こんにちは！メディカム編集部 エンジニアチームです。
メディアドゥは電子書籍流通を支える国内最大手の取次事業者として、2,200社以上の出版社と150店以上の電子書店を結びつける役割を担っています。当社のミッションは「著作物の健全なる創造サイクルの実現」。この使命を果たすための根幹には、常に「知的財産（IP）の保護」があります。
近年、サイバー攻撃の手法は高度化・多様化しており、デジタルコンテンツの流通は大きなリスクにさらされています。メディアドゥにおいても、ひとたびセキュリティインシデントが発生した場合、事業の継続に重大な影響を及ぼしかねない重要な課題であると認識しています。
そのため、情報セキュリティを専門に担う組織を設置し、全社横断的な体制のもとで、予防・検知・対応を含む包括的なセキュリティ対策に取り組んでいます。
今回は、情報セキュリティ部門を率いる三森と情報システム部門を率いる湯井へのインタビューを通じ、メディアドゥのセキュリティ担当者がどのような考えでセキュリティ基盤を強化してきたのかを聞きました。
IT統括本部 情報セキュリティ統括部 部長
三森 泰規
2017年、新卒でメディアドゥに入社。エンジニアとしてサービスインフラの運用保守や、DevOps業務を経験。現在は情報セキュリティ統括部でセキュリティ強化・監視・インシデント対応や規程整備に従事するほか、開発部門の課長も兼務。エンジニアの中途採用にも携わる。
IT統括本部 IT統括部 部長
湯井 達也
2008年よりITインフラ支援会社でインフラ構築を担当した後、セキュリティビジネスの立ち上げなどに携わる。2019年、クラウドコンピューティングサービス企業に入社し、法人の技術サポートを担当。2020年メディアドゥ入社。ITシステム企画担当など自社情報システムの整備を担い、現在はIT統括本部 IT統括部 部長。
1. セキュリティの重要性と現状の課題
――まず、メディアドゥにおけるセキュリティの位置づけについて教えてください。
湯井 私たちのビジネスは、出版社様の大切なコンテンツをお預かりすることから始まります。そのためひとたびインシデントが起きればお客様からの信頼を失い、事業停止に直結するため、セキュリティが重要であることは社内の誰もが理解しています。
しかし、「重要であること」と「投資価値があること」の間には、まだギャップがあるのも事実です。
予算の議論になれば、セキュリティは依然として「コスト」として扱われがちですし、お客様にとっても当社サービスが「安全であること」は当然として考えられていると認識しています。
ですが私たちは、セキュリティを単なる「コスト」で終わらせたくないと考えています。事業部門が商談の場で「メディアドゥはセキュリティが堅牢だから安心です」と説明できる状態を守り、そしてお客様にも「この安全は、メディアドゥだからこそ実現できている価値なのだ」と「コスト」が「投資」としてご理解いただけるような状態を目指しています。
2. 働き方の変化から始まった守り方の変革
――具体的な変革のきっかけはどこにあったのでしょうか？
湯井 大きな契機は2020年、新型コロナウイルスの世界的流行です。
それ以前の私たちは社内ネットワークを「安全地帯」とし、外部との境界を壁で囲う、いわゆるオンプレミス環境での「境界型防御」が中心でした。当時は基本的に従業員は出社しないと業務ができない環境でしたし、PCなどの情報機器の持ち出しも厳しく制限されていたため、境界型防御の考え方でもある程度セキュリティを維持することができていたと思います。
しかし、リモートワークへの急速な移行により、「社内＝安全」という前提が通用しなくなりました。外的な要因により守り方を変革する必要性に迫られたのです。
── そこで部分的な改修ではなく、抜本的な刷新を選んだわけですね。
湯井 はい、その通りです。ちょうどその頃Googleが提唱した「BeyondCorp」の概念や「ゼロトラスト」の考え方が社会に浸透し始めていたこともあり、次の守り方のモデルとして「場所を問わず安全に、かつ生産性高く働ける環境」と「従来よりも強固なコンテンツ保護」の両立を目指しました。この難題を解決するために、私たちはアーキテクチャ、運用体制、ルールを刷新し、モダンなセキュリティ環境の実現を決断しました。
3. ビジネスを支える技術戦略
――具体的にどのような技術や思想を取り入れ、強固な基盤を構築したのでしょうか？
湯井 大きく分けて3つのステップで対策を進めてきました。
1.「何も信用しない」ゼロトラスト基盤の構築
湯井 高度化するサイバー攻撃に対抗するため、ネットワークの内外で区別するのではなく、「ID（本人認証）」を信頼の基点としてアクセスをコントロールする「ゼロトラストアーキテクチャ」を採用しました。
具体的には、シングルサインオン(SSO) 、多要素認証 (MFA) の導入による認証強度の向上、デバイス統制の強化 (MDM) 、エンドポイント保護の強化(EDR) などの実現に取り組み、ゼロトラストを運用するための基礎を作りました。
また、ログ管理・分析ツール (SIEM) による「コンテンツファイルのトレーサビリティ（追跡可能性）」も確立しており、万が一の際も「メディアドゥからは漏洩していない」ことを客観的に検証できる体制を持っています。
2.ビジネススピードを落とさない「ガードレール設計」
三森 セキュリティ強化は往々にして社員の利便性を下げ、ビジネスの足を引っ張りがちです。しかしビジネスの妨げになってしまっては、セキュリティを「ビジネスのための投資」と位置付ける私たちにとっては本末転倒です。そのために「ガードレール設計」を採用しました。
開発プロセスや業務フローの中に、あらかじめ安全なルート（ガードレール）を敷いておく考え方です。 ユーザーの活動を過度に制限するのではなく、危険な逸脱だけをシステムが自動検知・ブロックする仕組みにすることで、社員はセキュリティを意識しすぎることなく、安全な範囲内で最大限のスピードを持って業務に集中できる状態になったと考えています。
3.日本ではまだ導入例の少ない「先進ソリューションの導入」
三森 自社開発サービスにおいてより強固な基盤を築くため、「CNAPP（Cloud Native Application Protection Platform）」を導入しました。
CNAPP は攻撃の予兆となる脆弱性を予防、検出、対応するプラットフォームであり、日本ではまだ導入事例が少ないものです。
また、メディアドゥにおける外部の脅威を特定し、事前に防御する施策として脅威インテリジェンスのツールも導入を検討するなど、グローバルでのセキュリティの最新動向を常にキャッチアップするなど世界基準のセキュリティの実現に向けて取り組んでいます。
4. 迅速なセキュリティ施策推進を支える体制
――なぜメディアドゥではこれほどスピーディにセキュリティ対策を推進できるのでしょうか？
湯井 メディアドゥ特有の2つの企業風土が影響しています。
1. 経営層の深い理解と、ベンチャー並みのスピード感
湯井 CIOを含む経営層、役員たち自身が、最先端の技術動向に高い関心を持っています。予算上や事業部門からはコストとして捉えられる側面はあるものの、投資効果や事業リスクの低減が明確に説明できる施策については、前向きに受け入れられる文化があります。
現場エンジニアからの提案に対しては、「なぜやるのか（Why）」が明確であれば導入の意思決定が非常に速い。東証プライム上場企業の安定基盤を持ちながら、意思決定のスピードはスタートアップそのものです。
2. 部門を超えたセキュリティマネジメントの体制
三森 情報セキュリティ部門は少数精鋭ですが社内で孤立していません。長年の取り組みにより、基幹システムを開発する部門やインフラを担うSRE、情報システム部門、そしてビジネス部門が一体となってセキュリティ強化に取り組む、いわゆる 「DevSecOps」の文化が根付きつつあります。
セキュリティ人材不足が叫ばれる中、私たちが高度な対策を実現できているのは、この全社的な連携があるからです。
――エンジニアにとって、この環境で働く魅力は何でしょうか？
三森 「自分の提案が、会社のセキュリティ戦略そのものになる」という手応えです。
経営陣との距離が近く、最先端の技術に触れながら、会社の根幹を守る仕組みを自ら設計できる。新しい技術を学び続けたい、幅広い施策を立案・実行したいというエンジニアにとって、これ以上ないフィールドだと自負しています。
5. セキュリティの位置付けの転換
――最後に、今後の展望をお聞かせください。
三森 当社では現在、米国国立標準技術研究所（NIST）が策定したサイバーセキュリティフレームワークとCIS Controlsを採用し、セキュリティ投資の効果を定量的に評価しています。
2022年の部門設立時に掲げた「標準的な対策が実施できている状態（Bランク）」という到達目標については、計画どおり2025年度中に達成しました。これは、グローバルスタンダードに基づいた基礎的な防御体制が確立されたことを示すものです。
次のフェーズとして、今後3年間で目指しているのが「セキュリティの民主化」です。
メディアドゥに所属するすべての従業員が、セキュリティを自らの課題として捉え、主体的に行動できる体制の構築を目指しています。その実現に向けて、当社の事業継続に影響を及ぼし得るリスクや脅威を可視化し、社内における啓発活動や対策立案に活用していきます。従業員一人ひとりが適切な危機意識を持てる環境を整えることが重要だと考えています。
将来的には、メディアドゥ単体にとどまらず、国内外のグループ会社や取引先を含むサプライチェーン全体のリスクに対応していくことを視野に入れています。
これらの取り組みを通じて、社内および業界全体に対し、セキュリティの重要性と当社の技術的取り組みへの理解を深めていただくとともに、セキュリティを単なる「コスト」ではなく、将来に向けた重要な「投資」であるという考え方を広く浸透させていきたいと考えています。
おわりに
メディアドゥにとって、セキュリティは事業存続の生命線です。 今はまだ「コスト」と見られる局面もありますが、私たちはそれを乗り越え、ビジネスを加速させる「強み」へと変えていく取り組みを続けています。
コンテンツ流通の未来を支えていくエンジニアの方をお待ちしています。
▼キャリア採用情報はこちら
https://mediado.jp/recruit-jobtype/category/midcareer/
