こんにちは！Jagu’e’rセキュリティ分科会 運営担当の高橋（明）です。

前回第7回に引き続き、ブログを担当します。今度こそ、meetupした週末にブログ書くぞ！と意気込んでいたものの、自宅のリノベーション完了・引越しなどあり、手がつけられず、結局2週間が過ぎてしまいました。

ただ、前回はmeetupから3週間経ってようやく書いたので、1週間早くなったと自分を甘やかします。

さて、それでは本題です。

2024年6月27日に第8回Meetup with 金融分科会を実施しました！

Slack上のやり取りで、SOMPOホールディングスさんが、Google Cloudのセキュリティサービス、Security Command Centerを導入し活用し始めているというお話しで、今回のmeetupで事例紹介をしていただくことに！

ですので、金融分科会との合同meetupということになりました。

会場については、前回は大崎のフューチャー（株）さんの会場をお借りしましたが、今回は渋谷ストリームに帰って参りました。

アジェンダ

1. Security Command Center 利用事例 (SOMPOホールディングス 靍井さん）
2. AI関連リスクと動向（NRI佐古さん）
3. Security Command Center Enterprise デモ (Google Cloud 高橋さん）

１.「Security Command Center 利用事例」

SOMPOホールディングス靍井さんから、同社におけるSCCの利用事例についてお話しいただきました。

細かいところは、Jagu’e’r slack内で共有される資料をご覧いただけると良いですが、かなり具体的な事例をご共有いただき、生々しい内容満載で、大変参考になる内容でした。

SOMPOホールディングスさんでは、元々AWSにおけるガードレール提供を実践しており、それをGoogle Cloudに当てはめて、同社として同等のガバナンスを効かせる、このようなアプローチを取られているとのことです。

取り組み当初はカオスな状況だったようですが、地道な努力により、対応すべき課題がたくさん見つかって改善に繋がり、また、Google Cloudの組織構成が綺麗になったという成果があったとのことです。

それでもまだまだ道半ばのようで、さらに進化したら、再び共有いただけると個人的にとても嬉しいです！

なお、SOMPOホールディングスさんは、8月1日-2日に開催される、Google Cloud Next Tokyo 24のDay2に2コマ登壇されます。ご参考まで。活用事例たくさんありますね！

• Google Cloud で始める LLM Ops ~ RAG をどう評価するか ~

https://cloudonair.withgoogle.com/events/next-tokyo-24?talk=d2-aiml-04

• 取引信用保険システムのモダナイゼーションでビジネススピードの爆上げを実践

https://cloudonair.withgoogle.com/events/next-tokyo-24?talk=d2-app-04

手前味噌で恐縮ですが、当方もスポンサー枠で1コマいただいておりますので、便乗してご紹介いたします。

• クラウドネイティブな銀行が実践するセキュリティの可視化とシステム運用の効率化

https://cloudonair.withgoogle.com/events/next-tokyo-24?talk=d2-gl-12

2.「AI関連リスクと動向」

実はmeetupの2週間くらい前まで、この2つ目のセッションは調整中、つまり未定でした。そんな中、佐古さんに「話せるよ」と手を挙げていただきました。

今回、セキュリティ分科会meetupは第8回目ですが、おそらく、NRIさんはその半分に登場いただいております。

困った時の佐古さん、いつもありがとうございます！この場をお借りして御礼申し上げますww

その2週間あるかどうかの短期間で作成された資料は、重厚かつ濃厚です。今回だけじゃなく、いつもため息ばかりです。（その資料の内容の素晴らしさや、追いつけてない自分に、ということですが）

具体的な内容につきましては、AIを取り巻く環境はどんどん変化しており、米国政府、CISA（米国のセキュリティ関連団体）、EUなどは国際協調して、規制をしようという動きになっています。日本も共同署名している取り組みもあります。

一方、日本でもAISI（AI Japan Safete Institute：エイシー）というIPAの下部組織（主管は内閣府のようです）が、AIの安全利用の促進を図るという活動をしているとのこと。AISIまったく、知らなかったです、、。

その活動として、複数の省庁が出しているAI関連のガイドラインなどを纏めようとしているようなので、今後のAISIの発表などを要チェックです。

すでに出ているものとして、既存の複数のガイドラインとまとめた「AI事業者ガイドライン」がありますので、これも要チェックです。

https://www.meti.go.jp/press/2024/04/20240419004/20240419004.html

NRIさん内部の取り組みとしては、

• 入力するものに気をつけないと情報漏洩につながるリスクを認識
• 出力されたものは、知財関係の考慮が必要である

と言ったことなど、AIのリスクを整備して社員向けに教育しているとのことです。

このようなガイドライン・規制動向には、常にアンテナ貼ってキャッチアップしていかないと、リスクを残したまま使ってしまうことになるので、頑張らないと。

３.「Security Command Center Enterprise デモ」

最後のセッションは、前回に引き続き、我らがセキュリティ分科会Googlerの高橋さんから、Security Command Center Enterpriseについてご紹介いただきました。

前回も、Google Cloud高橋さんにSCCのEnterpriseについてご紹介いただきましたが、今回はデモを交えてのご紹介です。

Enterprise版のポイントとして以下などがあります。

• AWS、Azure対応
• SIEM、SOAR機能（Google SecOpsの機能限定版が使える）
• Mandiant ASM
• Attack Path SimulationのAWS、Azure対応
• Assured OSS（Googleがセキュリティテスト済みのOSSを提供）

そして、デモにおいては以下をご紹介いただきました。

• SIEM、SOAR機能
  • Caseが自動生成・管理ができたり、生成AI機能で自然言語でクエリを投げられる（デモは英語版なのですが、日本語版なら日本でもOK）
  • 検知時のワークフローを支え、検知したリソースの管理者にアラート飛ばしたりできる。そのようなワークフローのパーツもたくさんある。
• Attack Path Simulation機能
  • 例えば、インターネットからVMまでの経路がどう言うパスになっているか表示し、到達できるか、その途中に問題がないかをみて、スコアを算出してくれる。
  • そのような脆弱パターンが数100用意されている。

実際の画面を見せていただくと大変わかりやすいですし、より触ってみたくなりますね！個人的にはAttack Path Simulationは、最も触ってみたい機能だなと思います！

今回はEnterprise版との比較も資料上でご説明いただいてますが、Premium版もStandard版（フリー版）と比べて、使える機能がありますので、そこから始めているみるのもいいのではないでしょうか。

おわりに

セキュリティ分科会では、以下の方を随時募集しています。

• 分科会参加メンバー
• 分科会でLTやりたい方
• 分科会の運営委員

このようなコミュニティは非常に学びの多い場だと思います。あるいは、Google Cloudユーザ間のつながり・人脈を構築することができます。

LTをする方も、必ずしも先進的な事例を紹介したり、ハイレベルな研究結果を披露するといったことはマストではありません。

• 「今こんなことをしているけど、こんなことで悩んでいる」
• 「（セキュリティに関するサービスを）使ってみた」

ぜひ、お気軽に覗きに来てみていただけますと、大変嬉しいです。

そして、運営委員も随時募集しています。運営メンバーは5人いますが、本業も忙しく、分科会自体の活動量もまだまだだと思っています。

少しずつのリソースシェアで構いませんので、是非とも分科会運営へのご参画、ご検討の程よろしくお願いいたします！

次回予告

セキュリティ分科会は四半期程度に1回の頻度でMeetUpを開催するようにしておりますが、次回は未定です。

LTをやりたい、やれますと手を挙げてくれる方がいらっしゃれば、すぐにでも開催します！

文責：（株）みんなの銀行 高橋明