2025年10月に立ち上がった「MTI Red Team」について。
また、チームに加わった経緯も教えてください。
攻撃者の立場から穴を見つけていく。
AIの裏側を知っている知識が役立てば。
S
これまではサービスごとにサイバーセキュリティを意識して開発してきましたが、システムを作る立場では客観的な目線で穴を見つけることが難しいということと、開発者の視点だけでは見つけきれないというリスクもあります。そこで、攻撃者側の立場から穴を見つけて防御力を高めていこうという目的で立ち上がったのが「MTI Red Team（以下、「MRT」）」です。現在5名のメンバーは社内公募で集まりました。私はエムティーアイには中途で入社しましたが、あらゆる部署でフロントエンド、バックエンド開発を一通り経験しました。一つのことを掘り下げるというよりは、それこそ広く浅くやってきて、新しいことにチャレンジすることが好きなタイプでもあるので「MRT」への配属を希望しました。
I
私は、もともと大学でAIを学んでいて、AIとヘルスケアというところに着目して研究していました。そのためヘルスケア分野で漠然と社会貢献できればという思いがあり、新卒でエムティーアイに入社しました。まさに「時代はサイバーセキュリティだ」と考えていたところもあり、入社して一年経たないくらいのタイミングで「MRT」への配属を希望しました。もちろんAIで培ってきたことも生かせるはずだと思いましたし、サイバーセキュリティをやる上で、このAIはどの程度信頼していいのかを見極めるという点は得意かな、と。今のシステムは基本AIありきなので、セキュリティ診断をするときに、AIの裏側を知っている分、役に立つはずだと思ったところはあります。
社内にセキュリティチームを作るメリットは？
社内のチームだからこそ実現できる、
深く多角的なセキュリティ対策。
S
これまで外部に委託していたものを内製化することで、まずコストを抑えられるというメリットがあります。でもそれだけでなく、外部に依頼するとなると、社内の情報をどこまで出していいのかという線引きも必要です。社内にチームがあることで、事業の中身や機密性の高い情報を外に出さずに済むという利点もありますよね。
I
それと、社内だからこそできるような観点での診断もしていきたいですね。これから先を考えても間違いなくサイバーセキュリティは、継続して実施していく必要があります。社内で行うことでノウハウを積み重ねていける、ということも大きいはずです。もちろん会社としてもっとセキュリティを強化しなければという危機感もありますしね。
事業内容をわかってないとセキュリティの穴も見つけにくいのでは？
S
もちろんそうです。一つのページだけを点で見ても見つからないものもあります。実際にはページ同士の組み合わせや、それぞれ利用フローの中で、「この操作をすると、別のところでこうなるよね」といった形で見えてくるものも多いです。そういう意味では、エムティーアイの事業は多岐にわたっているので、新卒で入社して1年経たずにチームに加わったIさんは大変だったと思いますよ。
I
とんでもなく大変でした。事業ごとにサービスの説明はしてもらいましたが、それを踏まえて理解の時間をサービスごとに2日間くらい確保してインプットしていきました。たとえば『CARADA 電子薬歴 Solamichi』だと、ユーザーが薬剤師や医師のため、用語一つとっても専門性が高いですし、業界や職種に関することも理解しなければなりません。
チームとして心がけていることはありますか？。
質問や確認をしやすい空気感。
チーム内の会議もマメに行なっています。
S
我々の取り組みは、目に見えにくい部分というか、サービスそのものとは少し違うところにあります。いわゆる“ステートレス”というか、誰が見ても同じように診断できる属人化させない状態をつくることですかね。たとえば証跡を診断していく中で、「なぜここが危ないのか」をストーリーにしてわかりやすく伝え、その上で、脆弱性を納得してもらうためのエビデンスをしっかり提示する必要があります。
I
Sさんは何を聞いてもわかりやすく応えてくれるので、知識量もさることながらスピード感や判断力の高さにも驚かされてばかりで、日々吸収させてもらっています。診断経過や結果の突き合わせはもちろん、チームとしての報告や会議もまめに行っていますし、チームリーダーとしてまとめたり、引っ張ってくれたり、非常に頼れる存在です。
S
Iさんは、疑問に思ったことをスパッと言ってくれるので、そういうところが接しやすいですね。私がIさんと同じくらいの年齢の頃は、気を遣って先輩に質問できず、かえって迷惑をかけてしまったこともありました。でも、Iさんは疑問に思ったことはすぐ聞いてくれて、疑問を残さない。そういう部分がスピードや正確性にもつながっているとも思いますよ。もちろんリーダーとしてもチーム内では、みんなが話しやすい空気を作りたいと思っています。
I
正直に言うと、最初は自分でなんでもやってやろうと少し斜に構えていた部分がありました。でも、いつの間にか気取りとか恥ずかしさとかがなくなって、心を開いて、知らないことを知らないと自然に言える空気になっていました。チームのみんなが、そういう感じですね。
セキュリティ面から見る日本企業の課題はありますか？
セキュリティは事後対応から、予防型へ。
高度化する攻撃に対抗するための転換点。
S
今までは事故が起きてから対処するケースが多かったと思いますが、ハッカーからの攻撃は、どんどん高度化し、サイバー攻撃に対して防御率を上げていく必要があります。同時に、そのための意識や知識を高めていかなければならない。日本はコストを意識することが強い傾向があり、企業が利益のために事業を行っている以上、それは当然だと思います。ただ、セキュリティ対策は必要なコストだと理解するところから変えていく必要があり、これからの社会においては、ランニングコストとして不可欠なものだと考えています。攻撃も高度化もしているので、キャチアップする知識、学習、リソースも必要です。そういう意味では「MRT」を内製化したことは必然性がありますよね。
発足して期間は短いですが、印象的なエピソードありますか？
I
攻撃側からの視点は、開発者からすると「そこまで問題視することなのか」と受け取られる可能性もあるのかと懸念していましたが、実際に脆弱性診断の結果を報告したら、すんなり納得してくれました。事業部側が「そうだね、ここ危ないね」と理解してくれて、1週間後には修正して「再診断お願いします」と。正直、脆弱性を報告しても後回しにされるのではと懸念していたので、企画者、開発者ともチームとして動いている実感も生まれ、いい意味で予想を覆されました。開発側のエンジニアたちもセキュリティ意識が高まっているのを感じますし、こちらとしてもありがたいです。
S
我々は縁の下の力持ちというか、事業サービスの下支え的存在。セキュリティが上がることによって「何も起こらない」ことが最善ですよね。その価値をどうやって伝えていけばいいのかについては、まだ誰も正解を持ち得ていないので、だからこそ、その価値をチームで探していきたいと思っています。