from NTTデータ

NTT データが取り組むゼロトラスト業務環境
働き方改革やデジタルトランスフォーメーション（DX）の推進で，企業は従業員に対して場所や端末によらず業務実施可能な環境を提供する必要がでてきました．NTT データでは，従来からシンクライアントを活用してセキュアな執務環境を確保してきましたが，それに加え，より快適なコミュニケーション手段や開発環境提供のため，ゼロトラスト技術を活用してセキュリティを確保した FAT 環境の導入を開始しました．ここではこの取り組みについて説明します．

はじめに
現在，NTT データグループには世界53カ国・地域，225「Digital を活用した働き方の改革」の必要性

都市，約13万3000人の社員がいます．M&A により急速な2021年 9 月 1 日にデジタル庁が設立され，デジタル社会拡大をしており，海外従業員は全従業員の約78％に達しての形成を図るため，行政機関をはじめとする各方面のデジいます．ここでは，デジタルトランスフォーメーションタル化推進の政策が本格化しています．厚生労働省が主幹（DX） ・働き方改革やグローバル化というキーワードをとなり「働き方改革」の実現に向け，さまざまな取り組み中心に，急速なグローバル化で NTT データが直面した課が進められています．日本経済団体連合会は，「企業の働題とその対策として実施した，ゼロトラスト技術を用いたき方改革」を支援するさまざまな活動を行ってきました．

＊1

セキュアな執務環境の導入について紹介します．

NTT データグループは，M&A を急速に拡大してきたため，海外従業員は全従業員の約78％に達しており，多様な人材が業務に携わっています．NTT データでは，コロナ＊1

禍以前より「Digital を活用した働き方の改革」を中期経

経済産業省の「デジタルトランスフォーメーションを推進するためのガイドライン」（DX 推進ガイドライン）では，「企業がビジネス環境の激しい変化に対応し，データとデジタル技術を活用して，顧客や社会のニーズを基に，製品やサービス，ビジネスモデルを変革するとともに，業務そのものや，組織，プロセス，企業文化 ・ 風土を変革し，競争上の優位性を確立すること」と定義しています．

タブレット

営計画にも掲げ，どのように実現するかを検討していました．特に「いろいろな端末」で「どこからでも」「クラウドサービス」を実現する，「新たな業務環境」をめざし構築を推進する必要があると考えていました（図 1 ）．

自宅

スマートフォン

いろいろな端末でTeams

仕事ができる

仕事ができるFAT PCbox

ホテル

レンタルオフィスzoom

図 1 「Digital を活⽤した働き⽅の改⾰」を実現させるために必要なこと

582021.9

飲食店

仕事ができるOﬃce365

クラウドサービスを使ってMac PC

どこからでもグローバルに対応したセキュリティガバ
ナンス策を如何に適切に行うかがより重要になります．NTT デー

M&A により新規にグループに参加した企業の IT 環境は一方のグローバルガバナンスについては「リージョン最さまざまです．NTT データグループ全体では，情報共有適型」の組織モデルを採用しました．M&A により拡大しのための共通ネットワークが整備されていますが，共通ネッたグループ会社は業種も業態もさまざまであり，一方的なタグループでもこの点を踏まえて対策を実施しました（図2 ）．

トワークに接続する各拠点のセキュリティレベルには格差ガ バ ナ ン ス の 統 合 は 困 難 で す． 商 習 慣 の 違 い や GDPRがありました．NTT データグループ全体のセキュリティ（General Data Protection Regulation）等の規制への対策レベルを調査すると，海外グループの平均値が本社水対応とグローバル経営効率化の観点から，グローバル HQ準の約半分という結果となりました．セキュリティレベル（Head Quarter：日本の NTT データ）が策定したポリシーの低い拠点がサイバー攻撃の踏み台となり，グローバル全に基づきリージョン HQ でルールを策定し，グローバル体が脅威にさらされることになります．このため，グローHQ が監査を実施するような体制としました．また，そのバル全体のセキュリティレベルをいかに底上げしていくか決定にあたっては世界各地域のグループ会社の CISO（情が課題でした．

報セキュリティ最高責任者）が集まり，セキュリティ対策また，リージョンごとの法律や商習慣の違いもあります．の策定や運用についてグローバルで連携を図りながら合意

例 え ば， 日 本 流 の セ キ ュ リ テ ィ 対 策 は， ア ジ ア 太 平 洋形成を進め，各社が納得したうえで施策を推進してきまし（APAC）にとっては過剰であり，北米・欧州連合（EU）た（図 3 ）．

にとっては時代遅れととらえられており，セキュリティ対策の方針統一が困難でした（表）．

NTT データグループのガバナンスの考え方
NTT データグループにおけるガバナンスのあり方を考えるにあたっては，サイバーセキュリティ対策の考え方と，グローバル全体でのセキュリティ対策の統一
グローバル全体でガバナンスを向上させるため，ソリューションの導入にあたっては以下の 5 点を要件としました．
①② マルチテナント（会社単位で，分析を可能とする．

グローバルガバナンスの両面からアプローチを行いました．
サイバー攻撃は，攻撃者側が圧倒的に有利という非対称性を持っています．脆弱性は日々新しいものが発見されており，攻撃手法も日々変化しています．クラウドサービス

コスト（最重要要件はコストである）

M&A による会社の増減を考慮する）③

場所（グローバルで購入ができる製品であること）④ 言語（グローバルでサポートが可能であること．英語は必須）の活用においては特にその傾向が顕著です．こういった情⑤ 機能（NTT データが実施しているリスク分析の結果，勢にあって，防御側（企業）がすべての攻撃を防ぐことは重大リスクに該当するリスクに対して，適切な機能を不可能です．「攻撃は受けるもの」として考え，セキュリティ持っていること）

対策のトレンドは「防災」から「減災」へシフトしていま

グローバル各社の強みを活かし，海外グループ会社で導す．これまでの防御に加えて，検知および対応・復旧の対入済みの先進的なソリューションを採用し，APAC へは

表

リージョンにおけるセキュリティ対策の違い

APAC

⽇本

欧⽶

重視する
ポイント

コスト＞セキュリティ

無停⽌＞セキュリティ

セキュリティ＞無停⽌

管理対象の機器数

少ない
・拠点は少数・管理が容易

中程度
・拠点は多いが国内・⼈⼿による管理がギリギリ多い
・拠点は複数国に渡る・⼈⼿による管理限界を超えている

商⽤ネットワークと社内ネットワークの分離

混在

分離

混在

2021.959

from

NTTデータ

図2①輸出型
国内で開発・生産したものを海外で販売日本本社がマネジメント

今後のセキュリティ対策は「検知」「対応・復旧」がより重要に②国別最適化（地産地消型）③リージョン最適化型④グローバル最適化型

各 国 現 地 法人内 で 調 達，
生産，販売の各機能を整備し，各国でバリューチェーンをコントロール

リージョン内で生産・調達の 最 適 配 置 を行い，リ ー
ジョン内でバリューチェーンをコントロール

グローバルレベルで生産・調達の最適配置を行い，グローバルでバリューチェーンをコントロール

各国の現地法人がそれぞれマネジメント

リージョン内でマネジメント

グローバル全体でマネジメント

図₃

グローバルビジネスの主なパターン

HQ の実績・ノウハウの展開を実施するかたちで，短期間で効果的な対策の導入を進めました．実際に NTT データ

グループシナジーの創出

グ ル ー プ で 採 用 し た ソ リ ュ ー シ ョ ン と NIST（National

単にソリューションを導入するだけでは，セキュリティ

Institute of Standards and Technology）のサイバーレベルは向上しません．並行してガバナンスの統一も必要

セキュリティフレームワークとのマッピングを図 ₄ に示しとなります．
従来は，グローバル HQ が定めたルールをベースとしたます．

ガバナンスを行っていましたが，「リージョン最適化型」を実現するため，グローバルスタンダートとなるようにポリシーの見直しを実施し，グローバルセキュリティポリシー

₆₀

2021.9

特定セキュリティ技術 ラインアップ

防御

Identify

検知

ProtectIdentity

ID管理
2 要素認証Cloud Proxy

暗号化通信の監視
クラウドの利用制御

zscaler

Mail Security

メール詐欺対策
標的型メール対策

proofpoint

EDR

ファイルの振舞検知
端末管理の自動化

CROWDSTRIKE

UEBA(User and Entity
Behavior Analytics)

怪しい振る舞いの検知

グローバル
SOC/CSIRT

24時間365日の初動対応(Endpoint Detectionand Response)

図₄

対応

DetectRespond

復旧

Recoverokta

exabeamグローバル全体のガバナンス向上に向けた要件

はグローバル全体で共通化しました．ポリシーでは，グルータル技術を活用することが前提となります．従来の NTT

プ全体の保つべきセキュリティ水準を明確にし，ポリシー

データのルールでは，クラウドサービスの利用についてはに基づく具体的なルールについては商習慣への対応や規制原則禁止であり，業務上必要なケースに限り逸脱申請によ遵守のためリージョン単位で作成する方針としました．現り許可していました．また，クラウドサービス利用に関す

在 は， 世 界 ₆ カ 所（Japan，China，APAC，Italy，るログ取得が不十分でセキュリティ監視が不可能なケース

Spain，U.S.A.）に監視体制を確立し，グローバル全体ででは，チェックリストで逸脱がないことを本人に確認するリージョンごとに体制を整備しています．

といった性善説に立った対応を実施しており，私物 PC な

また，グローバルでのポリシーおよび対策の統一にあたっ

どからのアクセスも防ぐことが困難でした．今回の取り組ては，コストや要員の面から，現実問題として対応が難し

みでは，クラウドプロキシやクラウド連携可能な認証サーいグループ会社も存在しました．この問題については，

ビスを活用することで，適切な利用者・端末のみアクセス

HQ によるライセンス一括購入（ボリュームディスカウント）許可し，クラウド利用上のログ取得も取得しながら十分なによるコスト削減や，一部拠点の作業を HQ で巻き取りつ監視が可能となりました．

つ，ノウハウやテンプレートを各社に展開することで拠点その他，セキュリティ基盤の効果をいくつか例示します．

負荷軽減・セキュリティレベル担保を図りました．

・ 従業員が社内利用禁止のクラウドサービスを不正利用

インシデント対応レベルを統一し，共通の仕組みのうえして機密情報を持ち出ししようとするようなケースにで「対応」「復旧」手順を統一することで，グローバルでおいて，クラウドプロキシが未認可のサービスへの接戦略的な人材・ノウハウ還流を実現し，グループシナジー続を遮断することで，情報漏洩を防ぐ．

を生み出しつつグローバル全体でのセキュリティの底上げをすることに成功しました．

NTT データグループのゼロトラスト

・ セキュリティ対策が適切に取られたオフィス以外ではアクセスしてはいけないクラウドサービス上の情報に対して，社外からアクセスしようとした場合でも，認証サービスにて接続元 IP アドレス制限を有効にすることで接続を拒否する．

前述の施策と合わせてセキュリティ対策の管理方針を，・ 攻撃者が不正取得した ID/ パスワードでクラウドサー「ルールに依存した管理」を「システムによる管理」に移ビスを利用しようとした場合でも，認証サービスにて行することで，さらなるガバナンス強化を実現しました．

二要素認証を有効化することで，従業員に成りすまし

DX の推進にあたっては，クラウドサービスなどのデジたアクセスを防ぐ．

2021.9₆₁

fromNTTデータ

セキュリティ監視UEBA

認可サービス

認可外サービス

禁止サービス

全社・事業部が認可するサービス

認可はないがアクセス可能なサービス

当社管理テナント

当社管理外テナント

アクセスを禁止する
サービス（Gmail）

Oﬃce365

exabeam「Digitalを活用した働き方の改革」を実現

クラウドサービス

box

TwitterFacebook

proofpoint
FAT端末
社内システム 社内システム（認証基盤） （業務）zscaler

モバイル

CROWDSTRIKE

端末
zscaler CROWDSTRIKE

FAT端末 モバイル

仕事ができる

レンタルオフィス

ゼロトラスト技術を活用したセキュリティ基盤

・EDR やメール対策により端末へのマルウェアの混入

すでにいくつかのお客さまに対して，コンサルティングやを防ぎつつ，仮にマルウェアに感染して端末が乗っ取

ソリューション導入の支援を実施しています．また，当社られた場合でも，UEBA（User and Entity Behav-が 提 供 す る BizXaaS Office® で も BMWS（BXO Man-ior Analytics） により通常のユーザと異なる振る舞aged Workspace）という名称でゼロトラストのセキュいを検出する．

リティ基盤提供を開始しています（1）．

＊2

クラウド利用のためのセキュリティ技術を活用すること今後も，当社グループ内にて蓄積したノウハウを速やかで，端末からクラウドサービスへのアクセスに対するセキュにお客さまに活用していただけるよう，改善を進めていきリティ確保するセキュリティ基盤を構築しました．セキュます．

リティ基盤を活用することで，従業員の働く場所や端末によらず適切なセキュリティを確保してクラウドサービスを利用させる「ゼロトラスト」のセキュリティ対策を実現しています．この仕組みにより，NTT データグループはデジタル化・働き方・環境の変化との両立を実現しました（図₅ ）．

NTT データのノウハウをお客さまへ
NTT データグループがグローバル全体で推進してきたゼロトラストを活用した DX 化・働き方改革の取り組みについて説明しました．導入にあたってはさまざまな課題がありましたが，グループ全体で協議しながらもスピード感を持って解決してきました．
DX 化・働き方改革は，当社に限らずどの企業でも直面している課題です．本取り組みのノウハウを最大限活用し，＊2₆₂zoom

自宅 どこからでも 飲食店
仕事ができる

ホテル

図₅

FAT PCOﬃce365

クラウドサービスを使ってboxInternet

VPN
ゲートウェイ

仕事ができる

Teamsokta

スマートフォン

いろいろな端末でMac PC

セキュリティ基盤

社内環境

タブレット

UEBA：ログ等を分析してユーザや端末などの通常の挙動を機械学習し，不正アクセスにつながる疑わしい挙動を検出する仕組み．

2021.9■参考文献（1） https://www.bizxaas.com/application/office/bmws/◆問い合わせ先NTT データ
技術革新統括本部 システム技術本部 セキュリティ技術部
TEL 0₅0-₅₅₄₅-₆9₇₆
E-mail Shusuke.Maeda nttdata.com