トップの理解がセキュリティ強化の原動力に

　前述の通り、沖縄銀行はプロテクトキャットの導入と同時に、次世代ファイアウォール製品とサンドボックス製品を導入して外部対策を強化した。これまでも収集はしていたものの解析まで手が回っていなかったログ分析については、外部企業のセキュリティオペレーションセンター（SOC）に委託し、異常を検知するとアラートを通知する体制を整えるなど、多層防御の強化を進めている。

　セキュリティ体制の強化には、相応の投資が必要になる。慶典氏は、金融機関の担当者間で情報交換をした際に「よくそこまで投資しますね」といわれることもあったという。沖縄銀行では経営層がセキュリティの重要性を理解しており「『コストがかかっても、やるべきことはやろう』と言ってくれている」と同氏は語る。IT担当者だけでなく、経営層もセキュリティ関連のセミナーに参加し、最新の情報を聞いてセキュリティを巡る状況を認識しているという。「セキュリティに対するトップの理解があることは大きい」（同氏）

　一方でプロテクトキャットは、従来型のマルウェア対策製品と比べて高額だという印象があるという。エムオーテックスはプロテクトキャットの価格を公開していないが、例えば同社パートナーのアイティフォーは、100ライセンスの場合、1ライセンス当たり年額1万2400円（税別）で販売している。プロテクトキャットのマルウェア対策エンジンのベースとなった「CylancePROTECT」も、おおむね同様の価格帯で販売されている。シマンテックやトレンドマイクロといった主要ベンダーのマルウェア対策製品の場合、同様のライセンス規模では8000円前後の価格帯が主流であり、これらと比べるとプロテクトキャット／CylancePROTECTは約5割高い。

　慶典氏はこうした価格面での課題を指摘しながらも、プロテクトキャットの機能やマルウェア検知精度を踏まえれば「納得できる範囲」だと指摘する。さらにプロテクトキャット／CylancePROTECTの導入が他の企業にも広がることによって、ライセンス価格が下がっていく可能性にも期待する。

プロテクトキャットの全行導入へ、グループのリスク洗い出しも進行中

　今後も、より堅牢（けんろう）なシステムの実現に向け、約2200台に上る全社のPCにプロテクトキャットの導入を拡大していく計画だ。自動的にマルウェアをブロックする隔離モードへの移行も検討しており、運用の状況を見ながら、エンドポイント保護をプロテクトキャットに一本化することも視野に入れているという。

　こうしたエンドポイントのセキュリティ強化と同時に、インターネット接続環境と行内システムへの接続環境を分ける「ネットワーク分離」や、システムログの収集や活用を支援する「セキュリティ情報イベント管理」（SIEM）の採用といった新たな技術的対策にも取り組んでいく。

　沖縄銀行にとっての直近の課題が、グループ会社や委託先を含めた資産の洗い出しと、リスクアセスメントだ。「沖縄銀行単体だけでなく、グループ全体でリスクを抑えるべく、評価と対応を進めていく」と慶典氏は言う。当然ながらインターネットバンキングサービスのセキュリティ強化、利用者への啓発なども継続する。

　さまざまな側面で取り組みを進める沖縄銀行だが、現在、実際の作業に当たるメンバーは、慶典氏、浩輝氏ら含め全員が何らかの別業務を兼任している。セキュリティインシデントレスポンスチーム（CSIRT）も組織しているが、専任ではなく、システム企画や運用、サポート業務などと並行して対処している。

　多層的な対策を実施していても「100％ということはあり得ない。もし侵入されたときにいかに早く検知し、封じ込めるかが重要だ」と慶典氏は語る。そのために、Webアプリケーションセキュリティの非営利団体Web Application Security Forum（WASForum）が主催するセキュリティ競技会「Hardening Project」をはじめ、さまざまな人材育成演習の機会を積極的に活用し、メンバーのインシデントレスポンススキルを高めていく。経営層も交えた演習も実施し「社内全体のセキュリティへの認識をさらに高めていく」（同氏）考えだ。