クラウドペネトレーションテストで内製データ分析基盤の見えないリスクを洗い出し、安心して機密データを預けられる環境を目指す

会社・事業について

グループデジタルソリューションセンター AI・DX統括／データプラットフォームチーム 課長 一ノ瀬様

——貴社について教えてください。

ポーラ・オルビス ホールディングスは、「POLA」や「ORBIS」といった化粧品ブランドを中心に、美容・健康に関わる様々なビューティービジネスをグループ全体で展開している企業です。自社のECサイトや店舗を通じたダイレクトマーケティングが大きな特徴で、それぞれのブランドが独自の世界観を持ち、お客様に特色あるブランド体験をお届けする「マルチブランド戦略」をとっています。

グループ内には「ポーラ化成工業」という研究開発の会社を持ち、肌や美容・健康に関する研究に非常に力を入れている点も強みです。研究開発における技術力はグローバルでも高い評価をいただいています。

——一ノ瀬様のご所属と担当領域について教えてください。

AI・DX統括の中に位置づけられたデータプラットフォームチームのマネジメントを担当しています。このチームは約3年前に発足した、グループ全体のデータ活用を推進する組織です。

各ブランドが独自にデータを管理しているため、高度な機械学習やデータ活用のナレッジをグループ全体で横断的に共有するなど、データ活用を最大化していくことが難しいという課題があります。そこで立ち上がったのが私たちのチームです。

ミッションは大きく3つあります。1つ目は、事業側に対してデータ活用の技術的な支援を行うこと。2つ目は、グループ全体で横断的に使えるデータプラットフォーム基盤を内製で開発・運用すること。3つ目は、グループ各社のデータ活用の文化醸成です。表彰イベントの企画や育成プログラムの実施などを手がけています。私はこの3つの領域全てに関わる形で組織運営に携わっています。

クラウドペネトレーションテストの実施背景・目的

——今回のクラウドペネトレーションテスト実施の背景を教えてください。

「内部に侵入された場合でも、本当にデータを守り切れるのか」を検証したいと思っていました。

マルチブランド戦略によって各ブランドがそれぞれ独自の世界観とビジネスを持っていることから、データを1箇所に集約するのは難しい状況でした。そこで、約3年前からAWSやSnowflake、dbt、GitHubなどの複数のクラウドサービスを組み合わせ、ブランドごとにアカウントやデータを分離して管理できる分析基盤を内製で構築してきました。

中でも今回クラウドペネトレーションテストの対象とした分析基盤は、顧客の機微情報などの特に漏洩インパクトの大きい研究データを扱いたいというリクエストが社内からあり、通常以上に高い安全性が求められる環境です。MFA（多要素認証）などで「外部」からの入り口は守られていますが、万が一、開発者の端末等の「内部」から侵入された場合に、「データを守り切れるのか」という問いには答えが出ていませんでした。

今回は、一定量のデータが蓄積されたこのタイミングこそが最適だと判断し、クラウドペネトレーションテストの実施に踏み切りました。

——そうした内部侵入リスクの検証に向けて、これまではどのような対策を行ってきたのでしょうか？

これまではデータ分析基盤の構築を支援していたコンサルティング会社にセキュリティチェックの相談をし、まずはCSPM(*1)による基本的な設定の適正化を最優先に行いました。

CSPMを導入後はベストプラクティスに沿った設定での運用を1年ほど続けてきましたが、それだけでは「自分たちの設計思想そのものがセキュリティ的に正しいのか」までは確信できませんでした。

設定の静的なチェックだけでなく、実際の攻撃者がどう動くか、設計の意図と実態にズレがないかといった、動的な観点での検証をセキュリティのプロフェッショナルにお願いする必要性を感じました。

*1:Cloud Security Posture Management：クラウド環境の設定がベストプラクティスに沿っているかを自動的にチェックし、設定ミスや不備を検出するツール

ベンダー選定・Flattの評価

——弊社を知ったきっかけと、ご依頼の決め手を教えてください。

Web検索がきっかけでした。クラウドペネトレーションテストを専門的に提供している国内ベンダーが限られる中、GMO Flatt Security（以下、Flatt）のサービスページにたどり着き、話を聞いてみようと思いました。

決め手になったのは、プロフェッショナルによる擬似的な攻撃で検証ができる点でした。CSPMのような自動ツールでは見えづらい「複雑な攻撃で顕在化するリスク」を洗い出したかった私たちにとって、このアプローチはまさに求めていたものでした。

——ご依頼にあたって不安な点はありましたか？

今回対象にした環境は、まだ本番化されていない検証環境で、設計に関するドキュメントも十分に整っていませんでした。限られた情報をもとに、どこまで実効性のある攻撃シナリオを組んでいただけるのか、正直なところイメージが湧かないまま始めました。

ただ、検証環境は本番環境と同じ構成やセキュリティレベルで作っていたため、業務への影響を出さずに本番同等の安全性を検証できるという利点がありました。

Flattからの提案内容を拝見し、不安よりも得られる知見のほうが大きいと判断したことから、他社との比較検討はほぼ行わずに依頼を決めました。

今回のクラウドペネトレーションテストの内容

ご要望を踏まえ、内製データ分析基盤に対するクラウドペネトレーションテスト（端末侵害型）を実施しました。

クラウドペネトレーションテスト（端末侵害型）

https://flatt.tech/professional/cloud_penetration_test

——クラウドペネトレーションテストを受けてみて、率直にいかがでしたか？

「依頼してよかった」というのが率直な感想です。不安に思っていた「どこまで深く検証してもらえるのか」という点に関しては、想定以上に多角的なパターンで攻撃を試していただきました。

自分たちでも「ここはまだ設計が甘い」と認識していた部分はしっかり高いレベルで指摘いただきましたし、想定外の観点からの攻撃パターンも見つかり、非常に気づきが多かったです。

特に印象的だったのは、「機能開発ができる権限を付与すること自体が新たな攻撃面を生む」という指摘です。開発とセキュリティはつい分けて考えてしまいがちですが、「機能開発の権限が攻撃の穴を広げ得る」という視点は、開発チームとして改めて意識すべきだと感じました。

——結果を受けて、どのようなご対応をされましたか？

いただいた指摘の多くは、私たちの中でも課題として認識しながら対応の優先度を上げきれていなかった部分でした。今回の結果を受けて一気に対応を進め、12月中旬にレポートをいただいた後、翌1月中にはリスクのある指摘事項を全て修正しました。

内製したデータ分析基盤の堅牢性が確認されたことで設計方針への自信を深めると同時に、CI/CDパイプラインやツール間連携といった「境界領域」のリスクにあらためて意識を向けるきっかけになりました。

——ペネトレーションテスト実施中のコミュニケーションや進め方はいかがでしたか？

本番環境相当の検証環境でペネトレーションテストを行ったため、業務への影響を出さずに本番同等のセキュリティ検証ができました。

実施している期間のコミュニケーションもスムーズで、環境に一定の影響を与え得る操作については事前にご連絡をいただき、進捗もチャットベースで適宜共有していただけたので、安心して任せることができました。

今後の取り組み

——今後、データ分析基盤やセキュリティ面でどのような取り組みを考えていますか？

基盤はまだスモールスタートの積み重ねの段階ですので、より多くの方に使っていただける環境へ広げていくことが当面の目標です。そのためには、誰に何のデータを見せてよいかをシステムで制御できる設計が不可欠であり、セキュリティの強化は避けて通れません。

今後は顧客の機微情報など、より高度な保護が求められる情報も分析基盤で扱っていきたいと考えています。今回のペネトレーションテストで基盤の設計方針が大きく間違っていない、という裏付けが得られたことで、事業側も安心してデータを預けられる土台ができました。

さらに、システム面にとどまらない「運用体制としての安全性」の向上にも継続的に取り組んでいく必要があります。扱うデータの範囲や連携先が広がるタイミングでは、あらためて外部の専門家による検証も検討したいと考えています。

——全社的なAI・DX推進に向けて、チームとしてどのような役割を担っていきたいか、展望をお聞かせください。

AI・DX統括への組織再編に伴い、データをAI活用の基盤として整備するニーズが急速に高まっています。どのデータをAIに学習させて良いのか、といった判断基準をつくること自体が、セキュリティ強化の一環だと捉えています。

私たちのチームだけではなく、会社全体で取り組むべきテーマになると思いますが、今回のペネトレーションテストで「安心してデータを預けられる基盤」の第一歩を踏み出すことができたので、今後はこの基盤をベースに、社内の様々な部門と横断的に連携し、AI時代に向けた安全なデータ活用ルールを構築していきたいと考えています。

——一ノ瀬さん、本日はどうもありがとうございました！