情報セキュリティ

富士通は、2021年以降、複数の重大なセキュリティインシデントに見舞われ、その対応に追われる現場では社内の様々な問題に直面しました。これらの問題を解決していく中で、富士通を攻撃者にとって「攻撃しにくい会社」にしそれを維持していくことが必要であると認識しました。「攻撃しにくい」とは、富士通への攻撃が容易ではない、すなわち攻撃が成功しにくいと攻撃者に思わせる状態を意味します。
「攻撃しにくい会社」を実現するためには、特に、インターネットに面したアセットの脆弱性など、外部からの攻撃の起点となるセキュリティリスクを徹底的に排除します。これにより、攻撃者は攻撃口を発見すること自体が困難になり、仮に攻撃口を発見できたとしても、その後の攻撃実行も極めて困難となる状態を目指しています。

富士通の従来のセキュリティリスクマネジメントでは、一般的なリスクマネジメントの考え方に基づき、インシデント発生後の事後対応による被害最小化を重視していました。その結果、現場部門が認識しないまま潜在的なリスクが徐々に拡大し、インシデント発生後に初めてその深刻さが露呈するという事態が起こりました。
このような状況を踏まえ、攻撃者の視点でより早い段階で潜在的なリスクを自ら顕在化させ、攻撃者よりも先に対応することで被害を抑制することが必要であるという考えに至りました。特に、昨今のサイバー攻撃におけるリスク発見から攻撃までの時間が極めて短くなっていることを考えると、潜在的なリスクの早期顕在化と迅速な対応を実現するマネジメントが不可欠です。
潜在するリスクの様々なケースを想定しそれに対応する顕在化の仕組みを構築することで、潜在的なリスクを網羅的に特定しリスクに対応すべき現場部門を把握できるようになっています。リスクの対応にあたっては、特定されたリスクを分析（攻撃難易度等）・評価（発生確率と被害規模）することで対応方針・優先度などを決定しています。優先度の高いリスクについては、CISO（Chief Information Security Officer：最高情報セキュリティ責任者）の下で全社セキュリティ統制を担う組織（以下、CISO組織）が直接現場に対して対応を指導することも行っています。

パーパスの実現を支えるために、攻撃者が富士通自身だけでなく、パートナー企業あるいは富士通のクラウド基盤上のSaaSなど、サプライチェーン全体を通じて、国内外問わずお客様の情報を狙っているものと想定したセキュリティ対策に取り組んでいます。富士通のお客様への価値提供のためのシステム（ビジネスシステム）や事業活動をささえるシステム（社内システム）に対するサイバーセキュリティ対策はもちろん、適切に情報を扱う・保護するための情報管理、富士通の提供する製品そのものやサプライチェーンを担うパートナー企業に対するセキュリティ対策もスコープとして活動しています。

このスキームは、経営層・現場層・CISO組織（統制層）が一体となってセキュリティ対策に取り組んでいくためのものであり、リスクの可視化とその共通認識化が各層の連携した取り組みを生む鍵となっています。
CISOは、セキュリティリスクを経営層に適切に開示し、経営層と現場層の共通認識を形成させることでトップダウンの統制（外側ループ）とボトムアップの改善（内側ループ）を促します。また、CISO組織では、現場層で自立的に取り組むべき活動の規程／基準の確立、重大かつ緊急性の高い脆弱性が顕在化した際には現場部門に対する直接的なセキュリティ統制を実施することで、富士通グループ全体で統一的な活動によるセキュア化を推進しています。
経営層は、可視化されたリスク情報をもとに意思決定を行う役割を担います。現場層でリスク対応を行う場合に、現場層が業務効率化やコスト削減、お客様要求の実現といったセキュリティ対応と相反する要求のために板挟みとなり、対応のスピード感が損なわれる場合があります。このため、経営層が可視化されたリスクをもとに意思決定を行い、現場層では解決できない・実行したくともできない環境の改善を行います。
現場層は、平時においてはCISO組織が定めた全社規程／基準に沿って活動を行います。リスクが顕在化した有事の際には、自部門内で暫定対処を行いつつCISO組織からの通知・指導に従って対策を実施しています。また、可視化されたリスクに基づいて自立的に自部門を改善する活動に取り組んでいます。

本スキームでは、CEOを委員長とするリスク・コンプライアンス委員会とCEO、CRMO（Chief Risk Management Officer：最高リスクマネジメント責任者）、CISO、CQO（Chief Quality Officer：最高品質責任者）、各現場層責任者による品質セキュリティ会議の2つの会議を通して、経営層と統制層、経営層・統制層と現場層の間でリスクの状況とセキュリティ対策の進捗状況について共通認識をもち、全社のセキュア化を推進しています。
例えば、セキュリティ対応を行うことを現場層責任者の責務に含めることもこれらの会議を通して決定されました。また、緊急性の高い脆弱性への対応が遅れている部門を特定し、必要に応じてCISOがトップダウンで現場部門責任者に働きかける対応も実施しています。このようなコミュニケーションは、現場層責任者がセキュリティ対応を担当者任せにするのではなく、自ら主体的にセキュリティ強化を推進することにもつながっています。
リスクの状況やセキュリティ対策の進捗状況は継続してモニタリングされており、経営層と現場層は自部門の対応状況を定量的に把握できるようになっています。このモニタリングの結果は、対応が遅れている場合にその緊張感を高め、危機意識を醸成する役割を果たしています。セキュリティ対策の遅延や不備が発生するとCISOからの直接的な指導が行われる場合もあり、現場層責任者は、セキュリティ対策の遂行における自身の責任の重さを改めて認識し、現場レベルでの対策実施が徹底されるようになりました。

CISO組織の統制する規程／基準やセキュリティ対策を現場レベルに浸透させるためのガバナンス体制の構築も行っています。CISO組織からの指示に基づいて、現場の各本部において本部長の指名する「情報セキュリティ責任者」「情報管理責任者」「PSIRT責任者」（注1）を配置し、現場の自立的な活動を推進しています。これらの現場体制に対し、CISO組織の本部長・施策責任者が対峙する形で本部長レベル・責任者レベルでのコミュニケーションを実施しています。
具体的には、本部長の一人ひとりに対し、事案の情報を含む「富士通が置かれている現実」とその「組織のリスク状況の現実」を伝え、危機感を共有するとともに自組織のセキュリティ対応を自分事とするための対話を集中的に実施しています。また、CISO組織のセキュリティ施策責任者と現場層における各責任者の対話の場として責任者会議やその分科会を定期的に開催し、全社の規程／基準やセキュリティ対策の現場浸透を行っています。これらにより、セキュリティ対応に関わる本部長のリーダーシップと各責任者による現場への展開を確かなものとし、現場におけるセキュリティ対応の実行性を高めています。なお、海外については、本社方針と各国固有のセキュリティ要件をアラインメントする必要があり、リージョンごとにリージョンCISOを配置する体制を整えています。

注1：

富士通では、グローバルスタンダードであるNIST（注2）の「SP800-37」（注3）を参考に、富士通グループを対象とするセキュリティリスク管理の枠組みである「リスクマネジメントフレームワーク」を策定し、組織および情報システムが持つセキュリティリスクを識別し組織的かつ適切に管理するためのプロセス群を規定しています。これにより、各組織における定期的なリスクマネジメントと各情報システムの開発フェーズおよび運用フェーズにおけるリスクマネジメントをルール化するとともに、これらのプロセス群を業務プロセスに組み込むことで周知・浸透を図っています。
また、NISTの「CSF」（注4）、「SP800-53」（注5）および「ISO/IEC27002」を参考に、富士通グループにおけるセキュリティ対策の基準となる「富士通グループ情報セキュリティ対策基準」を策定しています。この対策基準は165の管理策から構成されており、情報システムの重要度等に応じた管理策の適用がルール化されています。更に、これら管理策の適用を推進するため、マニュアルおよびガイドラインを整備し全社に展開しています。

注2：NIST : National Institute of Standards and Technology
注3：SP800-37：NIST SP800-37 Rev.2 Risk Management Framework
注4：CSF：Cybersecurity Framework
注5：SP800-53：NIST SP800-53 Rev.5 Security and Privacy Controls for Information Systems and Organizations

富士通では、リスクモニターや情報管理ダッシュボード等の各種ダッシュボードを構築し、情報システムの残存脆弱性や情報の不適切な管理状態などのリスクをデジタル（機械的）に可視化しています。
「リスクモニター」では、富士通本社およびグループ会社の各部門を俯瞰してリスクに関する数値を可視化しています。前述の脆弱性スキャンなどの施策により検出したリスクについて、重要度別の是正残数をヒートマップやグラフで表示し重要度の高いリスクを優先した対応が可能となっています。
「情報管理ダッシュボード」は、デジタル化された情報管理台帳です。秘密情報の管理者、管理場所、共有範囲などを管理する台帳をデジタル化し管理運用しています。さらに、実際の情報管理の状態（ストレージサービスの監視ログなど）との整合性をチェックし、不備などを検出した場合は管理部門へアラート通知し早期是正を可能にしています。
これらのダッシュボードは、経営層・統制層と現場層で共有され現場部門への統制ツールとして機能するとともに、現場部門で自組織の状態を把握し自立的に改善するためのツールとしても活用しています。

富士通では、お客様の安心安全でサステナブルな事業活動を支えるため、グローバルに展開しているお客様向けITシステム（ビジネスシステム）および社内ITシステムのITアセット管理情報を一元化し可視化することで、グループ全体のセキュリティリスクの特定と是正を速やかに実施しています。平時からのリスク管理を強化するとともに、CISO組織によるリスク監査と結果の可視化により、各部門における適切な現状把握と自律的な是正を促進しています。

ITアセット管理情報を基軸に、インターネットから直接アクセス可能となっているシステムに対して脆弱性スキャンをかける仕組みを構築することで、システムを管理する各部門による、自律的な定期スキャンと脆弱性の検知をトリガーとした是正対応を可能としています。この仕組みを利用した定期的検査を毎年1回行うことで、脆弱性対応が確実に実施されていることを確認し、さらにリスクの高い脆弱性を検知した際はCISO組織の関与により迅速で確実な是正対応を行います。
また、インターネットから直接アクセスできないシステムであっても、インターネット表出システム経由でのラテラルムーブメントにより侵害を受け、被害が拡大する可能性があります。これに対応するため、脆弱性検知ならびに管理手段として、ITアセット管理情報を定期的に最新化し脆弱性データベースと突合することで脆弱性の検知と是正を行っています。
本取り組みを富士通グループ全体で実施し管理されたアセットに対する脆弱性の早期潰し込みを徹底することで、外部に表出した脆弱性の新規検知数は大幅に減少しています。その中でも、ポート開放などの高リスクの脆弱性検知は数件程度までに削減しています。

インターネット表出システムの脆弱性検知と対応を迅速化するため、脅威インテリジェンスの活用を積極的に進めています。脅威インテリジェンスでは、世の中の脅威動向や脆弱性に関する情報、富士通グループのインターネット表出システムにおける脆弱性の情報など、攻撃者の視点に立って実際に攻撃を行う初期段階の情報収集を行います。入手した脅威インテリジェンスに対し、インパクトを分析し、迅速な是正対応を実現しています。
さらに、ITアセット管理情報を基軸とした、インターネット表出システムの脆弱性スキャンと組み合わせ、攻撃者の視点からシステムの脆弱性をモニタリングするアタックサーフェスマネジメントを実施しています。

緊急時に限らず平時から脆弱性対応を迅速に実行できる状態を整備しておくことが必要であり、国内においては、サービス停止を判断する責任者の明確化、緊急時の脆弱性対応プロセスについての整備を完了しています。
また、昨今では、ソフトウェアの脆弱性に対するサイバー攻撃が脆弱性発見後極めて短時間に行われており、日々、サイバー攻撃のスピードは加速しています。このような状況下、富士通はお客様の大切なデータを守るとともにお客様に安定したサービスを継続提供することを目的に、特に緊急性の高い脆弱性に対して富士通の判断でサービス中断を行う場合があります。お客様や富士通の情報資産を守るためにサービス停止を伴う対処を迅速に判断・実行する必要がある場合に行う措置であり、 結果的にセキュリティリスクだけでなくビジネス影響の最小化にもつながると考えています。

セキュリティインシデントに対応するには、ログ分析・マルウェア解析・ディスクフォレンジックなど技術的観点で事象を正確に理解する必要があります。加えて迅速かつ適切に対応するにあたり、全体の方針を決め社内外関係者と連携し、インシデント対応を行う必要があります。
富士通では、技術的な専門家と、解決までの道筋をリードするメンバーが連携し、エスカレーションプロセスなど各種プロセスに則り、セキュリティインシデントに対応しています。
さらに、攻撃者のツール、プロセス、アクセス手法などの情報を蓄積するとともに、メンバーの継続的なトレーニングにより技術的な知識やスキルを向上させています。また、グローバルを含めたインシデント対応の振り返りを行い、体制・ルール・プロセスの改善やノウハウ蓄積を含め、インシデント対応力を継続的に改善していくことで、迅速な対応と影響の極小化ができるよう取り組んでいます。

富士通の製品やサービスをご利用いただくお客様を守るため、製品構成情報、ITアセット情報、および脆弱性情報を含む脅威インテリジェンス情報の一元的な管理に加え、各部門において脆弱性対応を担当する情報セキュリティ責任者やPSIRT責任者の配置による xSIRT（注6）体制を整備し、製品やサービスの脆弱性に起因するリスクに対してスピーディーでプロアクティブな対応を可能としています。

注6：SIRT：Security Incident Response Team
企業内の製品・サービスを対象としてインシデント対応を行う組織や体制

製品やサービスに与えるリスクの見積りおよび製品やサービスに対するリスクを踏まえた脆弱性への対策検討・実行を迅速に遂行するために、脆弱性を起因とするリスクに対する対応基準やプロセスを策定しています。また、統計解析や実際の対応実績を基にプロセスの継続的な改善を実施しています。
これらの体制やプロセスに基づいて、脆弱性対応に係る期間を短縮し早期解決を図ることで、お客様における二次被害を防止し、お客様の事業継続への影響を極小化します。
なお、本施策による成果の一例となりますが、世界中で被害や影響が拡大しCISA（注7）から重大リスク警告が発せられた脆弱性起因のサイバー攻撃発生の際に、富士通では該当システムの特定と対処を迅速に実施した結果、情報搾取被害を回避しています。

注7：CISA：Cybersecurity and Infrastructure Security Agency
アメリカ合衆国サイバーセキュリティ・社会基盤安全保障庁

日本では個人情報の保護を目的とし、2007年8月に一般財団法人日本情報経済社会推進協会よりプライバシーマーク（注9）の付与認定を受け、現在も継続的に更新し、個人情報保護体制の強化を図っています。国内グループ会社でも、必要に応じて各社でプライバシーマークを取得し、個人情報管理の徹底を図っています。また、部門ごとの情報管理の状態を情報管理監査部門が第三者観点で確認し、是正や改善の指示・提案を行っています。2024年度は全部門にて内部監査を実施しています。

注9：プライバシーマーク
JIS Q 15001に適合した個人情報保護マネジメントシステムの下で、個人情報を適切に取り扱っている事業者に付与されるものです。

なお2024年度、富士通社内に設置した「富士通お客様相談センター個人情報保護総合窓口」へ寄せられたお客様プライバシーに関する相談・苦情はありませんでした。また、個人情報保護法令に基づいた政府や行政機関へのお客様情報の提供実績もありませんでした。

富士通では、組織における脆弱性の発生状況や、脆弱性を是正するまでの対応速度といった要素をデジタルにスコアリングし、組織の成熟度として可視化しています。富士通本社およびグループ会社の各部門の成熟度を月単位で可視化することで、現在の状態や目標との差異を把握し具体的な施策や是正対応を現場部門自ら実行する風土の醸成を目指しています。
セキュリティ成熟度評価の指標は、国内外で実績のあるサイバーセキュリティ能力成熟度モデルC2M2（注10）や、セキュリティインシデントマネジメントの成熟度モデルSIM3（注11）を参考にした上で、成熟度スコアをセキュリティ施策におけるデータから機械的にスコアリングする方法を独自に取り入れて評価しています。評価の内容については、ガバナンス、人的セキュリティリスク管理、システムセキュリティリスク管理、情報資産リスク管理、インシデント検知・対応力、組織風土・マインドのカテゴリー別に6軸で成熟度をスコアリングしています。
なお、これら富士通内部のメータリングに加え、社外のセキュリティレーティングなども利用しており、第三者から見た客観性のある富士通のセキュリティ対応状況のスコアリングについて継続的に確認し、サイバーセキュリティ対応力強化を図っています。

注10：C2M2：Cybersecurity Capability Maturity Model
注11：SIM3：Security Incident Management Maturity Model

富士通グループでは、今後もセキュリティレーティングを通じた客観的な評価に基づき、セキュリティ対策の継続的な改善に努めていきます。これらの取り組みを通して、ステークホルダーの皆様からの信頼を獲得し、パートナーシップの強化やお取引先の拡大などのビジネス面での好影響にもつなげていきたいと考えています。 

サイバーセキュリティおよび情報管理に関する基本的な教育に加え、最新動向や富士通の事案対応から学んだ実態と教訓を周知徹底しています。システム管理者向けにはシステム監視のガイドラインを発行するなど、専門人材のスキルアップにも取り組んでいます。また、インシデントを完全に防ぐことは難しいため、「有事を起こさないための取り組み」から「有事が起こることを前提とした取り組み」へ見直し、全社のインシデント対応力強化に取り組んでいます。
その1つとして、富士通グループでは、役員・社員を対象にした全社訓練を半年に1回の頻度で実施しています。具体的には、社会的インパクトのあるインシデントが発生した際の迅速な対応と影響の極小化を目的に、役員や各部門が参加するインシデント訓練、ビジネスや社内業務に携わるSE・セールスを対象に実践的なシナリオを想定した訓練を実施しています。これらの訓練での気づきは、「インシデント対応」の項目でご紹介した「インシデント対応ハンドブック・ガイドライン」に適宜反映し、全社で共有しています。さらに、従業員一人ひとりのセキュリティマインドの醸成を目的とした標的型メール訓練も継続的に実施しています。

注：2024年度の訓練実施回数：全社訓練1回、標的型メール訓練2回

富士通グループに向けてCISOおよびCISO組織から定期的に情報発信を行うとともに、各部門に配置したセキュリティ責任者を通じてセキュリティ施策を展開し、セキュリティに関する考え方や行動の変革に取り組んでいます。
2023年には富士通グループとしてのセキュリティ人材像を再定義し、セキュリティに関わるプロフェッショナル認定制度の見直しを行いました。全社・各部門のセキュリティ向上に貢献する人材としての姿を明確にしたうえで、プロフェッショナルとなる教育の実施とプロフェッショナルに見合った報酬制度の整備を行っています。これらの取り組みでセキュリティ人材を拡充し、各部門のセキュリティ体制の強化を推進しています。