています。IDCフロンティア様においても、最重要課題として挙げられていたのがこの"出口対策"でした。「モダンマルウェア検知サービスは、既知・未知を問わず、侵入したマルウェアをサンドボックス上で検証し、出口遮断することができ、求めていた有効な対策でした。」（杉本様）
BBSecが提供するMARSは、モダンマルウェアの検知/防御に優れた技術力をもつ米Lastline社と技術提携したサービスで、
・サンドボックステスト
・フィンガープリント確認
・ふるまい検知
の3つの機能を複合的に組み合わせ、未知のマルウェアの侵入を高い精度で防ぐことで知られています。
モダンマルウェア検知サービスを提供するセキュリティベンダは数多くありますが、IDCフロンティア様はMARSをお選びいただいた理由として「コストパフォーマンスとスピード」を挙げられています。「競合他社製品も検討しましたが、モダンマルウェア検知サービスは高額なものが多く、費用対効果の面で採用には二の足を踏みました。その点、MARSは価格と機能のバランスが非常に良いと感じました。また、MARSはマルウェアの検知スピードも速く、ゼロデイ対策にも十分に効果を発揮しています」(杉本様)とご評価をいただいています。
「導入当初は本当に効果があるのか半信半疑だったのですが、導入直後から効果が出て驚きました。導入前は月に1～2件程度だったシグネチャベースのマルウェア報告が、MARS導入後は月3～4件に増えました。導入には若干手間がかかりましたが、出口対策のソリューションとしては非常に有効であると満足しています。」(杉本様)
IDCフロンティア様は全国9か所にデータセンターを保有しサービスを展開している。
写真は左から、白河データセンター、北九州データセンター。
「当社のお客様はセキュリティに対する関心が非常に高く、脆弱性診断サービスなどに興味をもたれる方も多い。企業にとってWebサイトは、企業の顔であり、サービスの販売窓口であり、確度の高い潜在顧客情報入手の窓口です。外部からの攻撃で、ここに何かしらの不具合が発生すると、企業の経営基盤を大きく揺るがします。このことは、すでに多くの企業が認識しており、脆弱性診断は、企業のリスクマネジメントの一環として標準的に行われるべきツールに変化してきているようです。」（三浦様）
お客様からのセキュリティに対するお問い合わせが増えるなか、「今後はさまざまなお客様のニーズに合わせたパッケージ商品の開発やキャンペーンをBBSecと協力しながら積極的に進めていきたいと考えています。たとえばPCI DSSやWAF (Web Application Firewall)などのレベルの高いセキュリティサービスをワンストップで提供できれば、多くのお客様の心に響くのでは、と期待しています。」と三浦様。IDCフロンティア様ご自身の利用経験は、サービスをご検討いただくお客様に対する説得力や導入時のアドバイスに大きく役にたっているようです。
「多くの企業で同じ悩みを抱えていると思いますが、当社も、どのようにして複雑なセキュリティ対策を、属人的ではなく、組織としてスキルを蓄積／継承していくか悩み、議論を重ねました。」と杉本様。その施策のいくつかをご紹介いただきました。
まず、各本部の代表メンバーが参加する「情報セキュリティ委員会」を設置しているとのこと。セキュリティに対するリテラシが高い企業ではセキュリティ委員会を置いているところが少なくありませんが、IDCフロンティア様でも「セキュリティを属人的にしない基本は委員会活動を定期的に行うこと」(杉本様)と考え、週次レベルでインシデントや脆弱性についての報告会を行っているそうです。この委員会には、サービスに直接的に関与しない管理部門なども参加し、全社のセキュリティに対する認識レベルを共有化しているとのこと。更にeラーニングやセミナーによるセキュリティ啓蒙活動や、定期的に実施するセキュリティの総点検など、重要なセキュリティイベントの詳細も同委員会が推進しています。
組織横断的なセキュリティ委員会の効用のひとつに「何かコトが起こった場合に、複数の部署を巻き込んで行動しやすい」ことが挙げられます。「とくに当社はお客様のインフラを担っている立場。何か起こった際に、一人二人で解決できるというのは甘い考えであり、お客様に対する責任を果たせない。一人の思い込みで誤った判断をした場合、取り返しの付かないトラブルに発展するおそれもあります。日頃から横串的な体制を作っておくためにも、委員会の存在は重要です」と杉本様。全社一丸でお客様をインシデントから守るという強い決意がそこにはあります。
外部ノウハウの活用とセキュリティの災害訓練
また、IDCフロンティア様には多くの優秀な技術スタッフが在籍していますが、セキュリティに外部の知見を取り入れることにも積極的に行っています。「いくら専門知識をもつスタッフが数多くいても、自社の知識だけで満足していては、変化の激しい時代に、最善の方法をタイムリーに見つけ出していく事は極めて難しいことです。プロの知見をうまく取り入れることができれば、現在より高いレベルのセキュリティを実現することも難しくないのではないでしょうか」(杉本様)
さらにIDCフロンティア様では、実際に大きなインシデントが起こった場合に迅速な行動を取れるよう、定期的にセキュリティの"災害訓練"を行っていらっしゃいます。インシデントを想定し、その際、各個人がどう動くかをアドリブでデモンストレーションします。訓練後は、対応にあたったメンバーの行動パターンや対処方法の問題点を洗い出し、有事における対策を検討しています。」「いわばセキュリティのBCP(事業継続)とも言える訓練かもしれません。実際、東日本大震災を機にインフラに対するBCPを大幅に点検し直したのですが、セキュリティも同様に点検作業を行いました」と杉本様。「緊急時にはふだんやったことがない行動は取れないと言われていますが、1分1秒を争うセキュリティインシデントへの対応は初動の遅れが命取りになります。定期的に緊急時になぞらえた訓練を積むことで、被害を最小限に抑える可能性を何倍にも高めることができます。」（杉本様）
「未来をささえる、Your Innovative Partner」- IDCフロンティア様の掲げるスローガンには、お客様の未来をクラウドやデータセンターというインフラで支えていくパートナーとしての決意が込められています。そしてその未来を現実のものにしていく為には「セキュリティは欠かせないパーツ」と杉本様は断言されています。クラウドへのシフトが本格的に始まった時代にあって、新しいインフラにとまどうお客様の不安を解消していくことは、クラウドサービス事業者としての義務でもあります。「クラウドの普及により、さまざまなタイプのお客様が増えていくことでしょう。IDCフロンティアはどんなお客様にも満足の行くインフラサービスを届けたい。そのためにはお客様の常に先を歩き、様々な課題解決のノウハウを蓄積していかなければなりません。クラウドが実現する"いつでも、どこでも"には必ずセキュリティが必要になります。その為にセキュリティパートナーであるBBSecとは二人三脚で歩んでいきたいと思っています」と杉本様。
クラウドで新しい未来を作ろうとするIDCフロンティア様のビジネスを、BBSecはセキュリティという側面から支えていきます。
＜会社情報＞
| 会社名： | 株式会社IDCフロンティア |
| 本社所在地： | 〒160-0004 東京都新宿区四谷4-29 |
| 設立年月日： | 2009年2月2日 |
| 株主資本： | 6,031百万円（2014年3月31日現在） |
| 事業内容： | クラウドコンピューティング事業 / データセンター事業 |
| URL： | http://www.idcf.jp/ |
※ 記載の情報は2015年2月現在のものです。
※ 文中の社名、製品名は各社の商標または登録商標です。