【ゲーム】二択にしない、選べるルールへ。開発の柔軟性を守りながら進めたゲームフリークのセキュリティ規程・基準策定

ゲームフリークのIT部門、情報システムグループのグループマネージャーをしています。社内の折衝や全般的なシステム管理を担当しており、今回の規程策定も主導しました。現在はその定着を図っている段階です。

情報システム部門の中では、ヘルプデスクのチームと、システム構築・設計を担当するチームが分かれており、私は後者のシステムチームのリードをしています。サーバー、ネットワーク、クライアントなど幅広く担当しており、セキュリティも含めて見ています。

以前からクラウドネイティブさんにご支援いただき、MDMの強化、MFA、監視、アカウント管理の強化など、システム面でのセキュリティ強化を進めてきました。一方で、そのベースになるルールはまだ追いついていない状況でした。

属人性もだんだん高まってきており、長期的に維持していくためにはルールを作らないといけない。ちょうどそういうタイミングになったので、クラウドネイティブさんにお願いしました。

そうですね。例えばNetskopeにはNetskopeのルールがあるけれど、それが全体と紐づいているわけではない。MDMにはMDMのルールがあって、ユーザーはその部分は知っているけれど、それ以外は知らない、という状況でした。

そうですね。スタッフのレベルになると、「なんかダメらしいよ」という伝聞になっている状況でした。

教科書的には、まず守るべきものを決めて、トップダウンでルールを下ろしていく順番になると思います。ただ我々の場合は、ルールを決めて承認を取ってから対策するという順番ではなく、「まずはちゃんと安全にしましょう」と、対策を先に進める話をクラウドネイティブさんとずっとしてきました。全体をまとめたルールがないことは課題だと感じつつ、ここまで来てやっと、ルールを作るための下地が整ったという感覚です。

もともとは、コロナ禍で世の中全体に在宅勤務が広がり、IT環境が大きく変わったことがきっかけでした。リモート環境を用意するところまでは自力でやったのですが、この先どう統制していくのかは自分たちだけでは手が回らないということで、クラウドネイティブさんに相談しました。その時に大きな方針を一緒に決めさせていただき、そこから案件ベースでお願いする形で長くお付き合いがあります。

我々の環境をよくご存知で、理解した上で相談に乗っていただけること。そして、技術面で非常に信頼している会社さんであること。この2つから、最初に相談しようと思いました。

掘り下げても掘り下げても、明らかにこちらより詳しいなというところです。あとは「これを使わなきゃ」という技術の押し売りではなく、どこで使うべきかという取捨選択もディスカッションできる。そこがすごく良い関係性だと思っています。

いつも我々の課題感を深く理解した上で支援していただいているので、前提から説明しなくても、これまでの文脈を踏まえたディスカッションができるという期待がありました。

一般的なビジネスだと、「こういうものですよね」という前提でソリューションを売りに来る会社さんもあります。そうすると、そのソリューションが合わないとなった時に選択肢がなくなる。最初から物を売りに来るわけではないという点は、非常にありがたいです。

一番良かったのは、ルールを採用するかしないかという二択の状況にせずに済んだことです。あるルールをそのまま入れると、開発がガチガチになって進みが悪くなったり、他社さんとの契約が難しくなったりする。一方で、そのルールを諦めるのかという話にもなります。

そうではなく、「こういう枠を決めて、この中から柔軟に選べるルールにしたらどうか」という提案をいただけました。自分たちだけだとたどり着くのに時間がかかったか、あるいはたどり着けなかったかもしれません。非常にありがたかったです。

これまでのインフラ面をご存知だったこともあり、「こういったソリューションが入っていますよね」「セキュリティ対策もすでにできていますよね」というところから派生して、ルール作りができたのは非常にありがたかったです。

こちら側で役員の意見を聞いて、「ニュアンスを全部変えてください」とお願いするような場面もありましたが、そういった時に食らいついてきていただけたのも助かりました。

最初は一体でいく話でしたが、途中で社内手続きの制約が課題になりまして。急な話でしたがすぐに「分けましょう」「こういうふうにしましょう」となり、提案頂いた構成を上とやり取りした結果として受け入れていただけたのは良かったです。

最近こういう攻撃が流行ってきたからといって、その都度臨時取締役会を開くわけにはいかないですからね。

ゲームフリークには、皆さんがご存知で、いろいろな会社さんと一緒に取り組んでいる大きなプロジェクトもあれば、新規IPのプロジェクトもあります。新規は、どれだけ早くアジャイル的に試せるかが勝負になるところがあります。一方で、大きなプロジェクトは世の中の皆さんに期待されている分、漏えいなどがないように、ユーザーさんの期待に応えられるようにしっかりやらなければいけない。同じ会社の中に非常に幅がある状態です。

そこに全社として一律のルールを敷く時、画一的なルールだとどちらも困る。開発にも柔軟性が必要であることをクラウドネイティブさんに理解いただいた上で、どう作っていくかをディスカッションできたのがすごく良かったです。

インシデント対応のルールに関しては、大規模プロジェクトではルールを決めようという動きが先行して進んでいました。一方で、新規プロジェクトが置いてけぼりになる状況もありました。双方を兼務している人もいるので、やはり全社的なルールが必要だよね、そこが置いてけぼりになるのもリスクだよね、という認識がありました。

会社として守るべき重要な情報は様々なものがあるので、これを機に、いろいろなところに分散している情報を集約することを経営とも一緒に進めました。

社内で監査を行い、是正をお願いしたりもしました。その時の内容が、今回のセキュリティ基準に反映されているところもあります。

今回は、既存でやっていることからは大きくずらさないようにしました。頭ごなしに「こんなに厳しくします」と言うと現場が反発するので、そうではなく、現場が今まで責任感を持って守ってくれていたことをちゃんと統合し、今後も継続的に守られる体制にするためのルールを作成しました、というのがメインのメッセージでした。そうすると現場も抵抗感なく、「分かりやすくなった」という形で受け入れてくれています。

徐々に属人性を会社のルールに移行できていっているのかなと感じています。今までは、自分や三須に「これって大丈夫ですか？」と聞かれて、それに個人として答えていました。今はルールとして「こうだから」と答えられるようになってきている。個人の判断というより会社の業務になっていくし、暗黙知が形式化されていくところは良かったと思っています。

リスク評価もしやすくなりました。基準によって「どういった項目を確認するか」が示されたことで、満たせるもの・満たせないもの、このシステムであればリスクを受容できるかどうか、といった判断がしやすくなりました。

完全にリスクを受容しないというセキュリティ偏重ではなく、まずリスクをちゃんと把握することが重要です。その一つの物差しとして基準を使えるようになったのは、やりやすいところです。

ちゃんと台帳を作ることと、監査をしっかり回すことです。まずは最初の1年、その次の2年、3年というところで、きちんとやらないといけないと思っています。回らなかったら見直す、というのも全然ありだと思います。まずはルールを使って、それを適宜見直していくことが大事です。

個人的には、セキュリティは従業員が意識せずに勝手に守られているのがベストだと思っています。ただ、このご時世、そういうわけにもいかないので、従業員向けのeラーニングや、システム管理者向けの監査などで、ちゃんと守られているよねと確認することが重要だと思います。

一方で、なるべく自動化も進めていかなければいけません。運用に手間をかけなくてもセキュリティが担保される仕組みを、考えていく必要があります。

今回の案件で言うと、壁打ち相手をお願いしたいという感じでした。自分たちの中で、こうした方がいい、こうしたいということが明確ではない状況でも、悩んでいる状況でも相談させていただける会社さんだと思っています。

今回の案件は、自分だけでやると絶対に行き詰まる内容でした。ゲームフリークという開発会社がどういうところにこだわりを持っているかを理解した上で、ディスカッションしながら進めてくれるだろうという期待を持ってお願いしました。

エンジニアリング面で言うと、公式ドキュメントにないようなことをご存知の方もいて、なかなか出てこない情報を見つけて把握されていることがあります。そういった面では、非常にエンジニアとしての信頼があります。

今回良かったのは、規程という抽象度の高いところと、現場に下ろした時の技術面のところを、行ったり来たりしながら議論できたことです。ウォーターフォール的に上の方を作ってから詳細に落とすというより、そこをぐるぐる回しながらディスカッションできたのがすごく良かったです。

技術特化の会社もあれば、上流や規程のところが強い会社もあると思いますが、その両方を一体的に、ぐるぐる回しながら進められたのは良かったです。

時々、大丈夫なのかなと思うんですけど、契約がないのに考えてくださっている、検討してくださっていることが結構多いですね。よそのベンダーさんだと、良い悪いは別として、「サポートの契約がないので」「QAの契約がないので」とスパッと切られることがあります。

ここ数年はセキュリティを中心に取り組んできたこともあり、社内には「情シス＝セキュリティの部署」というイメージがあります。セキュリティへの取り組みは今後もずっと続きますが、その土台は整ってきました。次のステップは、この土台の上で、開発効率や利便性の向上にIT側からどう貢献していくかです。もちろん、そこにもセキュリティをセットで提供していく。それが次にやるべきことだと思っています。

開発側がセキュリティに対して理解してくれているのは助かっています。「セキュリティのことを考えたくないから任せた」というより、「セキュリティは大事なので頼むね」という感じです。一方で、我々IT側も、開発側の速度感など大事なことも分かっています。組織規模が大きくなってきていますが、比較的、情報システムと開発部門との垣根が低い組織を維持できていると思っています。

私たち情報システム側も、セキュリティのことを聞かれるだけではなく、開発側から「こういうことに困っている」という相談を受けることがあります。そうしたやり取りが、社内のいたるところでうまく回っていると思います。いわば貸し借りのようなもので、「あの時助けてもらったから、今度はこちらが協力する」とお互いに支え合える関係性ができています。

組織としてITリテラシーが高い方がかなり多いというのも、ゲームフリークの特色かもしれません。普段、プログラマーと通信プロトコルの仕様レベルで話をしているようなこともあり、他の会社ではありえないなと思うことがあります。

社内でもよく言っているのは、まずは小さいことから始めることです。PoCもそうですが、小規模にやって成功体験を得て、それを広げていく。「ああいうものが欲しいけど今はない」というより、できるところから始めるといいのではないかと思います。

クラウドネイティブさんには、「今はこうしかできないんですけど、どうすればいいですかね」といった相談を持っていけると思います。相談の敷居が低いのはすごく良いことだと思います。出てくる人たちが皆さん技術が好きで、ポジティブな印象や発言の人が多いので、これからもそういう人がたくさんいる組織でいてほしいです。

セキュリティは、世間一般的には生産性と相反するものと捉えられるところがありますが、今の時代はそうではなくなってきていると思います。例えるなら、道路のガードレールのようなものです。ガードレールがなければ、道を踏み外した時にそのまま大きな事故になり、社会的な信頼を失ってしまう。事業を進める上で、セキュリティにはそうした事故を防ぐガードレールとしての役割が強まってきています。だからこそ、セキュリティは当たり前にやるべきことなのだと、全員が認識することが重要な時代になっていると思います。

体制は各社各様ですし、それぞれリスクを受容できる・できないという話もありますが、それに応じた投資をしていくことが必要だと考えています。お金がないならないなりに考えてやっていただけると思いますし、他の会社さんがクラウドネイティブさんに何か依頼するとしても、頼りになる部分があると思います。