日立グループにおけるサイバーレジリエンス強化の取り組み

株式会社 日立製作所
情報セキュリティリスク統括本部

村山 厚© Hitachi, Ltd. 2023. All rights reserved.

Contents
１. 世の中のサイバーセキュリティ動向
２. サイバーレジリエンス強化への取り組み
３. まとめ© Hitachi, Ltd. 2023. All rights reserved.

１. 世の中のサイバーセキュリティ動向© Hitachi, Ltd. 2023. All rights reserved.

企業を取り巻く環境 ～世の中の大きな2つの流れとリスク～

世の中を便利にする
新潮流デジタルトランスフォーメーション(DX)と働き方改革
つながる

デジタル

最大のリスクは サイバーセキュリティ© Hitachi, Ltd. 2023. All rights reserved.

3

最近のセキュリティの脅威を振り返ってみる
世の中のセキュリティ動向
・世界情勢に乗じたサイバー攻撃が激化
・社会インフラを狙った攻撃も発生
・ランサムウェア、情報暴露等の攻撃がさらに増加
・サプライチェーンがサイバー攻撃を受け事業影響が発生
・ネットワーク機器の脆弱性を悪用した攻撃の増加
・不適切な情報公開/顧客情報漏えい・内部不正による情報漏えい・テレワークなどのニューノーマルな働き方を狙った攻撃

事象発生後の影響
事業中断
社内業務の停止
ステークホルダーへの被害(迷惑)事業そのものへ影響をおよぼしている© Hitachi, Ltd. 2023. All rights reserved.

4

いま考えるべきこと• 世の中の潮流(DX,働き方改革)へ対応するために、早急なサイバー対策整備が必要• サイバー攻撃が事業へ影響を及ぼすことが明らか

今まで以上に「経営」としてセキュリティを考えなければいけない状況© Hitachi, Ltd. 2023. All rights reserved.

5

２. サイバーレジリエンス強化への取り組み© Hitachi, Ltd. 2023. All rights reserved.

サイバーセキュリティビジョン

統制

サイバーセキュリティを経営課題として位置づけたセキュリティ対策を継続的かつ着実に実行する。しかし、絶対の安全はない。
ゆえに、有事の際には、短い時間で回復できる抵抗力をつける。

協創高度化/増加するサイバー攻撃へ対処するために、社内コミュニケーションを拡充し、共感を得る。
さらには、社会全体でのセキュリティエコシステムを構築し、仲間を増やす。

自分ゴト化

従業員一人ひとりがセキュリティを正しく理解・共感し、自分ゴトとしてとらえて行動することができる意識づくりを醸成する。

サイバーレジリエンスの強化
しなやかなセキュリティ耐性を身につける© Hitachi, Ltd. 2023. All rights reserved.

7

サイバーセキュリティビジョンを実現するために
Cyber Security Frameworkの構成要素の観点で対応できるよう、ITもプロセスもヒトも準備を行う＝有事の際には、効果的に対応できるようにしておくこと
リスク管理の一環として、準備すること

NIST Cyber Security
Framework*の構成要素特定(Identify)
防御(Protect)

準備(Readiness)

これらの要素の観点で対応できるように！

検知(Detect)
対応(Respond)
復旧(Recover)＊米国国立標準研究所が発行したサイバー攻撃対策に特化した、サイバーセキュリティ対策のフレームワーク

予防準備

事象発生

対応(Response)

事象への対応回復(Recovery)

システム復旧
再発防止

NIST：National Institute of Standards and Technology© Hitachi, Ltd. 2023. All rights reserved.

8

セキュリティガバナンス組織の設置
事業継続の担保、機密情報漏えいの防止、日立提供サービス経由による顧客感染の防止をするために、サイバーセキュリティを経営課題と位置づけ
2017年10月1日にCISOを設置し、セキュリティガバナンスの更なる徹底を開始～2017年9月

2017年10月～

社長

社長

CIO

CIO

経営と現場をつなぐセキュリティガバナンスを推進

CISO

データ保護
マネジメント本部

セキュリティ統合監視本部

情報セキュリティ
マネジメント本部

情報セキュリティ戦略
企画本部

ＩＴデジタル統括本部（セキュリティ含）

ＩＴ統括本部

ＩＴビジネスサービス本部

情報セキュリティ
リスク統括本部

経営会議

上記は2023年4月1日現在の体制
CIO：Chief Information Officer

CISO：Chief Information Security Officer© Hitachi, Ltd. 2023. All rights reserved.

9

グローバル情報セキュリティガバナンス体制■ 情報セキュリティガバナンスは、2階層構造で推進（1層：コーポレート→親会社、2層：親会社→子会社、孫会社）■ 各リージョンに各社の情報セキュリティ推進を支援するISEを設置
1組織

コーポレート1層
親会社
2層
子、孫親会社

800超Gr会社（グローバル全て）(ISE: Information Security Expert)⇒コーポレートが任命© Hitachi, Ltd. 2023. All rights reserved.

10

セキュリティガバナンス組織のミッション
・やるべきことはなにかをきめる・計画する（＝Plan)
平時の対応⇒人(トレーニング・アウェアネス）⇒技術(ITアーキテクチャー、モニタリング、インシデントレスポンス）⇒規則・プロセス・組織・やるべきことやる（＝Do)⇒事業部門への実行指示、IT部門/QA部門等とのコーポ部門との連携・できているかどうかを確認する（＝Check)⇒セルフアセスメント(情報セキュリティ監査):1stディフェンス
⇒コーポ部門評価＋オンサイトリスクアセスメント:2 ndディフェンス
⇒内部監査:3 rdディフェンス

・なにをすべきかを考察して、評価する（＝Act）
有事の対応⇒残存リスク・リスク対処方法の決定・経営インパクト分析(経済損失)⇒経営会議への対策案の答申

・被害局所/極小化に関する実行指示をする⇒迅速なインシデントレスポンス⇒緊急対策本部の設置⇒サイバーBCPの発動© Hitachi, Ltd. 2023. All rights reserved.

11

有事に向けた迅速な意思決定するためのプロセス整備
 経営層 :PDCAベースでの「経営リスク管理」
 CSIRT:脅威情報の収集、平時/有事の「脅威分析」「対策強化」
 SOC :「攻撃監視」および有事の際の「即時対処」
平時実行サイクル：1年

経営層＝Management
経営判断

平時実行サイクル：1～2か月

CSIRT＝ Readiness
未然防止・リスク最小化

有事の際の実行サイクル：数時間～数日

経営ミッション
重大事故の際に日立グループ横断で、迅速に決断をする
プロセス整備が重要
経営リスク報告

SOC:Security Operation Center CSIRT:Computer Security Incident Response Team FIRST：Forum of Incident Response and Security Teams
IPA：Information-technology Promotion Agency,Japan JPCERT/CC：Japan Computer Emergency Response Team/Coordination Center

平時実行サイクル：数時間～数日

SOC=Response
早期発見・被害最小化

脅威対象追加フィードバック
インシデント報告

NISC：National center of Incident readiness and Strategy for Cybersecurity© Hitachi, Ltd. 2023. All rights reserved.

12

統制
サイバーセキュリティを経営課題として位置づけたセキュリティ対策を継続的かつ着実に実行する。
しかし、絶対の安全はない。
ゆえに、有事の際には、短い時間で回復できる抵抗力をつける。

© Hitachi,Ltd. 2023.
All rights
reserved.
© Hitachi,Ltd. 2023.
All rights
reserved.

取り組みの変化
潮流・攻撃の変化

フェーズ

増加する標的型攻撃2011年度~⇒[情報窃取]型
WannaCry事案

2017年度~

2020年度~⇒[拡散+破壊]型• 新潮流DX• 働き方改革• 次世代高度標的型攻撃⇒[拡散+情報窃取＋破壊]型

IR：Incident response

OT：Operational Technology具体的な強化策
境界面での情報窃取対策
多層防御(出入口対策)
早期検知(サイバー監視強化)
早期対応(IR強化)

システム破壊への対策
OTエリアのセキュリティ強化
パッチ適用徹底サイバーBCP強化

ゼロトラスト・セキュリティ対応•認証/エンドポイントの検知/対応をより強固にする施策の推進•統合サイバー監視の実現© Hitachi, Ltd. 2023. All rights reserved.

14

2011年度のサイバーセキュリティ戦略
世の中の動向と同様に、日立グループにおいても多くの標的型攻撃を観測

2011年度よりサイバー攻撃対策を本格的に開始(施策拡充と体制整備)

既存のITセキュリティ対策に、昨今の標的型攻撃に代表されるサイバー攻撃への取り組みを追加
サイバー攻撃対策の重点ポイント
1 多層防御(入口・出口・内部拡散対策)

2 早期検知(脅威情報共有・集中監視・分析)
3 早期対応(インシデントレスポンス強化)© Hitachi, Ltd. 2023. All rights reserved.

15

2017年度のサイバーセキュリティ戦略 - WannaCry被害 きっかけは、自己増殖型ランサムウェアである「WannaCry」ウィルス感染事案
2017年5月12日深夜、日立グループ社内ネットワークのサーバーなどが、自己増殖型ランサムウェアである「WannaCry」ウイルスに感染し、システム障害が発生した。
WannaCryの特長
Windowsのファイル共有機能の脆弱性を悪用して、自分自身を他の脆弱なWindowsシステムに感染させるネットワークワーム型のランサムウェア

 被害は社内ITだけでなく、生産・製造環境にも及んだ
 タイムリーにセキュリティパッチが適用できていなかったシステム系での被害が大多数
 初期感染機器は、セキュリティ対策の意識されていない社内LANに接続されたデジタルマイクロスコープ（想定） バックアップからの復元に時間を要した 世の中脅威情報を上手に社内展開できていなかった
WannaCry感染© Hitachi, Ltd. 2023. All rights reserved.

16

2017年度のサイバーセキュリティ戦略 - 教訓 -日立におけるWannaCry被害からの教訓『絶対の安全はない。影響を限定し、いかに早く元に戻すかが大切』
対策の考え方

事業継続の担保、機密情報漏えいの防止、日立提供サービス経由による顧客感染の防止をするために、サイバーセキュリティを経営課題と位置づけ、セキュリティガバナンスの徹底を推進する© Hitachi, Ltd. 2023. All rights reserved.

17

WannaCry被害への再発防止策

特定①セキュリティ体制整備②セキュリティ対策範囲の拡大(社内IT、工場、製品サービス、サプライチェーン全体まで視野へ）③脅威情報収集・分析④サイバーセキュリティ人財育成

防御⑤社内IT環境の堅ろう化⑥IoT/OTのセキュリティ対策

検知⑦サイバーセキュリティ監視拡充(SOC機能拡充)

対応⑧インシデント訓練と演習(迅速なインシデントレスポンス)

復旧⑨サイバーBCP整備(シナリオ拡充と復旧計画の整備)

SOC：Security Operation Center© Hitachi, Ltd. 2023. All rights reserved.

18

WannaCry以降のサイバー攻撃対策の取り組み
2017年5月のWannaCry被害を契機に、運用・技術・組織面でサイバー対策を強化
2017年度
2018年度
2019年度
2020年度
2021年度～

運用面

規則面

実行面

セキュリティ対策範囲拡大*1に併せたガイドライン・人財育成策定と展開
サイバーBCPガイドライン見直し・拡充・定期訓練実施*1 社内IT、製造現場、開発現場、データプロテクション規則制定・展開
製品サービス、サプライチェーン
Ｍ＆Ａガイドライン策定・展開

技術面

オンサイトリスクアセスメント(現場確認)開始
サイバー訓練拡充と定期的な実施
グローバルセキュリティ対応開始(グローバル地域でのセキュリティサポート部隊発足)

グローバルNWセキュリティ監視[1センター(日本)で24H365H]

端末監視(エンドポイント強化)
認証強化(監視・システム強化)

脅威情報収集/分析によるレディネス機能設置～既存施策へのフィードバック

組織面

社内ネットワーク対策強化[バックアップ強化、データセンタ堅ろう化、コンパートメント化、ゼロトラスト]

2017/10月 コーポレート統制機能強化(CISO・専任組織設置),BU各社体制強化

2018/4月 セキュリティ対策範囲拡大*1にむけた各種専門部会設置
2019/4月 海外5拠点にセキュリティサポート部隊設置
サイバーセキュリティ監視専任部隊設置、データプロテクション体制強化 2022/4月© Hitachi, Ltd. 2023. All rights reserved.

19

セキュリティガバナンスの対象範囲

・セキュリティ対策の範囲を社内IT以外の製品、製造等環境へ拡大
・18年度から横断的な活動を開始
環境面のセキュリティ対策

社内IT環境

社内ネットワークOA(PC,サーバ等)

社外
サーバ

社内設備
(プリンタ,入退管理等)

製品そのものの対策

生産・製造（モノづくり）
環境

開発
環境

製品・
サービス

サプライ
チェーン

製造

開発

製品・システム

取引会社
体制

生産

試験

社外向け
サービス

納品物

検査

デモ

業務委託

© Hitachi, Ltd. 2023. All rights reserved.

20

サイバーBCP整備とインシデント訓練・演習

サイバーBCPの教訓：平時の活動は、有事のために。
いつでも緊急対応ができるスキル習得・意識の維持・計画整備 サイバー攻撃のシナリオ拡充⇒ ケーススタディの整備と、リスクベースでの仮説立て
 シナリオ毎の実行手順書 (リスクに応じたプレイブック)整備 インシデント訓練による実行力向上⇒緊急時にしっかりと動けるようになるために重要な要素⇒最初はたいしたことがないインシデントレスポンスでも、大きな事案につながっていく可能性があることを常に念頭においた対応
 演習によるサイバーBCPの定期見直し⇒技術チーム/有事の際の関連部門、机上/実機、オープン/ブラインド© Hitachi, Ltd. 2023. All rights reserved.

21

2020年度以降のサイバーセキュリティ戦略
 2017年以降進めてきた体制・IT施策・プロセス整備等の更なる深堀 ゼロトラスト・セキュリティの推進と、サイバーインテリジェンスの更なる強化①高度化する脅威への対応
取引先②サプライチェーン
セキュリティ

納品

世の中サイバー攻撃

日立グループ③グローバルガバナンス（人財育成・啓発含む）④コンプライアンス

顧客提供②製品サービス
セキュリティ

© Hitachi, Ltd. 2023. All rights reserved.

22

ゼロトラスト・セキュリティの考え方
業務システムのクラウド化・スマートフォン活用など
これからのデジタル社会を考えたDX/働き方改革に対応したセキュリティ対策が必須
ITプラットフォームのクラウド化に伴うセキュリティ対策の実装
従来:境界型セキュリティ
コラボレーション(SaaS)
インターネット

社内ネットワーク

一般
Webサイトコラボ
拠点
オフィスビル • プロキシ・Firewall レーション
工場
(IoT)

SaaS：Software as a Service

IaaS：Infrastructure as a Service

業務システム一般
Webサイトインターネット

クラウドベース型

境界型• リモートアクセス• アンチウイルス• オンプレ認証基盤

今後:ゼロトラスト・セキュリティ

 クラウド認証基盤
 エンドポイントセキュリティ
 クラウドセキュリティ

工場
(IoT)

境界型
社内ネットワーク

コラボレーション(SaaS)
業務システム(IaaS)
業務システム(オンプレミス環境)

拠点
オフィスビル© Hitachi, Ltd. 2023. All rights reserved.

23

ゼロトラスト・セキュリティの重要な要素
認証およびエンドポイントの検知/対応をより強固にし、クラウドアーキテクチャー全体のサイバー監視を実現する

認証
エンドポイント

認証強化（多要素認証）
パソコン、サーバー、IoT機器、OT、スマートデバイス

クラウドセキュリティ

クラウド、アプリケーションセキュリティの強化
クラウドネットワークGWの併用によるさらなる強化
データセキュリティ(所在、データそのもののセキュリティ)強化

統合サイバー監視既存ネットワーク系の監視に加えて、データ、認証、エンドポイント、アプリケーション、クラウドを統合した監視(シグネチャー、ふるまい、行動検知など)© Hitachi, Ltd. 2023. All rights reserved.

24

サイバーセキュリティインテリジェンス強化社内外の様々なセキュリティ動向・インシデントを収集し、各種アラートの発出、迅速な脆弱性対策、ITセキュリティ施策へのフィードバックなどを実施

BU：ビジネスユニット© Hitachi, Ltd. 2023. All rights reserved.

25

協創高度化/増加するサイバー攻撃へ対処するために、社内コミュニケーションを拡充し、共感を得る。
さらには、社会全体でのセキュリティエコシステムを構築し、仲間を増やす。

© Hitachi,Ltd. 2023
All rightsreserved.
© Hitachi,Ltd. 2023.
All rightsreserved.

セキュリティエコシステムの構築

セキュリティエコシステムのコンセプト
セキュリティ活動という1つの目標に向かって相互に協力し、事業活動の維持・拡大をする

キーワード：3つの「つながる」
1
2
3

モノが「つながる」
人・組織が「つながる」
社会が「つながる」© Hitachi, Ltd. 2023. All rights reserved.

27

②人・組織が「つながる」

いままでつながっていなかったモノが「つながる」
セキュリティ確保のために、企業内において各事業部門が、相互に協力して推進することが必要
人・組織が「つながる」

人・組織

人・組織がモノのつながりを介して「つながる」
立場、組織の垣根を越えたコミュニティづくり
セミナーやワークショップの開催• 自身の役割を再認識• 周囲との連携深化© Hitachi, Ltd. 2023. All rights reserved.

28

③社会が「つながる」

高度化・多様化するサイバー攻撃への対処
脅威情報や対策実行時の課題共有など、枠組を超えたコミュニティの形成が必要不可欠
社会が「つながる」

産官学人・組織人・組織人・組織社会© Hitachi, Ltd. 2023. All rights reserved.

29

③社会が「つながる」 -産官協創省庁、ISAC、CSIRTコミュニティなどとの情報共有活性化

CERT：
Computer Emergency Response TeamISAC：
Information Sharing and Analysis Center
JEITA：
Japan Electronics and Information
Technology Industries Association
J-CSIP：
Initiative for Cyber Security Information
sharing Partnership of Japan
J-CRAT：
Cyber Rescue and Advice Team against
targeted attack of Japan© Hitachi, Ltd. 2023. All rights reserved.

30

③社会が「つながる」 -産産協創【他社との情報共有】

2017年10月以降、コーポレートセキュリティ部門にて、WannaCry被害から学んだ教訓・対策・課題の共有活動開始【グローバルコミュニティへの参画】

・日本企業として初めて、「Cybersecurity Tech Accord」に賛同表明
・Information Security Forum(ISF)への参画
・日本シーサート協議会(NCA)、FIRST*1への参画 *1:FIRST(Forum of Incident Response and Security Teams)
他社との省庁情報共有の実績
寄稿(合計:182回)
セミナー

各社企業との個別共有

2023年3月現在© Hitachi, Ltd. 2023. All rights reserved.

31

自分ゴト化
従業員一人ひとりがセキュリティを正しく理解・共感し、自分ゴトとしてとらえて行動することができる意識づくりを醸成する。

© Hitachi,Ltd. 2023.
All rights
reserved.
© Hitachi,Ltd. 2023.
All rights
reserved.

いままで足りなかったことはなにか？

いままでのセキュリティ対策の取り組み
今までも各種IT施策や教育等、網羅的な取り組みを実施⇒しかし、なにかが足りない・・・・

共感を得て、個人が納得しない限り人の意識と行動が変わることはない

重要なこと

・「押し付けではないこと」
・「分かりやすいこと」
・「それぞれの立場にたって考えること」
・「共有ではなく、共感してもらうこと」

従業員へ共感を得るための新たなセキュリティ啓発活動を開始© Hitachi, Ltd. 2023. All rights reserved.

33

新たなセキュリティ啓発活動の概要

一人ひとりのセキュリティ意識の向上こそが重要
キーワード「自分ゴト化」「従業員が心から共感すること」

取り組み1

取り組み2

意識の変革

行動の変革

1) 共感(認知/理解)を得る取り組み⇒セキュリティに興味を持ってもらう。
2) 自分ゴト化をする取り組み⇒身の回りのセキュリティを意識してもらう。

セキュリティを自分ゴトとしてとらえ、従業員一人ひとりが自発的に行動してもらう取り組み⇒知識の習得・深堀・共有をしてもらう。
© Hitachi, Ltd. 2023. All rights reserved.

34

３. まとめ© Hitachi, Ltd. 2023. All rights reserved.

まとめ

日立は、自社における統制を行うとともに、社外への活動などを通し、産・官・学が連携および協創した社会全体でのセキュリティエコシステムの構築を推進します。
また、組織を守る大きな砦をつくるために、自分ゴト化を推進し、従業員一人ひとりがセキュリティを正しく理解し、あるべき姿に向かって働くことができる意識づくりをめざします。
これらを実現することで、新しい日常をより安心・安全で快適に過ごせるように、また、そこに潜むリスクを回避できるように、日立はサイバーレジリエンスの強化に取り組みます。

© Hitachi, Ltd. 2023. All rights reserved.

36

END
日立グループにおけるサイバーレジリエンス強化の取り組み

株式会社 日立製作所
情報セキュリティリスク統括本部

村山 厚© Hitachi, Ltd. 2023. All rights reserved.