株式会社エヌ・エフ・ラボラトリーズ

サイバーセキュリティに関する研究開発を企業運営のコアに据え、その成果を業務受託や教育・研修の取り組みに生かしながら、事業を展開している株式会社エヌ・エフ・ラボラトリーズ。同社は、IT大手企業であるエヌ・ティ・ティコミュニケーションズ株式会社と、サイバーセキュリティの専門家集団である株式会社FFRIセキュリティを親会社とする企業として2019年1月に設立された。その設立の経緯について、同社のCOO（最高執行責任者）であり、取締役経営管理部長を務める萬本正信氏に話を伺った。

「NTTコミュニケーションズという大きな組織の中では、やはり企業文化を大切にする目的から“〇〇はやってはいけない”というルールが、当然多く存在します。そうした枠を取り払い、“〇〇してもいい”という文化の中でクオリティーを追求する技術者集団をつくりたい。当社の設立の背景には、そうした思いがあったんです」（萬本氏）。

同社の主な事業は、一つはクライアントと共にサイバーセキュリティに関する業務を実施する業務受託事業だ。その主な取引先として挙げられるのは中央省庁を中心とした官公庁であり、自社の技術を生かしながらナショナルセキュリティの維持という社会的意義の高い取り組みに貢献している。この事業に関し、同社の手法を他社と比較した際に表れる違いは、“攻撃者目線”から対策を実施しているという点である。

「現在のセキュリティに関する考え方は、ほとんどの企業において“防御”が主体となっています。しかし、境界防御の観点からの対策では、そこが破られると情報は全て取られてしまいますので、その考え方を変え、攻撃者目線で手法を学び、それを防御に生かすという考え方を当社では心掛けています」（萬本氏）。

この考え方は、同社が他社にはない企業としての特徴を有することに繋がっている。そしてもう一つ、業界内での同社の価値を高めている取り組みがある。それが、セキュリティ人材を育成する教育研修事業だ。

「日本国内では、サイバーセキュリティの高度な知識・スキルを有するエンジニアの人数が不足しているという現状があります。その状況の中で、企業同士がエンジニアの奪い合いをしている状況は健全ではありませんので、その人材を自分達の手で育てようというのが当社の考えです。その取り組みを通し、当社ではこれまでに延べ約100名のセキュリティエンジニアを輩出しています」（萬本氏）。

この教育研修事業においても、攻撃者目線で考えるセキュリティという基本的な考え方をベースにしているという同社。その上で、実際に手を動かすことや他者へのプレゼンテーションによって理解促進を目指す「アクティブラーニング」、時間をじっくりかけて特定分野を上級レベルまで深堀りして知識を深め、また、別の分野を自分で学ぶ力をつける「スペシャリスト人材育成」等、教育に関する手法にも独自の色を付け加えているのが、同社の特徴となっている。

「現在のところ、当社には多くの業務依頼が来ていますが、そのほとんどのケースで求められているのが、社内のセキュリティ人材の育成です。大多数の企業では、情報システム部門やシステム開発部門のスタッフがセキュリティ業務を兼務しているのが現状かもしれません。その業務をアウトソーシングするという選択肢もありますが、提出されたレポートを解析しながら効果的な戦略を策定する上では、スキルと知識を身に付けた専業のスタッフが必要になるはずです。そうした人材育成へのニーズが、当社に多く寄せられています」（萬本氏）。

今回、案件増大に伴う人員強化を図る同社では、幅広くエンジニアを募集することになった。その採用コンセプトについて、同社の取締役事業推進部長・CTO（最高技術責任者）である松木隆宏氏に説明してもらった。

「求めているのは、セキュリティの経験が浅くても意欲的に取り組める、エンジニアリングマネージャー、そして開発チームをリードできるソフトウェアエンジニアです。セキュリティエンジニアの業務においては、極めて高度な技術が必要とされますが、その全ての業務を手動で行うのには限界があり、世の中に溢れるサイバー攻撃に対応することは難しくなっています。その観点から、当社ではセキュリティ対策を自動で実施できるソフトウェアの開発にも、積極的に取り組んでいこうと思っています」（松木氏）。

設立から2年の期間において、ナショナルセキュリティ維持への取り組み、人材の育成という事業の柱を確立した同社は、もう一つの柱として自社に蓄積されたノウハウを活用したソフトウェア開発サービスに着手するという考えだ。具体的なサービスとして萬本氏が挙げているのは、やはり攻撃者目線からのTLPT（脅威ベースペネトレーションテスト）の開発等、企業の防御力向上を効率的に実現するソフトウェアの開発だ。

「その人材に求めるのは、ベースとなるソフトウェア開発技術に関する知識と経験です。セキュリティ分野に関して、入社後の社内研修や教育の中で、高度な知識や技術を身に付けていただけるはずです。まずは興味を持っていただくこと、そしてこの分野にチャレンジしたいという意欲を持っていただければ、当社の業務で活躍できる人材に成長できるはずです」（萬本氏）。

同社では、セキュリティエンジニアとして業務に当たるスタッフに対して、自社のバリューを意識しながら取り組むことを期待している。そのバリューとは、失敗を恐れずにチャレンジすること、成長を続けるために意欲を持つこと、そして「誠実さを忘れない」ことだと、萬本氏は語っている。

「セキュリティに関する技術力を身に付けることは、ある意味では悪事を可能にする力を身に付けることでもあります。その仕事に対する姿勢として大切なのは、何よりも誠実に取り組むことだと、私は考えています。そして、技術を使った成果をお金に換えることに主眼を置くのではなく、世の中のために自分が役に立てるという思いを大事にしてほしいですね。その思いは、当社のスタッフ全員が持っている共通理念だと思っています」

自社の社員を、「すごくまじめ」と評する松木氏も、この萬本氏の考えに同意している。技術だけを追求することなく、社会インフラの安全性に携われる仕事に、大きな意義と、そして自身の使命を実感しながら取り組んでいるのが、同社のスタッフの姿だということだ。

「技術に関しては、ご自身の強みを業務に生かしてもらえればと思っています。私達が求めるのは、攻撃者の目線を常に考えながら社会に貢献できる成果を世に出すという価値観に共感していただくことです。そして、利便性と安全性のバランスを考えながら、アグレッシブな姿勢によるセキュリティ対策を形にする姿勢も大切だと思います」（松木氏）。

様々なチャレンジを繰り返し、社員の意思と行動を支援しながら新しいものを生み出す。そんな同社においては、失敗を恐れることなく積極的な姿勢で取り組むことで、共に事業を拡大させる喜びと達成感を味わうことができるはずだと、萬本氏は語っている。

「裏方の仕事として考えられることが多いセキュリティへの取り組みですが、自社以外の企業や官公庁の守りを固めるというミッションにおいては、社会への貢献をダイレクトに感じることができると思います。自分の仕事によって企業活動が救われる、そして社会を支えられるということを実感しながら、同じ価値観を持つ仲間達と共に自身の成長、そして企業としての成長を目指してほしいと思います」（萬本氏）。