最新かつグローバルな環境を求めて

当行に転職する以前は、通信キャリアと証券会社でそれぞれネットワークエンジニア、インフラエンジニアとして経験を積んできました。現在の仕事に関心を持つようになったきっかけは、証券会社に在籍していた際、インフラエンジニアとしてサイバーセキュリティを担当し、セキュリティ対策の導入・運用に携わったことです。ちょうどサイバー攻撃の高度化が進んでいた時期で、新たな対策を次々と導入し、セキュリティ対策の原型をつくる過程におもしろさを感じました。

サイバーセキュリティの分野で経験を重ねるうちに、より高度な専門性を身につけたいという思いが強まり、転職を考えるようになりました。転職先を検討するにあたり、私が重視したのは、セキュリティ専門の組織があること、グローバルなネットワークを持つこと、そして自らの責任と裁量をもって設計・運用に携われる環境が整っていることでした。そうした観点から、大規模なネットワークを有し、グローバル規模でサイバーセキュリティに取り組んでいる三菱ＵＦＪ銀行にひかれました。最先端技術を駆使し、業界の最新動向やベストプラクティスを吸収できる環境に魅力を感じ、当行への転職を決意しました。

サイバー防御戦略の観点から「あるべき姿」を追求

現在、私はサイバーセキュリティ推進部で、防御を担当するブルーチームの戦略ラインに所属しています。ラインヘッドとして、サイバー防御の強化戦略の立案やセキュリティツールの評価・導入検討に携わっています。当行の「あるべき姿」と現実とのギャップを洗い出し、それを埋めるために必要なセキュリティ対策を検討・策定しています。導入計画の詳細な設計や推進にあたっては、システム開発を担う三菱ＵＦＪインフォメーションテクノロジー（MUIT）と密接に連携しながら進めています。また、これらの業務に必要な調査研究の一環として、国内外の業界団体である金融ISACやFS-ISACの定期会合に参加し、最新の動向を把握しています。必要に応じて海外拠点や戦略的パートナーである米モルガン・スタンレー社とも情報を共有し、世界の最新動向をいち早くキャッチアップしています。

入行して驚いたのは、日米による24時間365日体制の内製SOC（Security Operation Center）を運用するなど、想像以上にセキュリティ対策の大部分を内製化していることでした。また、取り組み内容の深さにも驚かされました。あらゆる脅威から組織を守るため、MUFG全体で脆弱性の排除とセキュリティレベルの向上に取り組んでいます。セキュリティ対策においては、水が堤防の最も低いところからあふれ出すように、最も脆弱なポイントが攻撃の標的となります。そのため、国内外に存在する子会社や拠点を含む、MUFG全体で一貫した高いセキュリティ水準を維持する必要があります。脆弱性分析では、影響度の高いリスクの特定や、使用機器への影響評価などを日々行っています。さらに、さまざまなIT企業から情報を収集し、毎月公表される脆弱性情報を分析した上でリスクレベルに応じた対応策を検討しています。それらの分析には高度な専門知識と相応の時間を要するため、十分な人材・予算を持つ当行だからこそ可能な対応だと感じています。

進化し続ける脅威に対抗するため、常に最新技術に触れられることも大きな魅力です。国内外のスタートアップからの提案を積極的に受け入れ、他の国内企業に先駆けて新たな技術やソリューションを導入することもあり、知的好奇心を刺激される機会が多々あります。行内にはセキュリティのプロフェッショナルが数多く集結しており、グローバルな連携体制のもと、日々さまざまな知識を吸収しながら業務に取り組んでいます。新たなセキュリティツールを導入する際には、ネットワークなど各専門分野に精通した担当者から技術的な知見やアドバイスを得られるなど、高度な知見を学ぶ機会に恵まれています。

コロナ禍で感じた、団結力と機動力

インフラ業務には「何も起きていない状態が当たり前」という前提があり、ひとたび問題が発生すれば責任を問われるプレッシャーがあります。しかし、日々の業務を通じて自分たちが社会インフラを支える一翼を担っているという実感があるからこそ、困難な状況にも立ち向かっていけるのだと思います。実際にインシデントや緊急事態が発生した際には、関係者や有識者が即座に集結し、各チームが連携しながら迅速に対応する強固な組織力があります。

それを実感したのが、入行2年目に経験したコロナ禍での在宅勤務対応です。ロックダウンが発生した際、システム部門全体が在宅勤務に移行することになり、行内のインフラ整備を急ピッチで進めなければなりませんでした。セキュリティ上の懸念を総点検し、追加の監視体制を整えるなど、当行システム部門とMUITが一体となって迅速に対応しました。私自身はセキュリティツールを活用し、行内端末の現状を調査してリスクを洗い出すとともに、監視策の検討などに携わりました。

短期間での対応が求められる厳しい状況でしたが、意思決定の場にはCIO（Chief Information Officer）をはじめとする主要関係者が一堂に会し、その場で速やかに方針を決定しながら進めた結果、業務への影響を最小限に抑えることができました。この経験を通して、有事における当行の団結力と機動力の高さを改めて実感しました。

企業の枠を超え、共通の脅威に立ち向かう

サイバーセキュリティの世界は変化のスピードが速く、常に最新の脅威や技術の進化に対応し続ける必要があります。例えば、これまでのウイルスメールは「日本語の壁」により、文章の不自然さから攻撃メールであると見抜きやすい状況にありました。しかし、生成AIの登場により、誰でも流暢な日本語の文章を容易に作成できるようになったことから、ウイルスメールを識別するための高度な技術が求められるようになりました。このように新たな技術が登場するたびに、どのような脅威がもたらされるかを速やかに検証し、適切な対策を講じることが不可欠です。そのためのシステムや仕組みを構築し続けることは、明確な答えやゴールがある仕事ではなく、常に進化し続ける「終わりなき戦い」だと感じています。

しかし、だからこそサイバーセキュリティの分野では、脅威に対し業界全体で立ち向かおうとする姿勢があります。共通の敵に対してさまざまな企業が、企業の中でも全員が、同じ方向を向いて仕事をしている。競合他社であっても、企業の枠を超えて一致団結できることはサイバーセキュリティならではの文化であり、魅力だと感じています。

世界に通用するセキュリティ人材へ

この業務には幅広い知識と経験が求められます。ネットワークやシステム基盤、OS、アプリケーション、法律に至るまで、多岐にわたる知見が必要です。それらを積み重ねて守備範囲を広げ、腰を据えて専門性を高めていけるおもしろさがあります。私自身、今後はセキュリティアーキテクチャやセキュリティエンジニアリングの領域を中心に、グローバル水準の知識とスキルを習得したいと考えています。これらの領域ではエンタープライズアーキテクチャとセキュリティエンジニアリングの両方に加え、ビジネス戦略への理解など幅広い知識が求められます。習得には相応の時間と努力を要しますが、日々の業務と自己研鑽を通じて、世界に通用するセキュリティ人材をめざしたいです。

当行のサイバーセキュリティは現在、グローバルを含めたグループ全体で新たなシステムを構築するという大きな変革期を迎えています。長期的な視点に立ち、ダイナミックな変革に携わることで、大きなやりがいと社会的意義を感じることができます。サイバーセキュリティへの情熱を持ち、金融インフラを守るという使命のもと、この分野を究めたいと考えている方は、ぜひ一緒に働きましょう。