製品セキュリティの組織体制や人材の在り方とは？【関西コミュニティ（KISC） 活動レポート】

はじめに

マクニカでは、セキュリティの企画・導入・文化浸透を担う人たちが集まって互いの知見を共有し、現場の課題に取り組むためのコミュニティ「関西情報セキュリティコミュニティ（通称：KISC）」を運営しています。この度、セキュアな自社サービスや製品をリリース・運用するためのお悩みや知見を共有する分科会を発足し、2025年4月16日(水)に「製品セキュリティ分科会vol.1」を弊社大阪オフィスにて実施しました👏

本記事では、当日の様子や気になったポイントをお届けします！
　☛コミュニティに関する過去記事は こちら

製品セキュリティって？

製品セキュリティとは、IoT機器やソフトウェアを含む製品をサイバー攻撃から守るための対策を指し、企画から廃棄までの製品ライフサイクル全体における取り組みを含みます。
近年、ネットワーク接続された製品が増えたことで、脆弱性を突いた攻撃や情報漏洩のリスクが高まり、出荷後も継続的なアップデートや脆弱性管理が必須になっています。
さらに、EUのサイバーレジリエンス法（CRA）や薬機法など、製品セキュリティに関する法規制も進んでおり、メーカーにとっては事業継続や市場参入の前提条件となりつつあります。

今回のメインテーマは「組織体制や人材の在り方」

今回の分科会メインテーマは、「製品セキュリティにおける組織体制や人材の在り方」。まず、参加いただいた14名の皆様から自己紹介としてライトニングトークを実施いただきました。コミュニティに初参加の方も多数いらっしゃいましたが、皆様の温かい歓迎の姿勢のおかげで、徐々に緊張感がほぐれていく様子が見受けられました🤗

ライトニングトークの中でも、今回のテーマである組織や人材に関するお悩みがたくさんありそうです。

ユーザー様の取り組み事例（パナソニック様・フジテック様・グローリー様）

今回は、パナソニックホールディングス株式会社 松本様、フジテック株式会社 北野様、グローリー株式会社の植田様の３名に、各社の製品セキュリティ取り組み事例を共有いただきました。どれも貴重、かつリアルな内容で、以下のような項目をお話いただきました。

• 製品セキュリティチーム立ち上げのリアルな苦悩
• PSIRTにおける具体的なインシデント・脆弱性対応の体制・動き
• 人材開発・育成のための認定制度
• ルールの整備・経営陣に対する説明
• 製品セキュリティワーキンググループや、PSIRTの在り方
• セキュリティ要求レベルが高い海外市場での対応

製品セキュリティの体制については、専任型や兼務型があり、絶対的な正解がないため、各社の状況によって最適解を探る難しさを感じました。貴重な発表をしていただいた３名の皆様、本当にありがとうございました！

ディスカッション

取り組み事例共有の後は、コミュニティの醍醐味でもあるディスカッション・発表です。
3チームに分かれて、「学び・気づき」「組織体制・自身の関わり方」「お悩み」「今後チャレンジしたいこと」などを、ホワイトボード＋付箋を使ってディスカッションしました！

取り組み事例発表から、付箋に学びや気づきなどをアウトプット

各チームで活発なディスカッションが行われ、個人的に印象に残った点は以下２点です。

• 他部門との連携の難しさ
  • ITセキュリティ以上に、開発部門・品質保証部門など様々な部門との連携が求められる製品セキュリティ。「現場の理解を得るのが大変...」「部門によってセキュリティ意識やレベルの差が...」という声を多く聞きました。その中で「製品企画や開発段階でテストなどリスク分析ができるよう仕組みを整える」「QMSの一部にセキュリティを落とし込む」などの事例もあり、「まずは社内での露出を増やす！」といった意気込みもありました。
• セキュリティ人材の育成・定着
  • もともとセキュリティに精通していない担当者に対して、どのように育成するか？というスキルや意識面の課題を多くお聞きしました。「せっかく成長したのに、異動などで離れてしまう...」といったような、人材の定着という面での課題も、多くの企業が抱えているようでした。

最後は参加者の皆様とKISCの"K"で記念撮影！別会場で懇親会まで盛り上がりました！

参加者の皆様からの評価

開催後のアンケートでは、以下のようなお声が寄せられました。

「各社の体制やうまくいった事例をたくさん聞くことができ、とても参考になった」
「メーカーの方の目線のお悩みが新鮮でした」
「多様な業界の方の話を聞けて、非常に参考になりました」

さいごに

対策のフレームワークや取り組み方が汎用化しやすいITセキュリティと比較して、製品セキュリティは「どのような製品・サービスを扱っているのか」「企業文化」など様々な要素で最適解が変わるため、共通化されたベストプラクティスを定義するのは非常に難易度が高いと感じました。製造業においては、EUサイバーレジリエンス法や薬機法などの法規制などの影響もあり、組織の整備や対策の必要性が一層高まっています。経営陣・事業部門との折衝についても試行錯誤が行われており、各社にとっての最適解を常に模索し続ける必要があります。マクニカとしても、今回のような多様な業界の方の取り組み共有や意見交換ができる分科会を、引き続き開催できればと思っています。

次回は、2025年9月頃に開催を予定しています。
「こんなテーマで交流してみたい！」や、「関西情報セキュリティコミュニティ」に是非参加してみたい、という方は以下HPからコミュニティへの登録、お待ちしています！