情報セキュリティ

富士通は、2021年以降、複数の重大なセキュリティインシデントに見舞われ、その対応に追われる現場では社内の様々な問題に直面しました。これらの問題を解決していく中で、富士通を攻撃者にとって「攻撃しにくい会社」にし、それを維持していくことが必要であると認識しました。「攻撃しにくい」とは、富士通への攻撃が容易ではない、すなわち攻撃が成功しにくいと攻撃者に思わせる状態を意味します。
「攻撃しにくい会社」を実現するためには、特に、インターネットに面したアセットの脆弱性など、外部からの攻撃の起点となるセキュリティリスクを徹底的に排除します。これにより、攻撃者は攻撃口を発見すること自体が困難になり、仮に攻撃口を発見できたとしても、その後の攻撃実行も極めて困難となる状態を目指しています。

富士通の従来のセキュリティリスクマネジメントでは、一般的なリスクマネジメントの考え方に基づき、インシデント発生後の事後対応による被害最小化を重視していました。その結果、現場部門が認識しないまま潜在的なリスクが徐々に拡大し、インシデント発生後に初めてその深刻さが露呈するという事態が起こりました。
このような状況を踏まえ、攻撃者の視点でより早い段階で潜在的なリスクを自ら顕在化させ、攻撃者よりも先に対応することで被害を抑制することが必要であるという考えに至りました。特に、昨今のサイバー攻撃におけるリスク発見から攻撃までの時間が極めて短くなっていることを考えると、潜在的なリスクの早期顕在化と迅速な対応を実現するマネジメントが不可欠です。
潜在するリスクの様々なケースを想定しそれに対応する顕在化の仕組みを構築することで、潜在的なリスクを網羅的に特定しリスクに対応すべき現場部門を把握できるようになっています。リスクの対応にあたっては、特定されたリスクを分析（攻撃難易度等）・評価（発生確率と被害規模）することで対応方針・優先度などを決定しています。優先度の高いリスクについては、CISO（Chief Information Security Officer：最高情報セキュリティ責任者）の下で全社セキュリティ統制を担う組織（以下、CISO組織）が直接現場に対して対応を指導することも行っています。

パーパスの実現を支えるために、攻撃者が富士通自身だけでなく、パートナー企業あるいは富士通のクラウド基盤上のSaaSなど、サプライチェーン全体を通じて、国内外問わずお客様の情報を狙っているものと想定したセキュリティ対策に取り組んでいます。富士通のお客様への価値提供のためのシステム（ビジネスシステム）や事業活動をささえるシステム（社内システム）に対するサイバーセキュリティ対策はもちろん、適切に情報を扱う・保護するための情報管理、富士通の提供する製品そのものやサプライチェーンを担うパートナー企業に対するセキュリティ対策もスコープとして活動しています。