カネカ、Akamaiでセキュリティポスチャを強化

グループ全体のセキュリティを強化

カネカは、化成品から医薬品、食品、医療機器、電子材料まで、幅広い材料や製品を製造、販売する総合化学メーカーです。

東京と大阪にそれぞれ本社を置き、社内の従業員数は3,500人、グループ全体での連結従業員数は10,000人以上に及びます。

同社のIoT Solutions Centerは、会社全体の情報システムとセキュリティを一元的に監督しています。このセンターでは、セキュリティ・インフラ・グループの責任者である矢吹 哲朗氏の指揮の下、2011年におけるMicrosoft 365の全社導入をきっかけとして「クラウドファースト」の方針を掲げ、SaaS／PaaSの活用や仮想化基盤へのサーバーの集中化を積極的に進めてきました。現在は、Windows系サーバーの約90%がMicrosoft Azureまたはプライベートクラウドの環境に展開され、基幹業務システムのインフラもハイブリッドクラウドの構成を採用しています。

このようにクラウドファーストによるIT変革を進める一方で、IoT Solutions Centerは具体的な課題の解決にも取り組んでいます。そのメインとなる課題が、カネカグループ全体のセキュリティ強化です。

容易なグローバル展開とそのスピード

矢吹氏によれば、カネカでは長く、重大なサイバーセキュリティインシデントがほとんど発生せず、そのためサイバー攻撃に対する警戒感やセキュリティへの意識はさほど高くはありませんでした。

「ところが、2017年にヒヤリとさせられるようなセキュリティインシデントが立て続けに発生し、状況が一変しました」と矢吹氏は続けます。

「どのセキュリティインシデントも大事には至らなかったのですが、サイバーリスクが顕在化した以上、IoT Solutions Centerとしては早急に問題解決の一手を打たなければなりませんでした。そこで、カネカのセキュリティを総合的に強化するプランを策定し、同時に、海外拠点を含むグループ全体のセキュリティガバナンスを強化する方針を打ち出したのです」と矢吹氏。

矢吹氏の言う「サイバーセキュリティを総合的に強化するプラン」には、インターネットに対する社内ネットワークの入口と出口、そしてエンドポイントデバイスのセキュリティ対策を強化する内容が盛り込まれていました。エンドポイントのセキュリティ対策として、すでにEndpoint Protection Platform（EPP）とEndpoint Detection & Response（EDR）という2つのソリューションを選択していたカネカは、出口対策用の保護レイヤーを追加することで、このセキュリティ対策を完成させたいと考えていました。そこで、この追加の保護レイヤーとして、Akamaiのクラウド型セキュリティソリューションであるSecure Internet Access Enterpriseの導入を決めました。

Secure Internet Access Enterpriseは、Akamaiの膨大なリアルタイム脅威インテリジェンスを利用して悪性トラフィックをブロックするサービスです。DNSクエリーをAkamaiのプラットフォームにリダイレクトするだけで、不正なDNSクエリーを事前にブロックできます。この仕組みにより、社内のデバイスから悪性のWebサイトやC2サーバーへの接続を未然に防ぎ、フィッシングやマルウェアがデバイスに侵入して企業情報が盗まれるリスクを大幅に下げることができます。また、脅威インテリジェンスは自動的かつ継続的に更新されるため、管理者が手作業で処理する手間を省くことができます。

今回の総合的なセキュリティ対策を担当したセキュリティ・インフラ・グループ幹部職の藤本 慶治氏は、Secure Internet Access Enterprise採用の理由を次のように語っています。

「Secure Internet Access Enterpriseを選んだ要因の1つは、DNSを使用してセキュリティを担保するというソリューションの革新性とシンプルさです。このようなソリューションは世界にも例を見ないものです。これは、世界最大級のDNSプロバイダーであるAkamaiにしか実現できないソリューションだと思いますし、Akamaiの強みを巧みに活かした画期的なクラウド・セキュリティ・サービスだと考えました」。

また、Secure Internet Access Enterpriseは、カネカが求めていた出口対策の要件にも完璧に合致していたと藤本氏は言います。

「このサイバー・セキュリティ・プランには、カネカグループ全体でセキュリティ対策を統一し、セキュリティガバナンスを強化することも含まれています。Secure Internet Access Enterpriseの特徴である「導入の敷居の低さ」は、こうした施策展開をスピード感をもって進めるのに有効だと考えました。また、社内のネットワーク構造にかかわらず、Secure Internet Access Enterpriseによって悪性の通信をブロックできる点も魅力でした」。

2か月で海外拠点への展開を完了

カネカでは、すでに自社ネットワークの出口をSecure Internet Access Enterpriseで保護しており、日本国内外のグループ各社に対する展開もほぼ完了しています。

カネカの海外拠点と本社の情報システムは、「アメリカ（北南米）」、「ヨーロッパ／アフリカ」、「マレーシア」、そして「日本／アジア」地域の4つに分けた分散統治が行われています。ただし、セキュリティに関しては、日本が主導権を握るかたちでガバナンスを強化しており、日本からの働きかけに3地域を代表する情報セキュリティチームが応じ、それぞれの担当地域でSecure Internet Access Enterpriseの導入が進められました。

「Secure Internet Access Enterpriseの導入について各地域の協力を得るのは難しくありませんでした。導入と言っても、Enterprise Threat Protectorの場合、再帰DNSクエリーの向け先を変更するだけです。そのため、海外展開はスムーズに進み、実施から2か月で完了できました」と藤本氏は述べています。

インターネットへの直接トラフィックも保護

日本のグループ各社については、カネカのデータセンターを活用していない各企業、つまり、個別の環境でシステムを運用し、インターネットへの出口を個別に持つ企業のもとに矢吹氏らが直接出向き、各社の協力を取り付けていきました。

一方、カネカ本体へのSecure Internet Access Enterpriseの導入については、各拠点で行われていたインターネットへの出口方向の直接トラフィックの保護にもこのソリューションが使用されています。

「カネカでは、今のところインターネットへの直接トラフィック接続は一部の拠点にしか許可していませんが、そうした拠点のトラフィックを保護する出口対策が必要でした。Secure Internet Access Enterpriseでそれが簡単にできるようになったのはありがたいことです」と藤本氏は述べています。

侵害されたデバイスを速やかに特定

カネカグループ全体へのSecure Internet Access Enterpriseの適用により、今では、本社を含めてグループ各社内のデバイスから悪性のWebサイトやC2サーバーへの通信が未然にブロックされ、悪性の通信を行ったデバイスもIoT Solutions Centerですぐに検知、確認できるようになりました。その結果、カネカグループ各社に存在する「侵害の恐れがある端末」への対処を速やかに実施できるようになったと矢吹氏は評価しています。

「そうした「侵害の恐れがある端末」がグループ内に1つでも存在すれば、のちに大きな問題に発展しかねないと言えます。Secure Internet Access Enterpriseによって、グループ全域でそのようなデバイスを見つけ出すことが可能になっただけでも大きな効果です」と矢吹氏は述べています。

また、藤本氏によれば、組織内の誰かが、長く放置されていたデバイスを復活させた場合、そのデバイスが「侵害の恐れがある端末」として検出されることもあると言います。

「これは、情報システム部門による管轄外で、マルウェアに感染していた古いデバイスを、それとは知らずに使ってしまうケースです。こうしたセキュリティリスクが現実のものとなったときに、対象のデバイスを速やかに検知して、通信をブロックし、使用を停止できることも、Secure Internet Access Enterpriseを使うメリットだと言えます」と矢吹氏は述べ、次のように総括しています。

「セキュリティ対策はビジネスに必須の要素です。だからこそ、企業の売上規模や知名度に見合った投資が必要だと考えます。当社が突然インシデントに直面した背景には、近年のプロモーション活動によって当社の知名度が大幅にアップしたことが関係しているはずです。企業の価値が上がれば上がるほど、サイバーリスクが高まるのは自然な成り行きです。ですから、Secure Internet Access Enterpriseのような革新的なテクノロジーの活用を念頭に置きながら、自社の価値を守るための対策を強化し続けることが大切なのです」。