ベイビュー・アセット・マネジメント株式会社 様

ベイビュー・アセット・マネジメント株式会社 下城 理重子氏

私はIT室の担当役員として、会社全体の経営方針にITを組み込んでいく立場にあるのですが、大きなスローガンを掲げるというよりも、現場に即して一つひとつ丁寧に対応していくことを重視しています。資産運用会社は、運用する商品やサービスによってリスクが刻々と変化します。その変化にきちんと伴走していくこと。それが私たちの基本的な考え方です。

下城氏

個人向け直販というBtoC事業の開始は、当社にとって非常に大きな転換点でした。これまで主力だった機関投資家様向けのBtoB事業と比べ、より多くのお客様にサービスを提供するようになります。結果として会社の知名度が上がり、サイバー攻撃のターゲットになるリスクも高まるのではないかと考えました。また、万が一インシデントが起きた際、自社対応だけで乗り切るのは難しいだろうという強い危機感がありました。
そのため、まずは客観的な視点で当社のセキュリティ状況をアセスメントしてもらい、「どこにリスクがあるのか」を専門家の目で可視化してほしいと考えていました。

ベイビュー・アセット・マネジメント株式会社 中村 雄史氏

私はIT室の室長として、社内のIT環境整備や最新のセキュリティソリューションの導入・運用といった現場を統括しています。複雑化するIT環境や脅威に対応していく上で、下城が危惧していた自社対応の限界は私自身も強く感じていました。そこで、自社のセキュリティ全体を把握するとともに、将来的なインシデント対応のアウトソースも見据えた取り組みとして着目したのが、「IIJ Sketch & Draw Workshop」でした。

中村氏

当社の立場に寄り添いながら、課題解決に向けて一緒に伴走してくれるようなアセスメントを探していました。自社だけでは気付きにくい課題を洗い出し、どのような順番で対策を進めるべきかについて、専門家の知見を借りながら道筋を整理したいと考えていたのです。そうした中でIIJさんのワークショップを知り、2023年に参加しました。

中村氏

IIJさんのワークショップでは3日間の丁寧なヒアリングを通じて、当社の現状や意向を踏まえた具体的なロードマップを提示してもらえた点が印象的でした。
セキュリティ強化の方法を一つの型で提案されるのではなく、「こういう進め方もある」「この順番で実施する方法もある」と複数の方向性を示してもらい、その中から当社に最適な進め方を一緒に検討できたため、非常に納得感がありました。
私たち現場の人間だけでは、課題がどこにあるかはわかっていても、それをどの順番で進め、全体施策のどこに位置付けるかを整理するのは容易ではなく、IT室内での計画策定にも苦労していました。課題を可視化したうえで段階的な解決策を示してもらえたことに価値を感じました。

下城氏

全体像を俯瞰できるロードマップを作成してもらえたことで、予算を検討する経営の立場からも現状や課題が把握しやすくなりました。ロードマップを見ながら現場と対話することで、「この対策はどこまで進んでいるのか」といった進捗確認がスムーズに進むようになり、今後の課題の棚卸しにも大いに役立ちました。

中村氏

もともと当社のファイルサーバーなどをIIJさん経由で導入していたほか、導入したツールの運用保守もIIJさんのグループ会社に依頼しており、長年の信頼関係がありました。
それに加えて、セキュリティの運用を統合できる点が大きな決め手となりました。以前はアンチウイルスとEDRで管理画面が分かれており、運用負荷が高い状態でした。IIJさんのサービスであれば、エンドポイントセキュリティを統合し、そのログ監視から一次対応までをSOCサービスにワンストップで任せられます。これが当社にとっての最適な解決策だと判断し、2024年に導入しました。

下城氏

はい。「SOCは絶対に欲しい」というのが、今回のセキュリティ強化における私の出発点でした。多くのお客様に知られるようになるほど攻撃の対象になりやすくなる中で、24時間365日の監視を私たちだけで担うのは現実的ではありません。だからこそ、経営の判断として前倒しで導入を進めました。

中村氏

SOC側にアラートの一次対応を任せられるようになったことで、現場の負荷軽減に直結しています。IT室が稼働していない深夜や休日であっても、専門家がログを確認し「有害か無害か」を判定してくれるので、大きな安心感につながっています。

下城氏

SOCを導入したことで、「重大なインシデントが発生していない」という状況を継続的に確認できるようになったことがありがたいですね。
実際にIIJのSOCの方々が働いている職場を見学したことがあるのですが、専門家の皆さんが連携しながら24時間365日体制で監視を行っている様子を目の当たりにし、改めて「これを当社だけで担うのは現実的ではない」と感じました。また、他社で発生している事象や脅威動向についても共有いただける点に価値を感じています。

下城氏

日常的な監視業務をSOCに任せられるようになったことで、より実践的なセキュリティ強化の取り組みに時間を充てる余裕が生まれました。例えば、SOCに任せっぱなしで現実の有事対応を自社で出来なくなることがないよう、当社独自のインシデント対応訓練を行いました。万が一アラートが発生した際、誰がどう判断し、どのタイミングでIIJさんへ連絡するのかといったフローを事前に確認しています。
また、資産運用会社として事業継続（BCP）には以前から強い意識を持っています。業務の要であるメールシステムの停止やファイルサーバー障害などを想定し、バックアップ環境への切り替え訓練を定期的に実施しています。こうした備えに人員と時間を充てられるのも、日々の監視を任せられているからこそだと感じています。

中村氏

ワークショップで示されたロードマップの中で、次に取り組みたいのがネットワーク領域のセキュリティ強化です。SOCのメリットは、異なるログを関連付けて分析できる点だと考えています。今後はネットワーク機器のログもSOCに連携し、より高度な監視体制を実現していきたいと思います。

下城氏

ビジネス環境が日々大きく変化する中、生成AIの普及をはじめ、これまで想定していなかった新たなリスクも次々と生まれています。だからこそ、自社で担うべきことと専門家に任せるべきことを明確に切り分けることが重要だと考えています。
SOCによる24時間365日の監視のように、高い専門性と継続的な運用体制が求められる領域は専門家に委ねつつ、私たちはその知見を活用しながら次の施策を検討し、セキュリティレベルの向上に取り組んでいます。その役割分担こそが、限られた人員の中で守りを固める鍵だと考えています。今後もIIJさんには引き続き信頼できるパートナーとして伴走いただくことを期待しています。