ボトムアップ文化が強い組織で セキュリティをどう根付かせていくかの現在進行形の話 / Making Security Stick in a Bottom-Up Organization

ボトムアップ文化の強い組織で、EOL対応をきっかけに脆弱性管理を見直し、Snykの導入、セキュリティロードマップの策定、ASM・CSPMを含む成熟度ロードマップへの引き直しまで進めた、現在進行形の事例を紹介します。

ボトムアップは、全社方針を待たずに現場の課題から素早く動き出せる一方、善意と個人の専門性に依存しやすい側面があります。今回は、アーキテクチャ・クラウド・セキュリティを横断できる人材が1線と2線の間をつないだことで活動が形になりました。

ボトムアップの強みと限界、そして個人の実践をセキュリティチャンピオン、ガイドライン、継続的な意思決定プロセスへ移し、セキュリティを組織に根付かせていくための現在地を共有します。

Snykについては以下を参照
https://snyk.io/jp/
https://speakerdeck.com/yamaguchitk333/considering-sustainable-security-measures-in-devsecops-left-loop-and-right-loop-perspectives
https://speakerdeck.com/yamaguchitk333/getting-started-with-snyk-vulnerability-response

Transcript

1. ボトムアップ文化が強い組織で セキュリティをどう根付かせていくかの現在進行形の話 2026.8.5 株式会社エス・エム・エス 山口隆史 © SMS Co., Ltd. 1 1
2. エレベーターピッチ ボトムアップは動き出しが早いが、善意と個⼈の専⾨性に依存 しやすい 今回は、アーキテクチャ・クラウドを理解し、セキュリティを 実装に落とし込める⼈材が1線と2線の間を繋いだ形で実施して いる現在進⾏形の事例です 再現性、継続性のある仕組みには、まだなっていません © SMS Co., Ltd. 2
3. ⾃⼰紹介 ⽒名：⼭⼝隆史(やまぐちたかし) 所属：株式会社エス・エム・エス プロダクト推進本部 技術推進グループ 業務：全社SREとしての活動 略歴：フリーランス、SIer、Web系を渡り歩く→現職（2024/05〜） ⾃称：Security Hub芸⼈ 通称：千葉⽀部公式AWS BuilderCards審判員 好きなAWSサービス：営業、Security Hub、GuardDuty 他：AWS Community Builder(Security & Identity)、JAWS-UG千葉⽀部運営 Snyk Ambassador、SRE NEXTコアスタッフ 第022587号 © SMS Co., Ltd. 3
4. © SMS Co., Ltd. 4
5. 会社概要 基礎情報 業績 会社名 株式会社エス・エム・エス（英語表記）SMS Co., Ltd. 社会課題の解決につながる事業を 創造・拡大し、継続的に成長 設立 2003年 4月4日 市場情報 東京証券取引所プライム市場（証券コード:2175） 資本金 25億5,172万円（2026年3月31日時点） 従業員数 連結：4,660人、単体：3,214人（2026年3月31日時点） 関連会社 国内：4社、海外：アジア・オセアニア等16の国と地域 ミッション 「高齢社会に適した情報インフラを構築することで人々の 売上推移 *1 （売上高・億円） 生活の質を向上し、社会に貢献し続ける」 高齢社会に求められる領域を、医療・介護/障害福祉・ヘルスケア ・シニアライフと捉え、価値提供先であるエンドユーザ・従事者・事 業者をつなぐプラットフォームとしての情報インフラを構築し、40以 上のサービスを展開 *1：第7期迄は単体数値、第8期より連結数値にて記載 © SMS Co., Ltd. 5
6. サービス⼀覧（⼀部抜粋） 分野 キャリア 区分 人材紹介サー ビス DR・その他 介護・障害福祉 経営支援 ヘルスケア シニアライフ 海外 © SMS Co., Ltd. サービス 介護職向け人材紹介 看護師向け 人材紹介 保育士向け 人材紹介 放射線技師向け 人材紹介 臨床検査技師向け 人材紹介 臨床工学技士向け 人材紹介 職種横断ダイレクト 看護師・看護学生向け リクルーティング コミュニティ 管理栄養士・栄養士向け 人材紹介 看護学生向け 就職情報 PT/OT/ST向け 人材紹介 治療家*1・セラピスト向け 人材紹介 看護師の職場を 診断するツール ケアマネジャー・相談員 ・障がい福祉の人材紹介 介護で働く人の ためのスクール 介護・医療・福祉の 管理栄養士・栄養士 柔道整復師・あはき師 資格講座情報 向けコミュニティ 向け受験参考書 高齢社会の 障害福祉事業者向け 介護事業の 介護/障害福祉 業務支援 事業者向け経営支援 経営者・管理者向け情報 調査・研究・情報発信 遠隔指導重症化 遠隔指導特定保健指導 予防サービス サービス 企業の健康管理 業務サポート 産業保健に 関わる人向け情報 医療介護業界特化型 ストレスチェック 女性の健康経営 サポート 介護で悩む人向け コミュニティ 高齢者向け 食事宅配紹介 高齢者向け 住宅紹介 医療従事者向け医薬情報 ICTを活用した 禁煙サポート 行動療法に特化した 禁煙サポート 障害のある方向け 人材紹介 障害のある方向け 就労支援事業所情報 仕事と介護の 両立支援ソリューション リフォーム会社 紹介 医療従事者向け人材紹介 (マレーシア、フィリピン、アイルランド、UK、ドイツ等) 建設・不動産 業界向け人材紹介 葬儀社紹介 認知症予防 ソリューション 認知症患者とその家族 向け認知症情報 看護師向け キャリアサービス ＊1．柔道整復師、あん摩マッサージ師、はり師、きゅう師のこと 6
7. エス・エム・エスの状況 • CSIRT、SOC等のセキュリティ専⾨チームは組成されていない • CISO、CTOは不在 ◦ プロダクトの責任者はいる • コーポレートセキュリティとリスクマネジメントの組織はある © SMS Co., Ltd. 7
8. 01 課題 02 脆弱性対応の改善 ⽬次 03 次に⾒えた課題 04 ここまで形に出来た要因 05 ボトムアップの良い点とその限界 06 現在の状況とまとめ © SMS Co., Ltd. 8
9. 01 課題 © SMS Co., Ltd. 9
10. 最初に⾒えていた課題はEOL対応だった EOL ミドルウェア 未更新ライブラリ 古い実⾏環境 最初に⾒えていたのは「古さ」 © SMS Co., Ltd. 10
11. EOLは症状 • 新しい脆弱性を把握する • ⾃社への影響を判断する • 優先順位をつける • 適時に対応する • 対応状況を追跡する © SMS Co., Ltd. 11
12. EOLは症状 • 新しい脆弱性を把握する • ⾃社への影響を判断する • 優先順位をつける • 適時に対応する • 対応状況を追跡する 本当はこのような継続的な運⽤が必要 © SMS Co., Ltd. 12
13. 脆弱性対応が開発チーム内でサイロ化していた 開発チーム A 開発チーム B 開発チーム C 対応できている ⼀部のみ対応 対応できていない 判断基準 A 判断基準 B 判断基準 C 全体の可視化、運⽤基準がない © SMS Co., Ltd. 13
14. 課題のまとめ © SMS Co., Ltd. 01 症状 EOL・古い実⾏環境 02 運⽤ 継続的に把握・判断・対応できない 03 チーム 脆弱性対応がサイロ化 04 組織 全体可視化・優先順位・基準がない 14
15. 課題のまとめ 01 症状 EOL・古い実⾏環境 02 運⽤ 継続的に把握・判断・対応できない 03 チーム 脆弱性対応がサイロ化 04 組織 全体可視化・優先順位・基準がない 脆弱性対応が、組織の仕組みとして回っていなかった © SMS Co., Ltd. 15
16. 02 脆弱性対応の改善 © SMS Co., Ltd. 16
17. ボトムアップで最初に⽬指した状態 • 全体を可視化できている • 開発チームが⾃⾛できている • 脆弱性を開発フロー内で検知できる • 優先順位をつけて対応できる • 横断的に状況を把握できる © SMS Co., Ltd. 17
18. ツールはSnykを選定 • 可視化と開発チームが⾃⾛できることを重視 • 導⼊するのは以下 ◦ Snyk Code ◦ Snyk OSS ◦ Snyk Container © SMS Co., Ltd. 18
19. ツール導⼊で、組織として決めるべき論点が顕在化した • どのチームから始めるのか • PoCで何を確認するのか • 誰が運⽤するのか • 開発チームの⼯数をどう確保するのか • いつ導⼊判断をするのか • いくらかかるのか • 将来どこまで広げるのか ◦ これだけで済むのか © SMS Co., Ltd. 19
20. ツール導⼊をきっかけに、組織全体の進め⽅が問われた © SMS Co., Ltd. 20
21. 03 次に⾒えた課題 © SMS Co., Ltd. 21
22. 次の課題 • 脆弱性管理だけではカバー範囲が狭い ◦ Snykのスコープはソース、OSSライブラリ、コンテナの脆 弱性 • マルチクラウドだとCSPM管理がつらい ◦ 横断で⾒たい • 公開されているエンドポイントの可視化が出来ていない ◦ 可視化だけでなく脆弱性スキャンもしたい © SMS Co., Ltd. 22
23. 次の課題 • 脆弱性管理だけではカバー範囲が狭い ◦ Snykのスコープはソース、OSSライブラリ、コンテナの脆 弱性 • マルチクラウドだとCSPM管理がつらい ◦ 横断で⾒たい • 公開されているエンドポイントの可視化が出来ていない ◦ 可視化だけでなく脆弱性スキャンもしたい その周辺にある⾒えていないリスクに⽬が⾏くようになった © SMS Co., Ltd. 23
24. 話を持っていくと結局どこまでやれば安⼼なの？が問われた • 現状を知りたい • セキュリティの全体像を知りたい • ⾜りているところ不⾜しているところが知りたい • セキュリティは最低限どこまでやる必要があるのか？ © SMS Co., Ltd. 24
25. 話を持っていくと結局どこまでやれば安⼼なの？が問われた • 現状を知りたい • セキュリティの全体像を知りたい • ⾜りているところ不⾜しているところが知りたい • セキュリティは最低限どこまでやる必要があるのか？ 今度は組織全体セキュリティロードマップの進め⽅ が問われた © SMS Co., Ltd. 25
26. 現場発のツール導⼊から、全社ロードマップへ • ツール導⼊のロードマップから、セキュリティ成熟度のロード マップへ • ベンチマークと⽐較して、ベースラインに⾜りないところを可 視化していく • 1線が実装可能なスコープを考慮しつつ、2線側のガイドライン としても使えるように整備していく © SMS Co., Ltd. 26
27. 実装可能性を重視し、現場側からベンチマークを選んだ • AWS Security Maturity Modelを選定 ◦ 現場の使い勝⼿、説明のしやすさを重視 施策を決めるベンチマークもボトムアップで選んだ © SMS Co., Ltd. 27
28. 04 ここまで形に出来た要因 © SMS Co., Ltd. 28
29. 1線と2線の間を、橋渡し役がつないだ 1線 開発・実装 2線 基準・牽制 橋渡し役 ⾃社アーキテクチャ © SMS Co., Ltd. セキュリティ上の要求 クラウド実装 1線 ⇄ 2線 リスク基準・優先順位 開発フロー組込み 予算・計画調整 モニタリング・牽制 29
30. しかし、橋渡し役に役割が集中した 必要だった役割 課題発⾒ ／ 実際の担当 リスクの解釈 ツール選定 ／ PoC設計 運⽤設計 ／ ベンチマーク選定 すべての役割を 橋渡し役が担当 ロードマップ策定 © SMS Co., Ltd. 30
31. 05 ボトムアップの良い点とその限界 © SMS Co., Ltd. 31
32. ボトムアップの良い点 • ⽅針を待たずに始められた • 現場の課題から動けた • 実装可能性を踏まえて考えられた • ⼩さく試して学べた • ⾒えた課題に応じてロードマップを変えられた © SMS Co., Ltd. 32
33. ボトムアップの限界 • 動けば動くほど、担当範囲が広がる • 個⼈の専⾨性に依存 • 1線が基準案と実装を担い、2線がリスク観点でレビューする 分担ができていない © SMS Co., Ltd. 33
34. 06 現在の状況とまとめ © SMS Co., Ltd. 34
35. 現在の状況 • 開発チーム ◦ セキュリティチャンピオンとの連携を開始 ◦ ⼀部チームは⾃⾛ ▪ チーム間で濃淡あり • ガイドライン ◦ 開発向けガイドラインの整備中 • 会社 ◦ セキュリティ予算とその必要性を説明中 © SMS Co., Ltd. 35
36. 次に⽬指す状態 • 開発チーム ◦ 各チームが⾃律的に改善できる • ガイドライン ◦ 判断基準を共通化する • 会社 ◦ 継続的な意思決定プロセスに載せる © SMS Co., Ltd. 36
37. まとめ • ボトムアップは気づいた⼈がいれば素早く動ける • 善意と個⼈の専⾨性に依存した活動は持続・拡⼤しにくい © SMS Co., Ltd. 37
38. まとめ • ボトムアップは気づいた⼈がいれば素早く動ける • 善意と個⼈の専⾨性に依存した活動は持続・拡⼤しにくい セキュリティを根付かせるということは 個⼈の頑張りに依存しない状態にすること © SMS Co., Ltd. 38