F-Secureのコンサルティング部門トップが語るサイバーセキュリティへの解とフィンランドらしさ

フィンランドのセキュリティベンダー、F-Secureのコンサルティング部門のトップがCODEBLUEに合わせて来日し、F-Secureの提供するサービス、そしてフィンランド人の特徴などについて語ってくれた。

マーケティングの柴田氏とCSSのTomi Tuominen氏

今回、インタビューに答えてくれたTomi Tuominen氏は「Head of Technical Security Consulting」という肩書を持ち、F-SecureのCyber Security Services（CSS）グループのトップだ。F-Secureはフィンランドで創業されたセキュリティ製品の開発、そしてコンサルティングなどを行う企業で、日本でもエフセキュア株式会社が日本市場を対象にビジネスを行っており、個人向けのセキュリティ製品とエンタープライズ向けの製品、サービスを提供している。

Tuominenさん個人について、そしてF-Secureについて教えてください。

私はF-SecureでCyber Security Servicesのマネージャーをしています。Cyber Security Servicesは、エンタープライズ向けのセキュリティに関するコンサルティングを行うチームです。F-Secureは1988年にData Fellowsという名前で創業した会社で、もともとは色々な分野のソフトウェアを開発していました。例えばCRMのシステムやSSHのプログラムなども販売していたのです。

当時はまだインターネットもそれほど発達しておらず、人々はフロッピーを交換することでソフトウェアをやり取りしていましたが、その頃にブートセクターにいたずらをするプログラムが登場したのです。まぁ、これはやっていることは幼稚なものでしたが、当時のF-SecureのCEOは「これはまだ始まりにすぎない。この後、もっとひどいことになる」と予測して、セキュリティにシフトすることにしたのです。名前がF-Secureに変わったのは1999年ですね。実は私がF-Secureの社員になるのは2回目なのです。最初はData Fellowsだった頃に入社しました。そのあとnSenseという会社に移って、セキュリティのコンサルティングをやっていたのですが、2015年にF-SecureがnSenseを買収したため、もう一度F-Secureの社員となりました。

今はCSSという部署で、約120名のエンジニアたちとコンサルティングサービスをグローバルに展開しています。我々は「製品を売る」というビジネスではなく、顧客が困っている状況に対してコンサルティングを行う、解決するというチームです。そしてモバイルフォンからエアバスの旅客機まで、セキュリティの対象として解決策を提供できるというのは、業界でもそれほど多くない存在なのです。

少し変な質問ですが、どうしてフィンランドなのですか？

フィンランドは500万人しか人口がない小さな国です。また北にあるために冬は長く、その間にやれることと言えば、コンピュータの前に座ってキーボードを叩くことぐらいです（笑）。そのため、頭脳労働にフォーカスした教育を重要視しているのです。これはジョークですが、「去年は夏が2日しかなかった」というのはよく言われることですね。

ただ日本人とフィンランド人には、共通することが多いように思えます。これは個人的な感覚かもしれませんが、数年前に九州を知人と一緒に旅行したことがあります。その時から、日本には非常に親しみを感じています。

フィンランド人と言えば、クルマの運転が上手いというのは有名ですが（笑）

そうですね。ラリーやフォーミュラワンのドライバーが何人もいますね。その一方でSupercellやRovio、Bugbearなどの多くのゲームメーカーがあることもご存知だと思います。それくらいソフトウェアの開発は盛んなのです。

しかしフィンランド人のメンタリティは、アメリカとも他のヨーロッパの国々とも違うように思えます。これもジョークですが、「もし1頭の象を3つの国の人が見たらどうするか？」というものがあります。アメリカ人であれば「象でどうやって金儲けをしようか？」と考え、スウェーデン人であれば「象をどうやって守ろうか？」と考えるでしょう。しかしフィンランド人は「象は私のことをどう思っているんだろう？」と考えるというのです。それぐらい私たちフィンランド人は、アメリカ人とも他のヨーロッパの人たちとも異なっていると思います。自分たちが優れているということを表立って言うのがあまり好きではない国民なのかもしれません。

では、CSSの提供するサービスについて教えてください。

私たちが提供しているのはRDS、Rapid Detection Serviceというものです。これはセキュリティの脅威に晒された企業がまず何がどうなっているのかを可視化するためのサービスになります。何もわからずに対処を行おうとしても、真っ暗な中では正しい対処方法はとれません。RDSは3つのコンポーネントから成り立っています。1つ目がエンドポイントのセンサー、2つ目がハニーポット。そして3つ目がパッシブセンサーです。エンドポイントセンサーを設けるのには大きな意味があります。多くの脅威はエンドポイントから侵入し、企業のネットワークに入り込みます。そのため、エンドポイントは常に監視される必要があります。

そしてハニーポットは企業ネットワークの中では何も行わないシステムです。何とも接続しませんし、ユーザーが使うものではありませんが、攻撃をする側にとっては魅力的に見える存在です。このハニーポットを監視することで、何か怪しいことが行われているようだ、ということがわかるのです。パッシブなネットワークセンサーは、ネットワークをモニタリングする役割を果たします。これらと、F-SecureのRapid Detection Centerによるモニタリングを行うことで、脅威を監視できます。

攻撃する側がさらに高度になり、DDoSのような分散した手法を使うような場合は？

DDoSについてはArbor NetworksやAkamaiなどのソリューションが必要になるでしょう。ArborもAkamaiも分散されたエッジサーバーなどを使って、効果的に攻撃を緩和することができます。しかし何よりも「その攻撃が何なのか？」を理解しないことには、対処方法は実施できないのです。その意味で、RDSは重要だと考えています。RDSは、攻撃を検知してから30分以内に通知を行います。そのため、素早く対処方法の検討を始められるわけです。また機械学習も使用して攻撃のパターンを認識しますが、サイバーセキュリティの専門家による知識や経験も活用しています。そのように非常に包括的な知見に基づいたサイバーセキュリティを提供しているのがF-Secureであると言えると思います。

F-Secureはヘルシンキに本社がありますが、サービスの提供はグローバルに行えるのですか？

セキュリティインシデントは世界中で起こっています。例えば本社がポルトガルにある企業でも、実際のインシデントはサンフランシスコで起こっているような場合、我々のスタッフがサンフランシスコに飛んで対応を行います。インターネットがグローバルなのと同様に、顧客もグローバルにビジネスを行っていますので、それに対応することは必須だと思います。日本でもサービスについて準備を始めているところです。

CODEBLUEの会場でのデモ画面。RDSのコンソールの一例

CODEBLUEの会場で行われたインタビューは、様々なトピックにわたる興味深いものであった。実際にWindows PCにUSBメモリーを挿して、Windowsのクレデンシャルをブルートフォースで見つけ出し、PCに侵入するデモを見せてくれたTuominen氏は、管理職であると同時に、今でも顧客向けのコンサルティングを自身で行っているという。ここでも、セキュリティのスペシャリスト集団としての自信が垣間見られた瞬間であった。

日本でのF-Secureのビジネスは、個人用よりもエンタープライズ向けに注力していると語ったのは、10月にエフセキュア株式会社に参加したマーケティング部部長の柴田斉氏だ。マイクロソフト、ベリサインなどでマーケティングを行ってきたベテランが参加したことで、今後F-Secureのビジネスが、エンタープライズ向けにどのような進展を見せてくれるのか、期待したい。