エンドポイントを一元管理。グローバルで一元的なセキュリティガバナンスが可能に

全世界の約40,000台(住友電工グループ全体で135,000台)のエンドポイントを一元管理
グローバルで一元的なセキュリティガバナンスが可能に

住友グループの中核企業であり、世界40カ国に400社以上のグループ会社を有する住友電気工業株式会社(以下、住友電工)は、グローバルで統一したセキュリティガバナンス体制を構築するため、情報システム部を中心に各種セキュリティ施策を推進。その一環として、約40,000台(住友電工グループ全体で135,000台)のエンドポイントをIT資産管理／セキュリティ管理統合システム「MCore」で管理している。これにより、グローバル規模での統一した不正アクセス監視、脆弱性対策、ソフトウェアのライセンス管理が可能になり、住友電工グループ内でのセキュリティガバナンス強化が進んでいる。

各国の法規制や商習慣を乗り越え、グローバルで統一したセキュリティガバナンスを実現するため、MCoreを活用

1897(明治30)年の銅板・銅線事業の開始から100年以上に渡り、数々の技術や製品の提供を通じて、国内外の産業を支えてきた住友電工。創業以来培ってきた電線・ケーブルの製造技術を基礎に、現在は自動車、情報通信、エレクトロニクス、環境エネルギー、産業素材の5つの領域で事業を展開している。住友電工は国内外に400社以上のグループ会社を展開。なかでも、海外事業の拡大が続いており、アジアに約190社、北米・南米に約50社、欧州その他の地域に約70社を有する。連結売上高に占める海外売上高は約6割に及ぶなど、強大なグローバルネットワークを築いている。

世界中に事業の裾野を広げる住友電工だが、それに伴って重要な課題となるのが内部統制だ。特に、住友電工グループ間をつなぐネットワークやインフラに関するセキュリティガバナンスは、組織を安定的に運営するうえで欠かせない。そこで同社は、グローバルを含む住友電工グループのすべてでセキュリティポリシーを統一するという方針のもと、各種セキュリティ施策を実行している。しかし、それを阻む「壁」は少なくないと、情報システム部情報技術部セキュリティ技術グループ長の細川光太氏は話す。

「グローバル環境では、地域によってセキュリティに関する法規制や習慣が異なることも少なくありません。例えば、欧州には個人データに関する取り扱い規則であるGDPRがありますし、中国もサイバーセキュリティに関する独自の法規制を設けています。また、地域によって言語や商習慣も異なるため、セキュリティに関するマニュアルを作成する際にも、地域性に合わせた配慮が必要です。こうした差異を考慮しながらセキュリティガバナンスを統一していくのは、なかなか困難な作業です」(細川氏)。

しかし、こうしたなかにあっても、住友電工は多くの地域でセキュリティポリシーを統一している。その原動力となっているのがIT資産管理／セキュリティ管理統合システム「MCore」だ。

「グローバルのセキュリティガバナンス」を目的にMCoreを開発し、日本、アジア、北米に広がるエンドポイントの一元管理に成功

MCoreは1990年代に住友電工の研究部門が開発したネットワーク管理システムを前身としている。当初は住友電工グループ内のネットワーク管理を目的に開発されたが、その後、情報システム部の要望を受け、IT資産管理やサーバ管理の機能を追加。さらに、自社製品のエンタープライズサーチ「QuickSolution」などを取り込みながら機能を強化し、「IT資産管理」「セキュリティ対策」「コンプライアンスの遵守」をオールインワンで実現できる製品を築き上げた。つまり、MCoreには住友電工の生の課題や要望への解決策が凝縮されているのだ。事実、MCoreがグローバルでのセキュリティガバナンスを後押ししていると細川氏は語る。

「現在、日本やアジアではほぼ100%、北米でも約6割のエンドポイントをMCoreで管理しています。住友電工グループは製造業のため、エンドポイントには一般的なPC端末だけでなく、生産設備用のPCやデバイスも含まれます。そうしたPCは旧型のものが多く、セキュリティ対策ソフトをインストールできないケースが少なくありません。しかし、MCoreのエージェントはレガシーOS上でも稼働可能かつ、メモリ消費量が3～10MB程度、送信する情報量も30～100KBと低負荷のため、生産設備用PCも含めた幅広い範囲をカバーできています」(細川氏)。

細川氏は「セキュリティガバナンスの第一歩はエンドポイント管理です」と指摘する。組織体制の構築や技術的対策、教育などの人的対策など、セキュリティガバナンスの強化にはさまざまな取り組みが求められる。しかし、それらを機能させるためには、その土台を支えるエンドポイント管理が欠かせないのだ。

不正アクセス監視、脆弱性対策、ソフトウェアのライセンス管理etc..
「痒いところに手が届く」機能で充実したセキュリティ対策を実現

では、具体的に、MCoreによってどのようなセキュリティ対策が行われているのだろうか。

その一つが、不正アクセス監視だ。MCoreでは、社内ルールに違反した動きをするPCに警告を表示し、是正を求められるほか、不正なPCを検出して、ネットワークから隔離できる。また、エンドポイントのログを管理画面からQuickSolutionの機能で検索し、不正なログを突き止めることもできる。エンドポイントが残す億単位のログであっても、スムーズな追跡が可能だ。

脆弱性対策にもMCoreは大きく貢献している。現在、住友電工ではMCoreを通じてセキュリティパッチなどを配信し、エンドポイントの脆弱性対策を実施している。また、Webベースの管理コンソール画面でパッチ配信の状況を可視化できるほか、ユーザごとに参照可能範囲を設定できるため複数人での管理が可能だ。住友電工では、この機能を利用し、各部門の情報セキュリティ管理者に管理権限を付与し、セキュリティマネジメントの効率化を図っている。

Webでエンドポイントの状況を可視化

• Webベースの管理コンソール画面なのでいつものブラウザで簡単に状況確認
• ユーザごとに参照可能範囲を設定できるため、複数人での管理も楽々

さらに、大きな役割を果たしているのがソフトウェアのライセンス管理だ。MCoreはプロダクトIDでソフトウェアライセンスを管理できる。
そのため、住友電工ではインストール時にプロダクトIDの登録をルール化し、ソフトウェアライセンスの一元管理を可能にしている。また、プロダクトIDが未登録のソフトウェアについてはPC起動時にポップアップを表示し、警告や起動停止を行う。細川氏は、こうした細やかな機能がグローバルなエンドポイント管理を行ううえで有効だと解説する。

「MCoreは、SAMACソフトウェア辞書^*1とのマッチング機能を有しているため、有償ソフトウェアの利用状況についても一元管理が可能であり、巨大組織の『痒いところに手が届く』ような機能を備えているのがMCoreの強みではないでしょうか」(細川氏)。

_{*1 一般社団法人IT資産管理評価認定協会(SAMAC)が提供する、実際に利活用されているソフトウェアの識別情報を精査、蓄積したソフトウェア辞書。}

• ソフトウェアライセンスのプロダクトID登録をルール化
• 未登録の場合は、PC起動時にポップアップで警告や起動停止を表示

テレワークやレンタルオフィスなど、多様な働き方に対応したセキュリティガバナンスを目指し、MCoreの機能強化を推進

MCoreの充実した機能を活用し、グローバルでのセキュリティガバナンスを実現した住友電工。今後は、MCoreのさらなる適用範囲拡大を目指すとともに、新たな時代の働き方に対応したセキュリティガバナンスを構築したいという。

「昨今、住友電工グループではテレワークが広く普及していますし、大規模プロジェクトなどの際にはレンタルオフィスを一時的な拠点として利用するケースが増えつつあります。そうした働き方の多様化が進むなかで、セキュリティガバナンスをより柔軟に変化させていく必要があります。例えば、不正アクセス監視のリアルタイム性をさらに高めることができれば、ユーザがどのような働き方をしていても、高度なセキュリティガバナンスを保てるはずです。MCoreには、PCやアプリケーションの使用状況を把握できるなど、労務管理の面では多様な働き方に対応できる機能を備えているので、今後は研究部門と連携しながら、セキュリティ機能の強化をさらに推進していくつもりです」(細川氏)。

住友電工が自社のセキュリティガバナンスの強化を目的に開発したMCore。その開発当時の姿勢は現在も変わらない。今後、MCoreにどのような改良が重ねられていくのか。住友電工のセキュリティへの取り組みに大きな期待が寄せられている。

住友電気工業株式会社

• 創業 : 1897年(明治30年)4月
• 本社所在地 : 〒541-0041 大阪市中央区北浜4-5-33(住友ビル)
• 事業内容 :
  住友電気工業株式会社は、電線・ケーブル事業を基礎に、自動車、情報通信、エレクトロニクス、環境エネルギー、産業素材などの幅広い分野に、数々の電子機器や産業部品を提供している。2022年には長期ビジョン「住友電工グループ2030ビジョン」を策定し、存在価値(パーパス)として「トップテクノロジーを追求し、つなぐ・ささえる技術をイノベーションで進化させ、住友電工グループの総合力により、より良い社会の実現に貢献していく」を掲げた。

住友電気工業株式会社のホームページ

_{※本事例中に記載の組織名や肩書き、数値、固有名詞等は取材時点の情報です。}