JR九州システムソリューションズ株式会社 さま

運輸、駅ビル、流通など多様な業種の36社からなるJR九州グループ。JR九州システムソリューションズは、JR九州の交通系電子マネーSUGOCAやJR九州Web会員など同グループの各種システムを開発・運用しており、管理する個人情報の数は約800万件にものぼる。同社のセキユリティ対策について、香月氏は「どれだけ対策をしても完全に防御することが難しいため、いかに早くサイバー攻撃を発見するかを重視している」とその方針を語る。社内にはSOCやCSIRTに準ずるセキュリティ対策チームがあり、常時4名の社員が専任でJR九州グループ全体のサイバー攻撃の検知や対応をしているという。
2012年、それまで主管部門ごとにバラバラに存在していたシステムを統合。その背景には、さまざまな事業を展開するJR九州のサーバ統合によるコスト削減がある。
2016年にはグループ全体のセキュリティ基盤を構築。特産品のネット販売など顧客向けのシステムは増えているが、各社がそれぞれ開発したシステムのセキュリティレベルには格差があったため、これを是正して巧妙化しているサイバー攻撃に備える必要があったのだ。Webサイトを制作する際には脆弱性診断を義務付けるなど、グループ共通のセキュリティポリシーも設けられており、年々セキュリティレベルは上がっている。「サイバー攻撃は防御力の弱いところを踏み台にして行われるため、グループ全体のセキュリティレベルを上げる必要があった」と香月氏。
IT基盤を統合したことで、技術面のセキュリティは向上した。一方で、社員のセキュリティ意識の向上が喫緊の課題だ。香月氏は「2019年秋にQTnetの標的型メール訓練を実施し、疑似の標的型メールを全社員に送したところ、うっかりメールを開いてしまう社員が大勢いたことに目を疑った。このことからも標的型メール訓練は非常に効果が高いと感じている」と明かす。こうした年数回の情報セキュリティ教育に加え、一部の社員は九州大学の情報セキュリティプロ人材育成短期集中プログラム（ProSec-IT）を受講している。
また香月氏は、社員のセキュリティ意識について「サイバー攻撃を受けてもすばやく対応して被害を最小化する。そのためには、常に全社員がセキュリティ意識をしっかりと持たなければならない」とその重要性を説いた。

こうしたセキュアな体制をもとに、同社は新たな挑戦を始めている。まずはグループ全体で推進するデジタルトランスフォーメーショ（DX）対応だ。集計や入力作業を口ボットが代行するRPAツールをグループ全体に導入するなど、業務のRPA推進に注力している。
さらに2030年に向けた中期経営計画を作成し、「既存価値の向上」と「新しい価値の創造」を二本柱に大幅な売上増を目指す。そのために、2022年までに、コンタクトセンター、デリバリーセンター、R&Dセンターの立ち上げを予定しており、香月氏は「まず、現在はEC事業のみ対応しているコンタクトセンターを多言語対応やAIの活用で高度化し、数年以内にJR九州グループ全体の問合せ窓口にすることを目指す」と目標を語る。
2020年4月には、デリバリーセンターを設立。株式会社NSDと資本業務提携し、「これまでは外注していたシステム開発を、今後はデリバリーセンターで開発し、内製化していくことで業績アップも見込める。2025年までに70名規模の体制を目指す」と成長への意欲を燃やす。また、DX対応を目標にするR&Dセンタ一の立ち上げも決定しているという。この他に、子ども向けプログラミング教室運営にも乗り出し、関東や関西で人気の教室「プログラボ」を九州で初めて2020年4月に開校。「今後は福岡市近郊で10校の展開を目指す。地域に貢献しつつ次世代を担う人材を育てたい」と意気込んだ。

新規事業への挑戦に欠かせないのが、DXに対応できるデジタル人材の育成だと香月氏。「当社ではアメリカのGAFA、中国のBATHが取り組んでいるような『革新的サービスの創出』をDXと定義し、AIに強い株式会社NSD先端技術研究所と連携し、データアナリティクス、Al、アジャイル、デザインシンキングなどの学びを推進している。また動画説明会を利用して採用エリアを広げるなどして、2025年までに50名の新卒を採用し、事業拡大を目指す」と構想を明かした。
また、ただ採用数を増やすだけではなく、同時に働きやすい環境をつくり、業務効率化や人材定着を目指している。香月氏が社長に就任した2016年頃は残業が非常に多く常態化していたが、定時退勤を徹底した結果、残業時間を月平均3時間にまで削減した。「当初、社員からかなり抵抗されたが、残業時間の削減で得た利益を社員へ還元することで風向きが変わった。定時に帰ると決めることで効率的に働き、生産性がとても上がった。残業を極力減らさなければ、新しいことに取り組む余力が生まれず、人材も集まらない」。
香月氏自身も残業をせず、子どもが保育園に通っていた時期は頻繁に送り迎えをしていたという。「どんなに忙しくとも定時であがり、保育園に走った。小1の壁を経験して、子育て中の共働き家庭は会社が応援しなければならないとの実感もあって、残業ゼロを徹底した」と打ち明ける。
他にもオフィスのリニューアルや有給休暇の取得推進、フリーアドレス制を採用して部署を超えた横の繋がりも強化されたという。社員のセキュリティ意識の改革や働き方改革の推進は容易ではない。そうした中セキュリティ対策を整え、労働環境を整え、新価値創造に邁進する同社の今後に目が離せない。

セキュリティ教育を担する管理部の末永剛氏は「社はISMSを取得しているため、毎年セキュリティ研修を行っている。これまで行ってきた研修では危機感が足りないと思っていた折、QTnetの標的型メール訓練サービスの存在を知って試したいと思った」と導入のきっかけを語る。
導入決定から実施まで非常にスムーズに進んだと未永氏。
「全社員をテスト対象とするため、社長と管理部長の3名だけで計画した。社内決裁やQTnetとの打合せなど、社員に気づかれないように検討する必要があり、訓練実施までの期間は気を遣った」。訓練メールの内容は「インフルエンザ」と「年末調整」と誰にでも当てはまるものとし、文面を管理部からのメールに似せる工夫をして、疑似の標的型メールを全社員に2回送信。
気になる結果は、1回目のURLリンク型メールの開封率が30%、20日後に行った2回目の添付ファイル型メールの開封率は41%にのぼったという。「かなり開封率が高いと感じた。リテラシーの高いエンジニアでもメールを開けてしまっており、意外な人ほどひっかかっていた傾向がある」と未永氏。