突撃取材レポート
4社対談 クラウドサービス利用における
情報漏えい対策について語る
対談風景：左から株式会社Box Japan 土肥氏、株式会社ソリトンシステムズ 新井氏、デジタルアーツ株式会社 本澤氏
CTCSPは2015年度から、場所やデバイスを問わず社内の情報資産へ安全にアクセスするためのツール・仕組みをご提案する「ワークスタイル変革」をキーワードに、各種イベントやセミナーを通じて数多くのユーザー企業に提案を行ってきました。そうした中で、この数年、お客様のニーズが従来と少しずつ変わってきていることを感じています。特に顕著なのは、スマートデバイスの積極的な業務利用や、クラウドサービスを前提とした提案の必要性です。求められているのは、いつでも・どこでも・どんなデバイスからでも業務が実施可能な、まさにワークスタイルの変革ですが、利便性を追い求める半面、社内の機密情報にアクセスしやすくなることで情報漏えいなどのセキュリティリスクは確実に高まるのも事実です。
そこで今回は、クラウドサービスで世界的に圧倒的な成長を遂げているファイルコラボレーションサービス「Box」を日本で展開する株式会社Box Japanマーケティング部 部長の土肥 渉氏と、セキュリティ分野で独自の技術力を持ちクラウドを意識した製品を意欲的にリリースされている株式会社ソリトンシステムズ マーケティング部 モバイルセキュリティ マネージャの新井ひとみ氏、そして情報漏えい防止に効果的なソリューションを軸に事業を海外市場へと拡大しているデジタルアーツ株式会社 FinalCodeビジネス部 担当部長の本澤直高氏を迎え、クラウドサービスにおけるセキュリティをテーマに座談会を開催しました。
聞き手は、当社ソリューション企画推進部 部長の三田が務めました。
今やクラウドサービスは使うことが前提で
どのサービスを選択するかが問われている
進行をつとめるCTCSP三田
三田：本日は、クラウドサービスの利便性とセキュリティをどのように両立させていくべきかをテーマに、有力ベンダーのキーマンとして活動されている皆様からご意見を伺わせてください。
CTCSPもBoxのサービスをご提案していますが、これまで無償のクラウドストレージサービスなどを散発的に利用してきた企業が、ビジネスユースでのプラットフォームとしてクラウドストレージを本格的に検討した場合に、Boxを最終的に選択するというケースが増えていることを感じています。また、既にSalesforce.com等を活用しており、クラウドサービスに抵抗ない企業が、拡大活用というフェーズでBoxを使いたいというケースも増えるなど、クラウドサービスの利用拡大が始まっているのを感じています。Box Japanから見て、ユーザーの利用動向や傾向などはどのように分析されていますでしょうか？
土肥氏：Boxは一般にはコンテンツ・マネジメント・プラットフォームなので、以前まではLOB（Line of Business；業務処理を行うアプリケーション）などで利用し、部門内でのファイルシェアや共有で使われるケースが多かったのですが。最近は会社全体のコンテンツを管理するプラットフォームという形で、情報システム部門がオフィシャルに全社導入するケースが非常に増えています。それは恐らく、セキュリティの高いサービスを使いたいとか、コンテンツをガバナンスの効いた状態で管理したい、もしくはオンプレミスでコンテンツを管理するよりはクラウドで管理する方がコストや管理工数が少ないというさまざまな理由で導入するケースが増えているからだと思います。
三田：Boxは部門単位で使い始めて、その良さを認識したら全社導入に拡大するという流れが多いようですね。ソリトンシステムズもクラウドに対応した製品やサービスを積極的に市場へ投入しておりますが、クラウドサービスの動向はどのように見ていますか？
新井氏：私はセキュリティのクラウドサービスを8年ほど前から担当していますが、始めの頃は重要な機密情報を外部に預けることはまかりならんという風潮が一般的で、提案が非常に難しかったのを覚えています。でも、最近はそうした風当たりはあまり感じなくなっています。Boxさんのサービスはもちろんですが、Salesforce.comやOffice365、Google Appsなど、モバイルでグループウェアやファイル、コンテンツを安全に使いたいというニーズは今後ますます高まっていくと思います。
本澤氏：私も同様です。そもそもセキュリティが心配でクラウドサービスは使うか使わないかというレベルの選択でしたが、今は使うことが前提となり、何を選択するかが問われている状況です。デジタルアーツのソリューションの多くは、クラウドを前提としており、非常にやりやすくなってきましたし、商談も増えてきました。
自宅のタンス預金と銀行預金とではどちらが安全か？
Box Japan土肥氏の話に耳を傾ける新井氏（左）と本澤氏（右）
土肥氏：数年前までは、アメリカですらクラウドのマルチテナントの考え方を説明すると、自社のファイルが他社のファイルと同じサーバー上で保存されることなど信じられない、クレイジーだといわれました。しかし最近は、ファイルがラップトップ端末内に保管されていることなど信じられない、オンプレミスこそクレイジーだといわれています（笑）。自社で情報を抱えていると簡単に情報漏えいにつながってしまうので、むしろクラウドの方が安全だという認識が常識になりつつあります。最近ではBoxとOffice365を連携して使われることが多くなり、この流れは主流になるのではないかと思います。
三田：オンプレミスを生業としてビジネスを進めてきたCTCSPも、クラウドの技術を常に意識しておかないとお客様のニーズに応えられないというのが実感です。
土肥氏：例えば、自宅のタンス預金と銀行預金とではどちらが安全か、家の庭にある物置とトランクルームサービスではどちらが安全かを考えれば分かりますよね。
三田：その例えは分かりやすい（笑）。データセンター事業者はファシリティから企画、運用メンバーに至るまでが専門家が管理していますので、重要な餅（資産）は餅屋（プロ）に任せようということですね。
クラウド選びのポイントはいつでも・どこでも・
どのデバイスからでも安全に使えるもの
三田：では、クラウドサービスを使っているお客様の傾向として、以前と用途が変わってきたと感じていることはありますか？
土肥氏：Boxの場合は、ファイルを外部とセキュアかつ簡単にシェアできること、モバイル端末でも安全に利用できることなどが特徴ですが、最近はセキュリティという側面で価値を理解していただいています。単なるファイルストレージ、クラウドストレージとして使われていたものを、セキュリティを重視したい、モバイルでも使いたいというユースケースが広がっています。
新井氏：クラウドがここまで広がった理由のひとつに、やはりモバイルという要素は欠かせません。クラウドの選択においては、いつでも・どこでも・どのデバイスからでも利用できるものを選びましょうという鉄則があります。今はそれに加えて、安全に使えるものを使いましょうという項目が加わっています。多くの企業ではラップトップやノートPCは支給していても、社員はタブレット端末の方を使いたいと考えているので、追加で支給するのか、BYOD（個人所有デバイスの業務利用）を認めるかという選択を迫られています。お客様の変化は、利用形態の変化にまで広がっていることを感じています。
本澤氏：デジタルアーツでも、昔は当社がユースケースを考えて、使い方を示さないと導入していただけないことが普通だったのですが、クラウドはすぐに始められて、いろいろなことを試すことができるので、カスタマイズ性や連携性を高め、自社のワークフローに組み込めるよう、簡単に試せる状態にしておくことが重要になっています。我々が想定していない使われ方や目的で活用するケースが増え、反対に気付かされることが多くなっています。
Boxと連携する2つの情報漏えい対策ソリューションに注目
三田：一方で、企業がクラウドサービスを利用する際にはセキュリティの確保が重要な課題となっています。その点はいかがでしょうか。
土肥氏：Boxにおけるセキュリティへの取り組みには主に4つのポイントがあります。1つは、Boxサービス自体のセキュリティ強化。高度にセキュア化したデータセンターを活用しています。2つ目は管理側の設定の柔軟性。データをシェアする際もさまざまなセキュリティ設定や権限設定が可能になっています。
3つ目は、世界のセキュリティ標準への準拠。世界トップクラスの厳しいセキュリティ基準に合わせた管理を行っています。そして4つ目は、セキュリティベンダーとの協業。今回この場にいらっしゃるソリトンシステムズやデジタルアーツのような、セキュリティ分野のトップベンダーと連携しやすいソリューションとなるようサービスを強化しています。
自社の「Soliton SecureBrowser」とBoxの連携について説明する新井氏
新井氏：最近、複数のクラウドアプリメーカーとお話しする機会があり、そのお悩みを伺っていると大きく次の3つに集約されます。1つはアクセスするデバイスの特定。PCやスマホなどどんな端末からでもアクセスできるのがクラウドサービスのメリットですが、企業としてはアクセスを許可するデバイスを特定したいと考えています。2つ目は、アクセス経路の制限。クラウドサービスとはいえ会社からなどアクセス経路を限定したいと考えています。3つ目はデバイスからの情報漏えい防止。ファイルを操作した後にデバイスにファイルが残ってしまうと、そこから情報漏えいするリスクが高まります。
三田：ソリトンシステムズはBoxと共同で情報漏えい対策ソリューションを発表されていますね。
新井氏：はい。2015年11月にBoxと共同で、当社の「Soliton SecureBrowser」（以下SecureBrowser）を活用したBoxの情報漏えい対策ソリューションをサービス化しました。SecureBrowserは、VPN機能を内蔵し、利用時に電子証明書による端末認証を行った上で利用を許可する仕組みによって、オンプレミスやクラウドにまたがった企業のWebシステムを、安全かつ簡単に利用できるリモートアクセス製品です。Webアプリの閲覧ファイルやデータのキャッシュは自動消去されるため、端末にデータは残らず安全に運用ができるので、クラウドアクセスのセキュリティ強化や端末からの情報漏えいの防止も実現します。
このSecureBrowserとBoxの双方のアクセス制御機能を連携させ、アクセス経路に応じたBoxの利用制限やデバイス認証、ドキュメント閲覧のセキュリティ機能を有効化することで、Boxへの不正アクセスとPC・スマートデバイスからの情報漏えいを防ぎ、社外からでも安全にBoxを利用できる環境を実現しています。
FinalCode-Box連携ソリューションの強みについて話す本澤氏
三田：デジタルアーツさんは、さらにファイル自体をセキュアに管理するアプローチを訴求しており、クラウドも含めたセキュリティ強化を推進されてらっしゃいますね。
本澤氏：そうなんです。当社の｢FinalCode」は、重要ファイルを暗号化して配布した後もその利用状況を追跡し、遠隔からでも削除が可能なファイル暗号化・追跡ソリューションです。開封を許可するユーザーやグループを限定してファイルを暗号化するため、転送されていても第三者への間接情報漏えいリスクを防ぐことができます。暗号化ファイルは配布後も動的に権限を変更できるので、従来では不可能だった重要ファイルの削除も簡単に実現します。
実はこのFinalCodeがBoxと相性が良く、お互いの強み同士を密に連携させるソリューションを開発したことで、Boxから第三者に渡ったファイルも安全にコントロールできるようになりました。Boxの外部コラボレーター管理機能と外部連携APIを活用することで、他のクラウドサービスよりも柔軟に運用でき、かつFinalCodeを全く意識せずにBoxの外に出たファイルも暗号化やコラボレーター設定などが適用されるので、運用負荷を感じさせない容易性も特徴です。これはクラウドサービスを利用する上でとても大事な点だと思っています。
土肥氏：両社との協業によってBoxの利用機会がさらに増えていくと考えています。例えば、製造業では大量のCAD/CAMデータが存在し、それらを最重要な情報資産として厳密に管理しなければなりませんが、ものづくりをする上では関連会社や協力会社など外部企業とも共有しなければなりません。クラウドサービスは便利だが不安も大きいという声が多かったのも事実です。しかし、FinalCode/Box連携ソリューションが利用されることによって今後は安心してご利用いただけるケースが増えてくると考えています。
究極のセキュリティとは
意識しないでセキュリティが実現した状態のこと
三田：これら日本発のBox連携ソリューションは、今後グローバルでも拡大できそうですね。
本澤氏：私の知る限りでは、FinalCode-Box連携ソリューションのようなクラウドサービスはまだ存在していません。そのため、今後は日本発のセキュリティソリューションとしてグローバルにプレゼンスを広げていく予定です。今や、情報やサプライチェーンは国を跨いだ複雑なものになっており、ファイルやコンテンツを安全かつ容易にシェアできるサービスの需要は非常に高いと考えています。当社がBox Japanと協力してビジネスを進めることには大きな意味があります。
新井氏：当社もグローバルでの展開に注力しており、積極的に海外の展示会などにも参加して日本発のソリューションを提案しています。そこで分かったのは、日本特有のニーズとは異なる部分が多いということ。データ共有の作法が日本ほど厳格ではなかったり、ネットワーク環境が悪い地域があったりするため、SecureBrowserのようなリモートアクセス製品のみならず、別のソリューションを組み合わせてどのようなニーズにでも対応できるような製品やサービスを提案していく計画です。
また、クラウドサービスと連携するセキュリティソリューションにありがちな、セキュリティを高めるとクラウドの利便性が損なわれるようなことは避け、それらの高いレベルでの両立をポリシーとして提供しています。BoxのUIは優れていると評判なので、SecureBrowserとの連携ソリューションではそれを活かした形でサービス化しています。今後もそうしたユーザー視点を大事にして製品やサービスを提供していきたいと考えています。
三田：確かに、ユーザー部門で歓迎されなければ、いくら優れた製品やサービスでも使われなくなり、せっかくの利便性を享受できない悪循環となります。
本澤氏：究極のセキュリティとは、意識しないでセキュリティが実現されている状態のことだと考えています。しかし、セキュリティインシデントは毎日のように発生しています。それは人が意識してセキュリティをかけることを前提にしているために起きているのです。セキュリティは意識してかけるものでも、主役でもなく、業務の裏に隠れて作用すべきのであり、FinalCode-Box連携ソリューションはまさにその効果を狙ったものです。お客様のワークフローの中に自然と入り込んでいるような視点で活用を提案していくつもりです。
また、日本、北米、欧州とセキュリティ要件は異なっています。それぞれの優れた特徴を集めて、日本だけでオペレーションしていては実現しないソリューションを開発できればとも考えています。
三田：CTCSPも皆さんが指摘くださった視点を意識して、今後もお客様にとって価値ある製品やサービスを訴求していくつもりです。本日は貴重なご意見をありがとうございました。