全社的なセキュリティにおける監視業務の安定化、効率化を支援

取材日：2022年2月21日
※所属・役職は、2022年4月1時点のものです。

課題・背景：脅威に対してセキュリティ監視運用を安定化させる必要があった

どのような課題があったのでしょうか？

小松： サイバー攻撃による外部脅威が高まる中、従来の取り組みを継続するだけでは日々進化する脅威に対抗することが難しくなってきたため、2016年、セキュリティリスク管理部門が設置されることになりました。
また、不審な行為等を迅速に検知するため、当時点在していたセキュリティログの一元管理が必要となり、ログ分析基盤（以下SIEM*1）の導入に至りました。当時はSIEMを利用したSOC運用業務において、膨大なログデータの分析における効率化・高度化が課題でした。

どうして、パーソルP&Tに依頼しようとなったのですか？

小松：SIEMの実装にあたり選定したツール（Splunk）は、今でこそ多くの企業で導入していますが、当時、日本において導入支援実績のある会社はさほど多くなかったように思います。その中で専門人材を多く確保していた点や柔軟な推進体制等を評価させていただきました。

何社くらいと比較検討されたのでしょうか？

小松：3社になります。パーソルP&Tさんはコスト面や、スキル面で優れていたことに加え、すでに利用していた企業からも高い評価を受けていたことも決め手となりました。

取り組み内容：テクノロジーを使いこなし、セキュリティ監視運用の安定化・効率化を実現する

パーソルP&Tとは、課題に対してどのように取り組んだのでしょうか。

小松：導入当初の2017年から監視設計、チューニング等、一部業務を派遣でご支援いただき、2019年より業務委託として、セキュリティ運用・管理・改善に範囲を拡大、さらに2021年には、急激に増加していくログ量を受け、分析処理のパフォーマンスが低下傾向となったことに対する改善と持続可能な運用の実現に向けて支援いただいていました。
最初は、ツールをどう使っていくかが主でしたが、ある程度構築できた後は、ログをどのように有効活用して運用していくかという段階になったため、パーソルP＆Tさんには業務に関する提案をいただくこともあります。

これらの取り組みをどのように評価していますか？

小松：まずは安定した運用維持が第一の目的のため、その部分に関しては期待通りと評価しています。また、次の取り組みとして検討していた、品質向上や効率化に関しても、通常の運用業務と並行して課題の洗い出しから解決方法の提示など、現状に満足することなく積極的に関与いただき、他のメンバーとも協力して実現するといった期待以上の成果を挙げていただいていると感じています。
パーソルP＆Tさんは現場の業務やシステム、ツールをきちんと理解されています。我々も気づいていなかった多くの改善点を積極的に提案していただいています。

具体的な取り組み内容を教えてください。

木下：現時点での主な取り組み内容はSIEMとSOAR*2となります。
SIEMは、設計変更等が発生した際、技術的な観点での支援や、ツール上で動いているサーチ、いわゆるジョブ的な部分の改善や実現方式を提案いただいています。
SOARについては、ソリューション自体が比較的新しいため、入手できる情報が少なく、課題解決までに時間を要していました。パーソルP＆TさんよりSOAR活用による運用改善活動にも挑戦していきたいとの要望を受け参画いただき、自動化できる業務の選定から実装まで対応いただいています。その結果、技術およびロジック面においても、プロジェクトメンバーとして欠かせない存在となっています。

木下さんが見られても安心できる存在？

木下：そうですね。例えば、こちらから出す要件に対し、ただ単に実現するだけでなく、より効果的な方法の提案や、実装が難しいケースでも、その原因を追究することにより新たな対策に繋げる等、有益なアウトプットが出てきます。これらのアウトプットは、トライ＆エラーを繰り返して、ロジックや、やり方を吸収しているため、精度も高くSOARの導入経験のある外部の方から、「新しい発想を持って正しくSOARを導入している」と、評価いただくこともありました。
もともと、SOCメンバーとして参画いただいているため、当社の環境を熟知していることも大きいと思いますが、アンテナを高く張り自身の業務範囲に留まることなく活動いただいているので、プロジェクトとしても良い形で進んでいる状態です。

• 1 SIEM・・・Security Information and Event Managementの略称
• 2 SOAR・・・Security Orchestration, Automation and Responseの略称

成果：人が行うべきタスクへの注力・業務の標準化に貢献

具体的な成果はいかがでしょうか？

木下：SIEMに関しては、Splunkに対しての新しいサーチ設計や、運用を効率化するための絞り込み等繰り返し実施することで着実に効果を上げています。これは様々な改善ポイントに対して、日々試行錯誤しながら繰り返し実装していくという流れが定着しているからだ思います。
さらに、問題発生時の原因特定・解消までのプロセスが構築されました。例えば、パフォーマンスが落ちている原因や対策をより具体的にレポートいただけたため、速やかに改善に動くことができました。
SOARについても、アラートの自動化により、担当メンバーのアラート対象業務が約2割程度削減可能となる予定です。自動化が進むことにより、アナリストの知見を持つ社員が、本来注力すべき分析作業に集中できるため、結果として品質向上に繋がることを期待しています。

小松：当部門は数社に支援いただいているため、他の委託先の方と一緒に対応いただく場面が多々あります。責任範囲を明確にしつつも、目的達成に向けて縦割りではなく、協力の上業務を遂行いただいており、結果として成果に繋がっていると感じています。

木下：単純に知識として持っている技術力だけでなく、探究心や実現しようとする姿勢がとても印象的です。今後も継続していただきたいと考えています。

今後の取り組み：日々変化するセキュリティ脅威に対応

パーソルP＆Tに対して、どのような期待をされていますか？

小松：巧妙化するサイバー脅威、日々厳しくなるセキュリティ上の社会的要請に、当社が迅速かつ適切に対応していくための高い知見・経験やノウハウを適宜提供いただきたいと思っています。また、これまでの安定した実績に加えSOC運用業務の高度化に向けても、他メンバーと協力して推進いただくことを今後も期待しています。

• Splunkは、米国およびその他の国におけるSplunk Inc.の商標または登録商標です。他のすべてのブランド名、製品名、または商標は、それぞれの所有者に帰属します。