정보 보안 지식을 전파하는 전도사

정보 커뮤니케이션 부문의 기획 개발 담당으로서 보안 컨설팅 팀의 리더를 맡는 사토. DNP그룹이 신용카드의 국제 브랜드의 엄격한 공장 감사에 지속적으로 대응하는 체제를 구축한 것이 "카드 공장"으로서의 보안 체제를 세계 수준으로 밀어 올렸다고 그는 실감하고 있다.

DNP는 1980년대 IC카드 개발에 착수해 개인정보를 다루는 고도의 보안이 요구되는 IC카드 제조·발행 등으로 국내 최고 점유율을 획득하고 있다. 그 사업을 진행하는 가운데 매년 국제 브랜드 신용카드 회사의 인정 감사를 받아야 한다. 거기에서는 시큐리티 카메라의 설치나 입실 제한 등, 「피지컬」이라고 불리는 공장내의 체제 뿐만이 아니라, 사이버 공격 대책 등 「로지컬」이라고 불리는 대응도 엄격히 요구된다.

사토는 국제 브랜드 카드 회사가 책정한 보안 관련 사양서를 일본어로 번역하거나 감사 시 통역을 맡는 등 엄격한 요구를 공장 멤버에게 전하는 다리 역할을 담당해 왔다. 신용카드를 제조하는 DNP의 여러 공장에는 엄중한 경비체제 아래 극히 제한된 직원만이 넣는 고보안지역이 있으며, 사토는 그 지역 내에서 카드사에 의한 감사대응을 비롯한 업무 경험도 풍부하다. 이러한 귀중한 경험을 살려 일본인으로서 처음으로 지불 카드 인더스트리(PCI) 보안 스탠다드 카운실(PCI SSC)의 내부 보안 평가인(ISA)의 자격을 취득. 현재는 금융업계에 더해 자동차 등 다양한 업계의 보안 컨설턴트로도 활약한다.

“다양한 업계에서 IoT 기기가 도입되어 인터넷에 연결됨으로써 이러한 기기를 표적으로 한 사이버 공격도 날마다 진화하고 증가하고 있지만, 그에 비해 일본 기업의 대부분은 후반에 돌고 있는 것이 현상입니다.

2008년 국제 브랜드 신용카드 각사는 카드를 제조·발행하는 공장의 사이버 공격 대책에 관한 '로지컬' 요구 사양을 대폭 강화했다. 구미의 보안 대책은, 모두가 신뢰할 수 없는 「제로·트러스트」라고 하는, 말하자면 성악설의 생각에 근거하고 있다. DNP에서도 이전부터 고도의 보안 체제를 깔고 있었지만, 그 이상의 기준을 요구받았다.

침입 테스트나 취약성 진단의 정기 실시 등 현재 많은 기업이 실시하고 있는 기준에 더해 "USB 메모리 사용 후는 여러 번 무작위로 덮어쓰고 삭제", "Windows 단말기의 업무에 불필요한 소프트웨어 등을 삭제" 등의 조건도 있었다. 또, 「종업원에게 부여된 권한을 퇴직일 이전에 무효화 또는 삭제」 「무선 기기를 사용하고 있지 않아도, 무선 LAN 티에크를 정기적으로 실시」라고 하는, 성악설을 전제로 한 기준의 내용도 많아, 기본적으로 성선설로 움직이는 일본 기업으로서는, 「거기까지 해야 하는 것인가?」라고, 현장으로부터의 반발도 있었다.

그러나 DNP의 현장 대응력은 높다. 사양서에 있는 기준에 대해 카드회사의 감사관이 이유를 설명하자, 현장은 그 목적을 이루는 보다 저비용의 보안 대책을 고안해, 감사관을 설레게 하기도 했다. “공장에서 일하는 사원의 큰 의식 개혁에도 성공해 DNP의 보안 대책은 세계 수준에 이르렀습니다”라고 사토는 말한다.

비용을 들이지 않는 대책으로서, 예를 들면 이바라키현에 있는 DNP 우시쿠 공장에서는, 사외의 방문자에 대해서, 사원이 「안녕」라고 의도적으로 말을 걸어, 사외의 사람이 공장내의 어디에 있는지를 많은 사원에게 주지시키고 있다. "유효한 보안 대책이며, 오신 분들에게도 불쾌한 생각을 하지 않습니다."

“보안에 관한 해외의 선진적인 사고방식을 재빨리 도입함으로써 DNP는 보안 체제를 한층 강화할 수 있었습니다”라고 말하는 사토이지만, 이 지견이 컨설팅에도 사용할 수 있다고 확신한 것은 2014년이 되고 나서다.

「일본의 제조업에서는, 지금까지, 정보 시큐러티에의 의식이 그다지 높지 않았다고 생각합니다. 그러나, IoT나 CASE※1의 진전, 공장에의 로보틱스의 도입 등, 제조업에서도 인터넷에 기기등을 연결할 수밖에 없게 되어 하지만 사이버 시큐리티 대책의 강화가 요구되게 되었습니다.” 그러나, 본업으로서 지극히 높은 시큐리티가 요구되는 금융업과는 달리, 제조업이 같은 시큐리티 체제를 즉시 깔는 것은 무리가 있다고, 사토는 말한다. 「최고봉 수준의 대책의 즉각 도입에 대해 금융 이외의 업계에 제안하면, 답답해져 활동이 정지해 버리는 「다카야마병」이 되어 버립니다.최적의 운용 방법이나 코스트를 노래하면서, 단계적이고 무리가 없는 시큐러티 대책의 도입에 대해서 제안해야 합니다」

세계 보안 대책의 선진 사례를 전하는 것도 컨설턴트하는 중요한 역할이다. 세미나에서 강사를 맡을 때도 세계의 사이버 공격에 대한 질문이 많다. 거기에 대답하려면 항상 세계의 최신 정보를 입수하는 것이 중요하다. 사토는 세계 각지의 수십 개의 시큐리티 정보 사이트를 자신의 스마트폰으로 북마크하고, 통근 등의 틈새 시간을 이용해 정보 수집에 전념한다.

사이버 공격이 보다 교묘해지고, 건수도 증가하는 가운데, 사토 등이 제공하는 보안 컨설팅의 수요는, 향후 점점 늘어날 것으로 예상된다. "제로 트러스트의 사고방식을 재빨리 도입한 DNP의 확실한 지견은 일본 기업에 있어서 큰 무기가 될 것이라고 생각하고 있습니다."

향후 일본에서는 금융과 자동차 분야뿐만 아니라 특히 의료 분야에서의 보안 강화가 필요하다고 사토는 생각하고 있다. 일본에서는 눈에 띄지 않지만 해외에서는 자주 의료 분야의 보안이 깨지기 때문이다. 사토는 사내 후진 육성에 주력하면서 성장 분야인 의료 분야에도 대응해 나갈 예정이다.

일 절임의 날들이 계속되는 가운데, 숨결은 가족과 휴일에 즐기는 「포켓몬 GO」다. 집 주위를 걸으면서 포켓몬을 찾아 배틀에 도전한다. 운동이 되므로 건강 관리에도 도움이 된다.