安心・安全なサービス提供に向けた取り組み

KDDIでは、事業を担うシステムが守るべきセキュリティ対策の基準をセキュリティ規程として定め、規程への準拠状況を審査しています。
本セキュリティ規程には、物理的なハードウエアの設置場所や、外部ネットワークとの接続、ソフトウエアのバージョン、認証・アクセス制御方式、ログの取得および保管など、KDDIグループが企画、開発、運用するシステムに必要なセキュリティ要件の細目、解釈について、具体的に記載しています。
本審査を、システムの企画から開発への移行フェーズにおいて厳格に実施することで、企画・設計段階からセキュリティ対策を考慮した「セキュリティバイデザイン」を実現しています。
また、システムの運用フェーズにおいては、サーバやネットワークに存在する問題点を診断する「ネットワーク脆弱性診断」を実施しています。
ネットワーク脆弱性診断では、さまざまなソフトウエアの脆弱性情報をシグネチャデータベースとして蓄積した専用の診断装置を用い、対象サーバやネットワーク機器に存在しているセキュリティ上の問題点を確認しています。
確認された問題点は、リスクに基づきレベル分けを行い、セキュリティパッチの適用や設定の見直し等の是正を図っています。
このように企画、開発、運用の各段階においてシステムのセキュリティを確保する取り組みを通じて、安心・安全なサービスの提供に努めています。

KDDIでは、セキュリティオペレーションセンター (SOC) を中心に、全国を統合的に監視しています。
大規模障害発生時は、統括拠点にて全体統制を行い、復旧対応の社内外への指示および情報展開を行います。この全体統制の中で、不正アクセスや改ざん、標的型攻撃等のサイバー攻撃の脅威に関しては、専門的な訓練を受けたセキュリティエンジニアが24時間365日の体制で監視にあたっています。セキュリティ監視機器から出力されるログを監視・分析し、膨大なログの中から攻撃の兆候を見つけ出します。また不正アクセスや改ざん等の危険なインシデントが発生した場合、リアルタイムにこれを検知するとともに、必要に応じてCSIRTおよび社内の関係部門へ迅速に連絡を行い、対処を指示します。

KDDIは、セキュリティインシデントに対応する専門組織としてCSIRT (Computer Security Incident Response Team) を設置しています。
CSIRTは、グループ会社のKDDIデジタルセキュリティ株式会社と連携し、インシデント情報の受け付け、インシデント対応のハンドリング、対応支援、再発防止策の検討などに取り組んでいます。また、一般社団法人日本シーサート協議会へ加盟しており、国内外のCSIRT組織と連携し、動向や対策方法などの情報共有を図っています。
サイバー攻撃は日々高度化しているため、脆弱性や攻撃情報などの収集を強化し、情報分析の強化、サイバー攻撃対応のさらなる自動化・高度化などを進める事で、新たな脅威への対応を図っていきます。

KDDIでは、キャリアパス明確化のために、セキュリティ専門人財のロールモデルを定義しています。
社外組織との人事交流や専門性の高い資格取得なども含め、幅広い知見の習得や、専門性の深耕を推進しています。

ここ数年、EメールやSMSを使って偽サイトへ誘導し、お客さまの認証情報を窃取することで不正行為を働くフィッシング詐欺が急増しています。KDDIでは、このような不正利用に対応する専門組織としてKDDI-SSIRT (Service Security Incident Readiness & response Team) を設置して対策強化に取り組んでいます。
フィッシング詐欺に関するお客さまへの情報発信や従来からの迷惑メール対策に加え、偽サイトの発生を検知し関連機関と連携することで、偽サイトによる被害抑止に努めています。
また、正規利用者のアカウントを乗っ取る不正なログイン行為に対して、24時間365日監視する体制を整備し、対策強化を進めています。
更に新たなサービスの検討プロセスに不正利用対策の観点で専門家が監査するプロセスを導入し、サービスにおける認証等の不備を発生させないチェック体制も構築しています。
フィッシング詐欺の手口は日々巧妙化しているため、継続的に各サービスのプロアクティブなセキュリティ強化を進めると共に、新たな脅威への対策にも取り組んでいきます。