劇的なスピードでIT環境が変化する今、三菱化学エンジニアリング、太陽生命保険、ローソンが取り組むセキュリティ対策とは：Trend Micro DIRECTION特別講演（2/2 ページ）

トレンドマイクロが2016年11月18日、「情報セキュリティカンファレンス Trend Micro DIRECTION」を開催。本稿では、三菱化学エンジニアリング、太陽生命保険、ローソンが取り組むセキュリティ対策の講演の模様をレポートする。

[丸山隆平，＠IT]

ローソンが取り組む、AWSの「シェアードレスポンシビリティ」モデルに基づくセキュリティ対策

　最後に登壇したローソン 業務システム統括本部 システム基盤部 マネジャーの進藤広輔氏は「ビジネスニーズに応えるクラウド活用とセキュリティ対策」と題して講演した。

2015年から一気に進んだクラウドの活用

ローソン 業務システム統括本部 システム基盤部 マネジャー 進藤広輔氏

　進藤氏は、会社紹介の後、自身の担当分野について「AWS（Amazon Web Services）関連のブロジェクト推進と統括の他、ネットワークセキュリティ、セキュリティポリシーやガイドラインの作成も担当している」と述べた。

　続いて進藤氏はローソンのIT環境の変化と課題について解説。「2010年までは専用のデータセンターにおいてオンプレミスで運用。アプリケーション開発はベンダーに外注し、データはPOSデータが中心だったが、2015年からクラウドの活用が一気に進んだ。これに伴いビジネスのスピードにシステムがどう対応するか道筋が見えてきた」とした。

　「クラウドの活用とアプリケーションの内製化で、今店舗で起きていることにダイレクトでアプローチできるようになった。取り扱うデータとしては、SNSを介したものも含めてビジネスに反映させている。さらに2020年をめどにAIやロボットの活用も視野に入れて次世代システムの検討を進めている」（進藤氏）

ローソンの次世代IT環境（進藤氏の講演資料から）

　進藤氏は、ローソンのITシステムの課題について「従来、発注はバッチ処理で行っており、システムが固定的でレガシーなものとなっていた。現在の経営課題に対応したいのに、データは過去からしか拾えない。今が見えないシステムだった」と振り返る。ローソンがこの対策として採用したのがクラウド化とリアルタイム処理の推進だ。「今、店舗で起きていること、『上流である製造や物流で何をしなければならないか』の把握についてシステムでアプローチしていきたい」と進藤氏は計画を語った。

　また、そこでのセキュリティ対策について進藤氏は「コンビニ内で提供するサービスは20種類以上にわたり、いくつかの端末を使っている。このサービスをデータから見ると、顧客の住所、氏名の他、購入履歴など、どれをとっても秘匿性が高いものばかりだ。情報セキュリティ対策なしにはビジネスが成立しない」と付け加えた。

Deep Securityを使ったホスト型のセキュリティ対策

　現在、ローソンのクラウド上のセキュリティ対策はAWSの「シェアードレスポンシビリティ」モデルに基づいている。シェアードレスポンシビリティとは「AWSが対応するクラウドサービスのセキュリティはAWSが保証するが、AWSが提供するシステムで構成するユーザーのシステムについては顧客が責任をとってほしい」というAWSの考え方だ。

AWS上のセキュリティ（進藤氏の講演資料から）

　また、進藤氏は「セキュリティ対策はバラバラでは弱いところが突破されるので、いかにパッケージ化、標準化するか」が決め手とする。そこでトレンドマイクロのDeep Securityを使ったホスト型のセキュリティ対策を大方針とした。「今まではネットワーク型だったが、AWSというパブリッククラウドではゲートウエイ型の対策が正解かどうかは再考する必要があるので、ホスト型の対策を採用した」（進藤氏）と述べた。

　もう1つの方針は「EC系システムは多種多様で、不特定の顧客からアクセスがあるので、従来型の対策であるWAF（Web Application Firewall）やIDS／IPS（Intrusion Protection System／Intrusion Detection System）を配置して多段階構成にして多層防御を実現していること」（進藤氏）。実際のセキュリティ対策はゲートウエイ型の対策で、いったんスクリーンして許可されたもののみを内部に入れる方法を採っている。しかし、「この根本的問題はゲートウエイがボトルネックになること。ここは重要なので今後、トレンドマイクロと協議してレベルアップを図りたい」と進藤氏。他方、店舗系、基幹系、情報系のイントラネット系は例外なくホスト型としてDeep Securityを実装している。

セキュリティ対策実装例（進藤氏の講演資料から）

　今後については「1台ごとにDeep Securityを実装するのはコスト高となるので、トレンドマイクロと相談して進めている」（進藤氏）。

　最後に進藤氏は、ローソンにおける次世代のITシステムについて展望を述べて、講演を締めくくった。「デジタルとアナログの相乗効果を発揮していきたい。デジタル化では店舗での対応を一部ロボット化できないかとまで考えている。『アナログ』とは『店舗の運営』のこと。リアルな対策に最新テクノロジーを生かす『仕組み』を活用し、『仕事の仕方』を見直すことを考えている」