背景と課題
高度化・複雑化するサイバー脅威に対し、さらなるセキュリティ強化への挑戦
ANAホールディングス株式会社は「ワクワクで満たされる世界を」という経営ビジョンを掲げ、日本を代表する航空会社である全日本空輸（ANA）を中心に、安全を第一にして航空運送事業を展開している。中でも重視している理念が「安心と信頼」だ。信頼される企業を目指しながら、本業である航空運送事業を行うにあたり、人材とDXを経営の柱に据えて取り組んでいる。
ただ、AIをはじめとするデジタル技術の活用と表裏一体なのがデジタルガバナンスだ。攻めと守りの両輪でDXを推進することが価値の最大化につながると考え、年々セキュリティ対策を進化させてきた。
一連の取り組みの司令塔役であるANAホールディングスグループIT部では、技術的な対策や運用監視を行うANAシステムズや事業各社と連携しながら、組織横断的なセキュリティの強化を牽引している。全役職員に向けたセキュリティ教育や、システムインシデント演習に加え、各社でのシステム導入に伴うアセスメントやサポートを通じて個別最適な対応にとどまることなく、グループ全体でのガバナンスおよびセキュリティの向上に取り組んでいる。
そうした施策の一つが脆弱性対応だ。広く外部に公開されているサイトなどに脆弱性が存在すれば、サイバー攻撃の入り口になりかねない。そこで、JPCERT/CCやIPA、あるいは交通ISACなどさまざまな公的機関・組織と連携して最新の脆弱性や脅威の情報を入手し、攻撃者に先回りする形で手を打ってきた。
しかし、今や膨大に流れる脆弱性や脅威情報の精査には多くの工数がかかる。
ANAホールディングス株式会社 グループIT部 情報セキュリティ・グループITチーム マネージャー 坂下 亜悠氏（以下坂下氏）：世の中の脆弱性や脅威情報を正しく認識し、それがANAグループに対して本当に脅威となるかどうかを、一つ一つ自分たちのシステムと照らし合わせ、リスクが高いかどうかを確認する必要があります。
加えて、航空運送事業を本業とするANAグループにとって、高いレベルのセキュリティ人材を内部で育成するのは容易ではありません。
NTTセキュリティ・ジャパン株式会社 プロフェッショナルサービス部 担当課長 真鍋 太郎（以下真鍋）：セキュリティの世界では、スピード感を持って情報を入手し、対応することが欠かせません。しかし情報があまりに多すぎるため、ともすれば疲弊しかねず、「自分たちは何に対応すべきか」の優先順位付けが非常に重要になってきます。それも、単純に脆弱性の深刻度を見るだけでなく、「実際に攻撃者に悪用されているかどうか」「攻撃ツールが存在するか」といった情報を広く調べ、自社の状況と照らし合わせながら「自分たちが被害に遭う可能性はどのくらいか」を見極めて判断を下すことが求められています。
ソリューションの選定
ANAグループに本当に必要な「研ぎ澄まされた情報」を提供
攻撃者に先回りして自社の弱点を把握する重要性が認識されるにつれ、ASMやセキュリティ状況のスコアリングを行うサービスなどが広く登場している。ただ、こうしたサービスでは往々にしてその時々で評価が変動し、結局、「自社にとって本当に何が脅威であり、どの部分を最優先で直せばいいのか」を明確に把握することが難しいと感じていた。
坂下氏：ANAグループに対し、本当に何が必要なのかという「研ぎ澄まされた情報」を求めていました。
この要望に当てはまったのが、NTTセキュリティ・ジャパンのOSINTモニタリングサービスだ。ANAグループに関する情報を提供すれば、最適な情報が得られる。加えて「どのように対処すべきか」という具体的な対策も含めたレポートが提供される点を評価した。
坂下氏：高度な知見を持つ専門家に、信頼関係に基づいて情報を連携して頂いています。また、NTTセキュリティ・ジャパンとのコラボレーションを通して、社内のセキュリティ担当者の知見が高まり、育成につながるとも感じています。
真鍋：OSINTモニタリングサービスでは、ダークネットも含め、世の中で公開されている情報を調べきった上で、リアルタイムに把握した攻撃者の動向とお客様の資産情報を元に優先度を付けてレポートを提供しています。このとき大事にしているのは「何のための情報か」という視点です。お客様にとって有益な情報を提供し、さらに、レポートを受け取ったセキュリティ担当者の方が追加調査を行ったり、情報を付加したりしなくても、そのままその先にいるシステム担当者の方々がスムーズに活用できるよう心がけ、レポーティングしています。
導入と効果
工数削減とリスクの低下に加え、人材育成や信頼関係醸成の土台にも
ANAグループでは、OSINTモニタリングサービスを取り入れたセキュリティ運用を導入している。実際にどのような情報が得られるかを見極めながら、細かいサポートを受けつつ運用フローを構築していったため、安心してスタートできたという。
広く流通している脆弱性情報の中から、ANAグループ各社のシステムで影響を受けそうなものが見つかると、その都度連絡が入る。また、広く航空・運輸業界を対象とした攻撃が観測されるなど、注意が必要な事態が起きた場合も参考情報が提供される。
以前は、大量の脆弱性情報を確認後、「どれが自分たちに必要な情報か」を検討するのに時間がかかっていた。導入後はその工数が減り、後手ではなく、先回りする形で速やかに対応が図れるようになった。
坂下氏：これまで見えていなかった課題や脆弱性が見える化でき、しっかりと、しかも迅速に脅威に対応できるようになったことが最大の効果です。
ANAホールディングスでは以前から、グループ50数社の担当者が参加する「セキュリティワーキンググループ」という場を設け、脅威に関する情報共有や意見交換を行ってグループ全体のガバナンス強化に取り組んできた。ここに参加する担当者はセキュリティワーキングを通して徐々にセキュリティの知識を増やしながら、脆弱性の是正対応にあたっている。
坂下氏：わかりやすいレポートを通して、「何が会社のリスクで、何をやらなければいけないか」をワーキンググループメンバーにしっかり伝えることができ、納得と理解度が高まりっています。その結果、各社の担当が自分ごととしてセキュリティ対策に取り組む状態ができています。
さらに、部内の人材育成に好影響が生まれている。NTTセキュリティ・ジャパンのレポートを読み解くことで脅威への理解が深まり、特に若手の情報に対する感度が高まっている手応えが得られている。関係者間の信頼が醸成され、気にかかることやちょっとした疑問を遠慮なく尋ね合える土壌が強化された。
坂下氏：セキュリティの強化は誰か一人が抱え込んでいては実現できず、皆で取り組んでいく必要があります。信頼関係をもとにすぐに質問できるような関係性が築かれていると思います。
真鍋：世の中には「緊急」と銘を打った脆弱性情報が多数流通しており、どれから対処すべきか悩ましい場面が多くありますが、このサービスでは多くの人に理解しやすい情報を付加し、現場の担当者が納得できる情報も含めてお届けしています。また、グループ全体でのセキュリティやガバナンス強化は非常に困難な課題です。いざ何かが起こったときに「誰に連絡すればいいのだろう」と迷い、そこから後手に回ることもありますが、OSINTモニタリングによって有益な情報を各グループ会社のセキュリティ担当者の方と日常的に交換することで、人と人がつながり、相手の顔が見える関係を構築し、ガバナンスが少しずつ培われていくといった効果も期待できます。
今後の展望
アサーション文化も生かしながら「全員実践型セキュリティ」の実現へ
OSINTモニタリングサービスを取り入れた運用を通して、工数を減らしながらリスクを低減し、次の人材育成も進めているANAグループ。得られるレポートは、次の一手への投資を求める際の合理的な説明材料としても役立っており、セキュリティが航空運送事業の土台になっている手応えが得られている。
ANAグループでは、運航に当たるクルーはもちろん、あらゆる部署で、相手を尊重しながら自分の考えを誠実に伝える「アサーション」という文化を重視している。誰かが気付いた小さな違和感を包み隠さず共有することで、インシデントを未然に防いでいくあり方だ。セキュリティの領域においても、アサーション文化に基づいて、協力し合って強化に取り組んでいく。
2026年に策定したセキュリティ中期計画では、これまでの「全員参加型セキュリティ」からさらに一歩踏み込んだ「全員実践型セキュリティ」というビジョンを掲げ、一人一人がセキュリティを認識・理解するだけでなく、体現する姿を目指している。
坂下氏：「もちろん、ANAグループのセキュリティを支えているのは、OSINTモニタリングサービスだけではありません。これまで培ってきた強固なITガバナンス体制やシステム管理部門との連携、そして「アサーション」に代表される組織文化こそが、根本的な安全の土台です。OSINTモニタリングは、その基盤の上に立ち、新たな脅威への気付きを補完し、グループ全体の知見を底上げするための手段として位置づけています。これからも、OSINTを通してグローバルな視点で、伴走していただけるパートナーとして支援いただければと思っています。」
真鍋：企業の成長や、事業の変化に伴って、システムも増え、その中ではどうしても誤った設定や運用が紛れ込んでしまいます。事業を前に進める中で、見逃されてしまう部分もあるでしょう。OSINTモニタリングは、そういった大規模な企業様に関する幅広い情報を収集し、外からの視点で、お客様の気付かないようなところも含めてセキュリティ状況をチェックし、提示することで、コントロールの難しいグループセキュリティの管理を支援していきます。
※役職・部署名は記事公開当時のものです。