インタビュイー：
SecurityScorecard株式会社 代表取締役社長 兼 日本カントリーマネージャー 藤本 大 氏

インタビュイー：
SecurityScorecard株式会社 シニアソリューションアーキテクト 森 氏

SecurityScorecardが提供するのはどのようなサービスですか？

当社が提供しているサービスの中核となるのが「セキュリティレーティング」と呼んでいるサービスです。それぞれの組織を攻撃者の視点で見たときに、どれくらい攻撃されやすい、あるいはされにくい環境にあるのかを、A・B・C・D・Fの5段階および100点満点で、いわば成績表のような形で表現するサービスです。2013年の設立当初からコアサービスとして提供してきたもので、日本でも多くの導入実績があります。

仕組みとしては、まず攻撃者が攻撃を仕掛ける前の「情報収集・初期偵察」のフェーズに着目しています。攻撃者も効率よく目的を達成したいので、まずどの組織が攻めやすいかを調べるわけですね。私たちは、彼らがどういった情報を収集しているのかというノウハウを持っていて、それと同じ情報を世界中に配置した独自のグローバルセンサーを使い、非侵入・非破壊の手法で先回りして大量に収集しています。

確認したい組織のドメインを入力すると、そのデータの中からどういった問題点がどれくらい見つかっているのかをピックアップし、同規模・同業界の組織と比較した相対評価として、A〜Fの5段階・100点満点でスコアを出します。たとえばアプリケーションセキュリティでどんな問題が見つかっていて、それがどこにあって、リスクは何で、推奨される対応は何か、というところまで深掘りしていけます。これを関係者の皆様と共有していただくことで、改善活動につなげていただけるサービスです。

特徴的なのは、このA〜Fの評価が、将来サイバー侵害を受ける可能性と相関しているという点です。A評価の組織が将来サイバー侵害を受ける可能性を1とすると、F評価の組織はその13.8倍も可能性が高くなる、という統計結果が出ています。スコアを良くしていくことが、そのまま将来の侵害リスクを下げることにつながるわけです。

このサービスが生まれた背景を教えてください

創業者のアレックス・ヤンポルスキーは、もともとゴールドマン・サックスやギルトグループでCISO（最高情報セキュリティ責任者）を務めていた人物です。当時、取引先ベンダーのセキュリティ状況を把握したいという思いがあったのですが、なかなか把握できず、自社のデータが知らないうちに危険にさらされているのではないか、という不安を抱えていました。

そのとき彼が感じていた本質的な問いが、「健康診断に行けば血圧が測れるし、車に乗ればスピードメーターで速度がわかる。それなのに、なぜセキュリティだけは測れないのか」というものでした。個人の信用リスクをクレジットスコアで数値化しているように、企業のセキュリティリスクもスコアで表せたらいいのではないか。そこから生まれたのが当社のセキュリティレーティングサービス「Ratings」です。

そうした背景がありますので、当社のミッションは「組織がサイバーリスクを正確に理解し、経営層・従業員・取引先に明確に伝えられる世界をつくること」、そしてAIを活用した自動化・自律化の世界を目指していくことだと考えています。

競合と比較したときのSecurityScorecardの強みはどこにありますか？

大きく3つあると考えています。1つ目は、自前のデータを使ってスコアを出し、問題点をお客様にお伝えしている点です。同業のベンダーの中には、自社で収集したデータではなく外部から購入したデータを使っているケースもあると思いますが、当社はデータの99%を自前で揃えています。しかも、ここ10年以上にわたって99%のデータを使い続けてきていますので、その蓄積を活用できますし、リスク管理にどういうデータが必要なのかを自分たちで考え続けているので、今後もこの部分には特に力を入れていきます。

2つ目は「予測できる」という点です。通常のツールは、ぱっと見て「ここに問題があるね」で終わってしまうことが多いのですが、当社は「このような問題が存在することで、情報漏洩のリスクが高い傾向にある」という示唆を与えられるよう、予測の部分を非常に重視しています。先ほどの13.8倍という相関も、その一例です。

3つ目は、統合的なプラットフォームであることです。サードパーティリスク管理やサプライチェーンリスク管理を考えるとき、社内では調達部門やリスク管理チーム、実際に問題を直すSOCや情報セキュリティ部門など、立場の異なる人たちが関わります。当社のプラットフォームは、共通のグレード・スコアを使って、それら社内の上から下まで、左から右まで、横のつながりも含めて、みんなが1つの画面で対応を計画し、実行していけます。専門知識も関心も違う人たちをつなぐ「共通言語」として使っていただける点が、他社との大きな違いだと考えています。

「毎日チェックできる」という点について、もう少し詳しく教えてください

私たちが目指しているのは、健康診断のように年に一度だけ見るのではなく、毎日きちんと継続的に見ていける状態です。ITの世界は、新しい製品が出たり、新たなセキュリティ事件が起きたりと日々状況が変わっていきます。去年はA評価だったのに今年見たらCに落ちている、ということも普通に起こります。ですので、できる限り毎日チェックできる体制が大切だと考えていますし、当社の製品をお使いのお客様も、そういう意識の強い方が多いです。

とはいえ、自社やグループ会社、取引先を毎日プラットフォームで細かく見ていくのは大変だと思います。そこで、当社のプラットフォームではアラートの設定ができるようにしています。たとえば頑張ってA評価まで持っていった組織が、外部要因でB・C・Dに落ちてしまったとき、メールやSlackへの通知、他サービスとの連携といった形で、プロアクティブにアラートを受け取れます。毎日プラットフォームを見に行かずとも、変化があったときに気づける機能を提供しています。

イメージとしては、一軒家を外から眺めているようなものです。当社が集めているのは公開データだけなので、家の中に入って金庫を開けられるか試すようなことは一切していません。あくまで外から見て、塀が高いか低いか、2階の窓が開けっぱなしになっていないか、人が来たらランプがつくような対策をしているか、といったところを見ていく。そう考えていただくとわかりやすいかと思います。脆弱性診断のようなスポットでの確認も必要なものだと考えていますが、当社は外から継続的に見ていくという点に特徴があります。

どのような部署・役職の方から導入のご相談が多いですか？

少し歴史的な経緯からお話しすると、当社は2018年ごろから日本でビジネスを始めていて、私は2020年に日本の最初の社員として入りました。2022年ごろまでは、自分の組織が外から見てどう評価されるのかを把握したいという目的での導入がほとんどで、その場合のやり取りはIT部門や情報セキュリティ部門の方が中心でした。

ところが2022年以降は潮目が変わってきまして、グループ企業や取引先も含めたサプライチェーンリスク管理を目的に導入いただくお客様が非常に増えています。この場合は、ITやサイバーセキュリティの方だけでなく、調達部門・プロキュアメント部門の皆様と一緒にお話をさせていただくケースが増えてきました。

役職のレベルで言うと、これまで日本経済新聞に何度も取り上げていただいたこともあり、CxOクラスの方から直接ご連絡をいただくこともありますし、取締役の上位層の方とお話しすることも多いです。割合で言えば、7割ほどが現場レベルの皆様、3割ほどが上位層の方と直接お話しを始める、という感覚ですね。サイバー侵害が起きたときに矢面に立つ立場の方ほどアンテナが高く、判断も早い傾向があります。

最近、導入のご相談が増えている理由は何ですか？

一言で言うと、サプライチェーンリスク管理をしたいというニーズが増えています。サプライチェーンの中には、グループ企業、取引先、委託先などいろいろありますが、それらをすべてひっくるめてサプライチェーンリスク管理と呼んでいます。少し前までは、資本関係もない取引先を勝手に評価して「あなたはここに問題があってC評価です」と伝えるなんてけしからん、というお叱りを受けることもありました。それが今では、サプライチェーンリスク管理という考え方がだいぶ市民権を得てきたと感じています。

背景としては、各省庁が警鐘を鳴らしていることもありますし、IPAが発表している情報セキュリティ10大脅威の中でも、サプライチェーンの弱点を悪用した攻撃が長年にわたって上位にランクインしています。直近では、経済産業省が主導しているサプライチェーン対策の評価制度（SCS評価制度）への関心も高まっていて、それにキャッチアップするためにサプライチェーンをどう評価すればいいのか、という観点でお問い合わせをいただくことも増えてきています。

数あるツールの中でSecurityScorecardが選ばれる決め手は何ですか？

いろいろな観点はありますが、いちばん感じるのは、立場の異なるステークホルダー同士がコミュニケーションを取るための「共通言語」として使えるという点で評価いただくケースが多いことです。経営層、サイバーセキュリティチーム、調達部門では、専門知識も関心も違います。経営層の方はサイバーセキュリティを理解しなければとは思っていても、細かな脆弱性の情報を言われてもよくわからない、というのが正直なところだと思います。

これまでのITセキュリティは「パッチを当てましょう」「脆弱性をなくしましょう」というのが主流でした。それが、サイバーセキュリティはビジネスリスクだという観点に大きくシフトし、経営層が意識し始めてくれた。とはいえ、そうした方々にITセキュリティのレベル感の話をしても伝わりにくい。「あなたの会社は今こうですよ」と見える形にすることで、ご本人たちも危機感を持てますし、競合他社とのスコア比較をされるお客様もいて、自分たちは競合よりちゃんとやれているか、という判断にも使われます。風通しを良くするコミュニケーションツールとして使っていただけるところが、当社の強みの1つだと考えています。

実際に導入した企業ではどのような変化が生まれていますか？

正直なところ、効果を数字でお見せするのが難しい世界ではあります。海外の事例では削減率のようなデータも持っていますが、国内での使われ方を中心にお話しさせていただきます。

従来、大手の製造業の企業様がグループ会社や取引先のサイバーセキュリティ状況を把握しようとすると、セキュリティのガイドラインを作って周知し、守れているかどうかは年に1回、設問数の多いアンケートを取る、というアンケート依存の管理手法しかありませんでした。グループ会社まではそれでやれていても、そこから先の取引先数百社・数千社をどう見ればいいのか、というところで手詰まりになっている企業様が非常に多い状況でした。

当社のツールを使っていただくと、把握すべき対象に対してアンケートを取ったり事前の了解を得たりすることなく、ドメインを登録するだけで概要を把握できます。これが今までできなかったことができるようになるという意味で、大きな違いになっています。実際に、超メジャーな製造業の企業様が、数百から数千の取引先を対象にサプライチェーンリスク管理のプログラムを走らせられた事例があります。説明会には毎回それだけの数の取引先企業が参加されていて、グループ会社のみならず取引先の状況まで見えるようになり、その中での共通言語として機能している。これが大きなインパクトになっていると考えています。

どのような企業に向いているサービスですか？

業種・業態に関しては、比較的、製造業のお客様が多いですが、金融や重要インフラのお客様も非常にたくさんいらっしゃいます。ですので、業界特性として特に強い相関があるわけではないと考えています。

規模で言うと、他のセキュリティソリューションに比べれば本当にわずかな金額だと思いますが、年間の利用料がかかりますので、現状はエンタープライズ系のお客様が多いです。ただ、今まさに起きているのは、各産業のトップにいるエンタープライズ企業が当社のサービスでコミュニケーションを始められ、そこから仕事を受けている中堅・中小のお客様にも当社の存在が広がっている、という流れです。大企業から指摘を受けた中堅企業が「これはいいね、納得感が高いね」と、自社のサプライチェーンリスク管理にも使おうとご採用いただく。そういう波が今来ています。具体名は申し上げられませんが、国の関係機関でもご採用いただいています。

サポート体制について教えてください

日本のお客様をサポートするという点で、大きく3つあります。1つ目は、日本のチームをきちんと持っていることです。本日参加しているセールスと技術の人間に加えて、ご購入いただいたお客様をサポートするCSM（カスタマーサクセスマネージャー）も日本人として国内に置いています。2021年にSecurityScorecard株式会社として法人を立て、日本人社員を雇用して活動している会社は、当社のような業界のサービスを提供している企業の中ではほとんどないはずで、ここは最終的な信頼につながる大きな差別化ポイントだと考えています。

2つ目は、パートナーの存在です。販売にあたっては力強いパートナーの皆様にご協力いただいていて、パートナーが提供するサポートサービスが、日本のお客様を支えるメインになっています。3つ目として、パートナーの技術担当やサポート担当では難しいことが起きたときには、当社のCSMが積極的に出ていく体制を取っています。

さらに踏み込むと、当社はパートナーの皆様と日頃から頻繁に連絡を取り合う、非常に親密な関係を築いています。エンドのお客様の声だけでなく、パートナーの「こうしてほしい」という声も本社に届ける役割を担っていて、パートナーと一緒に、日本語でエンドユーザーをサポートしていく。これは当社が誇りに思っているところです。CEOが掲げる「世界を安全な場所にしよう」という思いのもと、私たちは日本のチームとして「日本は絶対に安全にしよう」という気持ちで取り組んでいます。

料金体系はどのようになっていますか？

できる限りシンプルにお伝えすると、料金に影響するのは「同時に何社の状況を把握したいか」という一点です。継続的に同時に把握したい対象企業の数が料金に影響します。一方で、何名でプラットフォームを使うかは料金に影響しません。1人で使っても、10名でも、100名でも、そこは変わらない仕組みです。

なお、自社だけを確認したい場合は、有償サービスを使わなくても無償ライセンスがあり、無償アカウントを作っていただくことで確認できます。見栄えは基本的に同じですが、一部機能に制限がありますので、より使いやすさを求める場合は有償の方を選ばれるお客様もいらっしゃいます。有償プランは、自社だけでなくグループ会社や取引先を含めたサプライチェーンリスク管理をやっていく場合に必要になってくるもの、とお考えいただければと思います。

今後どのような展望を描いていますか？

冒頭から申し上げているように、当社は、日本でもまだどうすればいいか模索されているサードパーティリスク管理・サプライチェーンリスク管理に力を入れている会社です。ですので、その部分をお客様がより楽に簡単にできるようになるツールの提供を、大きな目標として掲げています。

その1つが、脅威起点のTPRM（サードパーティリスク管理）です。これまでは「脆弱性が見つかったから直さなければ」という世界が基本でしたが、すべてのベンダーを管理する中でそれを全部やっていくのは非常に難しい。そこで、今どの問題が注目されるべきなのか、どの問題を早く直すべきなのか、という脅威情報も加えてお客様にお渡しすることで、ベンダーへの周知や自社・グループ会社への対応をより早く効率的に行えるようにしていきたいと考えています。

もう1つは、AIエージェントの機能です。これまで何クリックもして、CSVを出してマクロをかけて、という手間必要だった分析を、AIエージェントを仕組みの中に組み込むことで簡単にできるようにしていきます。そしてもう1点はデータです。当社の強みは自分たちで集めている脅威やセキュリティの情報です。世界中に配置したDNSシンクホールやハニーポットからの情報、ダークウェブ上に流れる漏洩情報、漏洩事件を起こした企業・組織の情報——こうした幅広い情報を独自に収集しています。これらの収集力とスキャン精度を磨き続けることで、問題発見能力を高め、データの質と量をさらに強化していきます。

まとめ・編集部コメント

SecurityScorecardは、企業のセキュリティリスクをA〜Fの5段階・100点満点で可視化するセキュリティレーティングを中核に、サプライチェーン全体のリスク管理を支援するサービスを提供しています。「企業のセキュリティを、クレジットスコアのように測れるようにしたい」という創業者の問いから生まれたこのサービスは、データの99%を自前で収集する独自基盤と、将来の侵害可能性との相関に基づく予測力を強みとしています。

特に印象的なのは、専門知識の異なる経営層・セキュリティ部門・調達部門をつなぐ「共通言語」として機能する点です。取引先数百社・数千社を一目で把握できるレポートによって、これまでアンケート依存だったサプライチェーンリスク管理を大きく効率化できる点は、多くの企業にとって実用的な価値があると考えられます。2021年に日本法人を設立し、日本人チームとリセラーパートナーによる手厚いサポート体制を整えている点も、海外発のサービスとしては安心材料となるでしょう。

取引先や委託先を含めたサプライチェーンのセキュリティ管理に課題を感じている企業や、経営層と現場の認識のギャップを埋めたい企業にとって、有力な選択肢となるサービスです。サプライチェーンリスク管理の進め方に悩んでいる場合は、まず相談してみることをおすすめします。