名古屋鉄道様グループ全体の脆弱性診断と脆弱性管理コンサルティング実施事例

メルマガ登録する

メルマガ登録する

サイバー攻撃の脅威が高まる中、セキュリティ対策は個別企業ごとではなく企業グループ全体で取り組む重要課題となっている。こうした状況を受け、名古屋鉄道（以下、名鉄）では脆弱性管理に取り組むスキームをグループ全体で構築し、セキュリティ対策に継続して取り組んでいる。この取り組みを企画した背景や実施内容に関して、プロジェクトをリードした三田氏に話を聞いた。

名古屋鉄道株式会社
DX・マーケティング部デジタルインフラ担当
三田優作氏
金融機関のシステムリスク管理部門、学校法人の総務人事部門の経験を経て、2024年に名古屋鉄道入社。情報セキュリティを中心に、生成AIやグループウェア、グループネットワーク運営のチームリーダーを担当。

社会インフラを守る、名鉄グループ全体での脆弱性診断活用

名鉄は、中部圏を中心に広域鉄道ネットワークを展開する日本有数の私鉄であり、日々多くの利用者の移動を支える社会インフラとして重要な役割を担っている。また、同社を中核とする名鉄グループは、鉄軌道事業にとどまらず、バス・タクシー事業、運送事業、不動産事業、ホテル・レジャー事業、航空サービス事業など、多岐にわたる分野で事業を展開している。これらの事業は地域社会や経済活動と密接に結びついており、グループ全体で高い信頼性と安定性が求められている。

こうした中、デジタル化の進展とともにサイバー攻撃の脅威は年々高度化・巧妙化しており、社会インフラを担う企業グループにとってセキュリティ対策は経営の重要課題の1つとなっている。これまでは、グループ各社それぞれで脆弱性対応を行っていたものの、名鉄内では以前から「個社ごとの対策だけでは十分とは言えないのではないか」という課題意識があり、現在はグループ全体で脆弱性対応に取り組む方針へと舵を切っている。

「各社の状況や成熟度にばらつきがある中でも、グループとして共通の考え方や基準を持ち、全体のセキュリティレベルを底上げしていくことが重要だと考えています。」と三田氏は語る。

グループ全体に対してラックの脆弱性診断を実施する、脆弱性管理スキームの構築

セキュリティ対策の見直しの結果、個人情報を保有、もしくは決済機能を持つWebサイトやスマホアプリに対して、毎年の脆弱性診断の実施および是正対応を行うことが義務化され、実施対象は名鉄グループ全ての連結子会社と定められた。一方で、グループ会社の中にはセキュリティ対策に取り組むための体制が整っておらず、脆弱性管理への対応が難しい状況にある会社も存在していた。

そこで名鉄を中核とし、グループ全体の診断を取りまとめる脆弱性管理スキームの構築検討を進めることとなったが、自社だけでの対応は困難であると判断し、脆弱性管理やスキーム構築を伴走しながら支援してくれるセキュリティベンダーを選定することにした。セキュリティベンダーの選定条件として、以下の3つが設定された。

社会的に認められる診断ができる（高い診断品質）
名鉄グループ全体を診断できる診断員の在籍やフォロー体制がある
ITに関する専門知識がない実務担当者に対し負担を極力減らせる脆弱性診断サービスを提供している

「これらの条件とマッチしたのが、ラックでした。セキュリティベンダーの老舗なので豊富な診断実績があり、わかりやすいレポートの提供やグループ全体の脆弱性診断に対応できる大規模な診断員の体制、充実したフォロー体制がラックにはありました。何より、名鉄や名鉄グループの今後を見据えた提案をしてくれる点が一番の選定理由でした。」と三田氏は語った。

脆弱性管理スキームの概要と、実感した効果

脆弱性管理スキームは、年間を通して実施される。まず、グループ各社にラックの脆弱性診断を実施する。ラックから診断結果を報告し、グループ各社は診断実施後の対応期間に是正対応を行う。グループ各社は、最終的に名鉄に是正結果を報告するといった流れで実施されている。

三田氏は脆弱性診断スキームの導入効果として、「ラックが名鉄グループ目線の対応策を提案してくれたことにより現実的な議論ができ、また、手厚いアフターフォローにより目標期間内に是正対応が完了しました。引き続きグループ全体で定期的な脆弱性診断の実施と是正対応をしていきます。」と語った。

名鉄のリスク評価・改善計画策定

名鉄では、グループ全体で脆弱性管理に取り組むと同時に、セキュリティ人材の育成も重要な課題だった。人事異動により担当者が頻繁に変わるケースも多く、セキュリティに関する知見や経験を継続的に育てていくことが難しい状況だったという。セキュリティ課題の整理と全体像の見える化をするにあたってセキュリティ専門家の支援が必要となり、ラックのコンサルティングが開始された。

【脆弱性管理コンサルティングで実施した内容（一例）】

リスクの洗い出し、可視化
セキュリティの専門家による網羅性のある第三者の客観的な評価
各リスクへの対応方針決定（低減、受容など）
対応ロードマップ作成

ITガバナンスに関する机上評価を実施

名鉄ではラックの脆弱性管理コンサルティングを通じて机上評価を行い、ラックからの具体的な対策案を参考にしながら、リスクの低減や受容といった方針を判断し、是正対応を進めている。

「今回の机上評価では、リスクと対応策が網羅されたマトリックスを活用したことで、一つひとつのリスクに対する方針検討が非常にスムーズになり、最終的な対応ロードマップの策定まで一気に進めることができました。また、外部の専門家から具体的な改善策を提示していただけたことが大きな後押しとなりました。単に課題を洗い出すだけでなく、各課題の重要度や優先度のイメージがクリアになったことで、より現実的な是正対応を検討できるようになりました。今後は、この取り組みを足掛かりとして、評価・改善・再確認というサイクルを継続的に回していく方針です。こうした実務の積み重ねを通じて、セキュリティ担当者自身の知見や判断力を養い、グループ全体としての対応力を着実に底上げしていきたいと考えています。」と三田氏は語った。

今後の展望

最後に、三田氏に今後のセキュリティ対策の展望を聞いた。

「生成AIをはじめとした技術革新により、名鉄グループを取り巻くセキュリティ対策の進化スピードが飛躍的に向上していると感じています。最新技術を活用することで、従来の考え方や対応にとらわれない新時代のセキュリティ対策の実現を目指していきたいと考えています。最近では、社内PCがランサムウェアに感染した場合の影響を実地調査にて確認するため、ペネトレーションテストも実施しました。これまでの脆弱性診断に加え、次のステップとして、重要なサーバやセグメント分離したネットワークへの侵入可否など、より実践的なサイバー攻撃への耐性評価ができました。ラックには、これまでの安定したサービス品質の提供や今後を見据えた提案、既存の枠組みにとらわれない柔軟な対応による伴走支援を引き続き期待しています。」と語った。