導入事例紹介

株主優待サービスサイトの特徴点はどのような点でしょうか？

優待の権利を持つ株主が確定した後、約2～3カ月後から株主優待の申し込み受付が始まります。「グッぴー」でもそれに合わせ、各社ごとに株主向けページを設けますが、開設期間は一般的に3カ月～4カ月です。また会社ごとに優待基準日は違いますので、開設する時期もまちまちになります。運用期間が短く、かつ期間限定である点、そして、個人株主の個人情報を多く扱っている点が、特徴といえると思います。

クラウド型WAFのScutumを導入された経緯をお教えください。

住所と氏名をはじめ、株式保有に関する個人情報を預かるビジネスで、1社につき株主数が5万から20万を超える会社もありますから、サービス開始当初から個人情報の保護には気を遣っていました。WAF導入も早くから検討し、クライアント企業からの要請を受けて、2012年にScutumを導入したのが最初になります。アプライアンス型を導入するのは初期負担が大きすぎるということで、Webで調べた結果見つかったのがクラウド型（SaaS型）WAFのScutumでした。月単位で契約できることや、低価格という点はもちろん、現状の「グッぴー」のシステムを変えずにそのまま導入できること、さらに運用をお任せできる点が導入の大きな決め手でしたね。運用面では、アプライアンス型の場合社内にWAF運用スタッフが何人か必要になると考えていましたが、Scutumの場合それが不要になるとのことで、すぐ導入を決めました。

当時、WAFに対する印象どのようなものだったでしょうか？

サービス開始当初、採算面より「そこまでのセキュリティが必要なのか？」という雰囲気が社内にもあったのは確かです。しかし、セキュリティに関しては、投下予算に対する効果で考えるのは本末転倒であり、あのタイミングでWAFを導入する決断ができて、よかったと思っています。いまではセキュリティに予算を投じられるようになり、世間の空気もそれを後押しするものになりました。万が一WAFを導入せずにおいて、漏えいが発生してしまったら「なぜ対策をしていなかったのか」といわれるのは間違いありませんからね。

個人情報漏えいについて、WAF以外にどのような対策を行っていますか？

セキュリティに関する動向や最新情報は、JVN（Japan Vulnerability Notes）を毎朝チェックして、「グッぴー」に関連する脆弱性等のニュースがあれば、社内に共有するようにしています。

プログラムに関しては、脆弱性を意識したコーディングはもちろんのこと、定期的にWebアプリケーション脆弱性診断を実施し、結果をフィードバックしています。
システム的にはネットワーク構築時にIDS/ADSを採用し、外部からの攻撃に対するセキュリティ対策としています。本構成にScutumを導入したことで、より強固なセキュリティになったと感じています。

システム的な情報漏えい対策のほかには、プライバシーマーク取得をはじめとする、情報漏えいを防ぐ社内の仕組みづくりに力を注いでいきたいと考えています。情報漏えいの原因は、外部からの攻撃によるものばかりではありません。ヒューマンエラーや運用ルール違反によって起こる情報漏えいもたくさんあります。そのような人的なエラーがあったとしても漏えいが起こらないような手順にしたり、社員全体のセキュリティ教育を充実するといったことが、具体的な施策になるかと思います。