株式会社リチェルカセキュリティ

株式会社リチェルカセキュリティは、「最先端のサイバー攻撃技術を探求し実用化する」ことを事業テーマに掲げるセキュリティベンチャー。同社名にあるリチェルカ（Ricerca）はイタリア語で「研究」を意味し、その名の通り、サイバーセキュリティに関する研究開発を基盤とする。この基盤をもとに、クライアントへコンサルティング、ペネトレーションテスト、トレーニングといったサービスを提供する。

●研究開発
脆弱性探査、セキュリティ監視、セキュアコンピューティングといった、サイバーセキュリティに関わる様々なテーマや粒度での委託研究や技術調査、検証・導入支援等を実施。サイバーセキュリティと低レイヤープログラミングの分野における専⾨技能を備え、政府機関や⼤学‧研究機関、さらにはアメリカのサイバーセキュリティ大手をクライアントに抱える。

「端的には『AIを活用したハッキング技術』が強みです。国の経済安全保障や防衛力強化が重要課題となる中、サイバーセキュリティ領域の研究開発に取り組んでいます。国プロへの継続的な参画を通じて、国内トップクラスの技術力と研究開発力が認められていると自負しています」と取締役CTOの黒米祐馬氏は話す。

●コンサルティング
サイバーセキュリティに関する常設相談窓口やセキュリティ体制ロードマップ作成支援など、多様なサービスを提案。専任のセキュリティ担当者が不在の中小企業から、大規模なセキュリティ体制と開発組織を持つ一部上場企業まで、幅広いクライアントに対応。

「即時性や網羅性など、どの観点を優先してセキュリティ対策を進めるべきかは、お客様の事業ステージや組織体制、コンプライアンスに応じて異なります。これらの制約を十分に考慮して、形式的な対策にとらわれない、真に価値のあるセキュリティ対策を提案することを大切にしています」（黒米氏）。

●脆弱性診断／ペネトレーションテスト
Webアプリケーションやスマートフォンアプリ、組み込み機器・IoT、プラットフォーム等、幅広い診断対象に対し、ハッカーの目線で疑似攻撃を実施し、実害に繋がり得るシステム内の脆弱性を検出、対処方法を含めて報告する。CTF（セキュリティの知識・技能を競うコンペティション）の世界トップレベルの大会出場者を擁する点が特長。

「『診断ツールを回して報告書にまとめるだけ』や『ざっとチェックリストと照らし合わせるだけ』といった診断は行っていません。一切の外注をせず、最高峰のハッカーの能力を総動員することを大切にしています。その結果、思いもよらぬ脆弱性を見つけ出しています。」（黒米氏）。

●トレーニング
脆弱性とその攻撃手法を理解するトレーニングメニューや、オーダーメイドトレーニングを提供。これまで、防衛省や警察庁といった最も高度なサイバーセキュリティが求められる国家機関や、セキュリティ企業への提供実績がある。

「サービスで培った知見を惜しみなく還元しています。脆弱性の再発防止を望む開発組織から、未知の脆弱性を発見したいレッドチームまで、さまざまなニーズに応じてお客様の学びを最大化しています」（黒米氏）。

これらサービスを提供するクライアントとしては、官公庁のほかに大手流通グループや外資系コンサルティングファーム、大手通信会社グループ等のほか、自社プロダクトを提供するスタートアップまで広がっている。

同社は、2019年12月、CEOの木村廉氏によって設立された。

木村氏は、コンピュータサイエンスの世界最高峰であるカーネギーメロン大学のコンピュータセキュリティ研究センターに訪問研究員として参加。CTF世界大会の常連メンバーに囲まれながら、脆弱性診断の自動化をテーマとする研究に取り組んだ。そこで、アメリカでは大学や大学発ベンチャーが政府機関と連携、研究予算を獲得して、成果を国防総省などに還元し、社会実装するスキームが確立され、その中で世界最先端のサイバーセキュリティ技術が磨き続けられている現状を知る。一方、母国の日本ではサイバーセキュリティは防御的な考え方が主流で、ハッカーの観点から考えるセキュリティ対策が希薄な現状とともに、アメリカのような研究・社会実装のスキームが希薄であることに問題意識を持つ。そこで、こうしたスキームを日本にも確立させ、攻撃的なサイバーセキュリティ対策を普及させることを志し、帰国後に同社をスタートさせた。

リチェルカ（Ricerca）とは、イタリア語で「研究」のこと。その社名の通り、サイバー攻撃に関する研究活動を会社の主体にするという意思を込めている。
実際に、創業直後の2019年12月に、木村氏が研究を手掛けてきた「強化学習を用いた環境適応型ファジングシステムの提案」が防衛装備庁安全保障技術研究推進制度に採択され、早くも木村氏のビジョンを具体化することに繋げた。

木村氏は、学生時代からIPA（情報処理推進機構）が運営する「未踏プロジェクト」や「セキュリティ・キャンプ」に参加し、セキュリティエンジニアとしての実力を高めていった。現在は「セキュリティ・キャンプ」を運営する側になり、後進の育成にも取り組んでいる。また、こうした機会を通じて優秀なエンジニアの採用にも取り組む。ちなみに同社のエンジニアが参加するCTFチームは、DEF CONなどCTF世界大会の決勝に常連出場しており、たびたび他社の精鋭チームを下している。

創業目的である、ベンチャーと国によるスキームを確立しつつある今、同社は木村氏直下の組織を設けて新事業の創出・展開に取り組んでいる。その一つが、*レッドチームを組織してクライアントの*ブルーチームによるセキュリティ体制を検証・評価するサービス。

＊レッドチーム：システムのサイバー攻撃耐性を評価するために、攻撃者を想定して外部からシステムに疑似攻撃を行うチーム
＊ブルーチーム：サイバーセキュリティインシデントを検知、対応するチーム

「ハッカーの思考や意思を再現し、これを先取りして未然に防ぐ技術の研究開発をさらに高度化させ、そのサービス化に取り組んでいきたいと考えています」と黒米氏は力を込める。

37名（2024年9月現在、うちパートタイム20名）のスタッフからなる同社は、組織を新サービスの企画・開発を担う事業開発部、既存サービスを手掛けるセキュリティサービス部、バックオフィス全般をカバーするロジスティクス部の3部門に分け、それぞれが経営の意思を反映させたミッションやバリューを掲げ、各部門が裁量を持ってその追求に取り組む運営方針を採用している。「バリューは、それぞれの部門に応じた『試行錯誤と当事者意識』『タイムパフォーマンスの最適化』『属人性よりプロセス重視』などのキーワードを掲げているが、共通して重視しているのはメンバーが快適に仕事できる環境づくり」と黒米氏は語る。また、人事考課では新事業や既存事業への貢献度を賞与に、業務の幅や重要度を昇給に反映させる形で推進している。

“研究開発ドリブン”の同社では、支援体制が手厚く整っている。社会人博士支援制度があり、現在大学院博士課程で学んでいるメンバーが3名在籍している。また、CTFなどの国際的な競技大会への参加支援制度、カンファレンスへの登壇支援、業務に関連する資格取得支援、社内勉強会の随時開催も行っている。

さらに、メンバーが自らの研究開発や事業開発を完遂し、納得感を得られるカルチャーづくりも重視されている。「ハッカーとして、替えの利かない優れたスキルを持つことをリスペクトする文化がある」と黒米氏は述べる。

平均年齢が20代後半という若さも同社の特徴であり、月1～2回のピザパーティーの開催や、登山や焼肉部などの部活動支援を通じて社内交流の促進を図っている。フィットネスジムの費用を補助するなど、健康面へのケアも行っている。

同社が求める人材像について、黒米氏は次のように話す。「適切な問題設定を行い、本質的な解法を考え続けられる方に来ていただきたいと考えています。サイバーセキュリティの世界には、必ずしも答えがない課題が満ちているからです。」サイバーセキュリティにおけるトップレベルの研究開発力、技術力を持ち、国の安全保障に関わるレベルの同社。この領域でキャリアアップを目指す人には、見逃せない募集だろう。