クリエイティブの自由と安全 さらに運用負荷の軽減も目指す

東映アニメーションは1948年に設立され、映画の人気やテレビの普及に合わせてさまざまなアニメーション作品を世に送り出してきた。アニメという日本文化をけん引し、海外にも多数のファンを抱えている。
アニメ製作のデジタル化が進み、製作現場でITが積極的に活用されるようになると、情報漏えいなどのサイバーリスクが懸念されるようになった。アニメの製作や公開にはさまざまなステークホルダーが存在しており、特に放映前の情報漏えいは大きな損害を発生させる恐れがある。
東映アニメーションでは、そうした時代やリスクの変化に合わせて、セキュリティ対策を講じてきた。特にコロナ禍では、クリエイターにもテレワークが必要とされ、リモートでの製作環境が整備されていくと共に、エンドポイントを狙った攻撃のリスクが課題視されるようになった。そこで同社は、さまざまなエンドポイントセキュリティツールを活用し、多層防御の強化に努めている。
しかし、経営管理本部 情報システム部 シニアマネージャー 兼 システム室長の上條誠氏は、そうした施策のうち特権管理に課題を感じていたと述べている。
「クリエイターは、商用・フリーウェアを問わず、多種多様なITツールを活用してアニメを製作しています。世界中に優れたツールやアドオンが存在しており、実現したいアニメ表現のために気に入ったソフトウェアを自由に活用できることが重要だと私たちは考えています。ところが、インターネット上で公開されているソフトウェアの中には、マルウェアや攻撃コードが仕込まれた偽のツールもあるのです。このインストールをどうやって制御すればよいかという悩みがありました」（上條氏）
最もシンプルな対策方法は、従業員からソフトウェアのインストール権限を剥奪し、すべてを情報システム部で統括することである。安全を確認できたソフトウェアのみを、システム担当者しかインストールできないようにすれば、安全性は保たれる。東映アニメーションでも、当初はこの方法を採用した。しかし、運用負荷が肥大化し、クリエイターにも不自由を強いることになってしまったのだ。
「アニメ製作プロジェクトによっては、100台規模のPCを預かって新しいツールを1台1台インストールすることもありました。必要なときには、クリエイターのデスクに赴いてインストール作業を行うこともありますが、インストールに1時間以上もかかるソフトウェアもあるのです。管理者パスワードを何度か入力するためだけに、ずっと待ち続けなければなりませんでした」と、製作本部 製作部 テクノロジー開発推進室 チーフマネージャー 兼 システムテクノロジー課長 経営管理本部 情報システム部 システム室 チーフマネージャーを務める山下浩輔氏は述べる。
大泉スタジオには500名のクリエイターが所属しており、1,000台を超えるPCと250台ほどのレンダリングサーバーを利用しており、中野オフィス本社にも300名ほどの企画・営業・管理部門のスタッフが勤務している。これらのソフトウェアインストールを手作業で実施しなければならない状況で、サポートスタッフがパスワードを入力して回るには、非現実的な規模に達していた。

エンドポイントの特権を 柔軟かつ確実に制御する CyberArk EPM

そうした悩みを抱えていた東映アニメーションは、「CyberArk EPM（Endpoint Privilege Manager）」に注目した。エンドポイントの特権を細かに制御し、情報システム部で安全を確認したソフトウェアのインストール作業を、従業員へ委任できるようになる。「多層防御を拡充する上でぴったりニーズにマッチしたツールだった」と、山下氏は選定当時を振り返る。
また山下氏は、CyberArk EPMを選定した理由の1つとして、マルチプラットフォーム対応も掲げている。東映アニメーションの製作現場ではWindows PCが主に利用されているが、製作の要件によってはmacOSを必要とする現場もある。EPMのような機能を提供するツールはいくつかあったが、Windows、macOS、Linuxと幅広く対応できるのはCyberArk EPMだけだった。
また、東映アニメーションはすでにEDRを運用しているが、EPMとの競合や住み分けについて、経営管理本部 情報システム部 セキュリティ室長の高村伸人氏は、次のように述べている。
「そもそもEDRは、マルウェア対策用のEPP（Endpoint Protection Platform）の情報不足を感じ、エンドポイント環境の全容を知りたいというニーズで導入したものです。そのため、特権のコントロールに主眼を置いたEPMと機能が競合するとは思っていません。特権という意味でPAM（特権アクセス管理）と比較されることもありますが、EPP、EDR、EPM、PAMはいずれも見ているポイントが異なり、多層的にそれぞれ強化していく必要があるセキュリティ対策だと考えています」（高村氏）
東映アニメーションでは、CyberArk EPMの本格的な導入に先んじて、マクニカの支援を受けながらPoCを実施した。マクニカの豊富な経験に裏打ちされた技術アドバイスによって、運用上の懸念の解消やポリシーの策定を進めることができた。「マクニカのスピーディで的確な回答に助けられました。またマクニカは、メーカーやインテグレーターと共に定例会を開催し、私たちがCyberArk EPMを適切に活用できるよう、手厚いサポートを提供してくれました」（上條氏）

インストール作業を従業員へ安全に委任 運用負荷は大幅に軽減

東映アニメーションでは、まず250台のレンダリングサーバーへCyberArk EPMのエージェントをインストールし、管理下に置いている。個人のPCは、2024年中の完了を目標として順次適用を進めているところだ。
従業員から申請のあったソフトウェアは、セキュリティ室で安全性を検査したうえでCyberArk EPMへ登録する。すると、従業員が自分自身でインストールできるようになる。ソフトウェアのインストール状況は、システム室がCyberArk EPMのダッシュボードでチェックしており、アンインストールの状態も確認できる。
「今のところはサーバーのみですが私が一人で管理していますし、運用管理負荷は大幅に軽減されていると実感しています。CyberArk EPMは、PoCの最中にもUIが改善されたり、AIサジェスト機能が追加されたりと、クラウドサービスならではの利点も目立ちます。管理画面は使いやすく、特にソフトウェア名からインストールされているデバイスを探せる検索機能が有用ですね。脆弱性対策やインシデント対応の効率化に役立つと考えています」（山下氏）
またセキュリティ室長の高村氏は、将来展望について「CyberArk EPMのログとEDRなど他のセキュリティツールのログと相関分析すれば、インシデントの追跡や確認を高速化できそうですね。CyberArk PAMの導入も検討していますので、サーバーとエンドポイントの双方で特権管理を強固にし、安全性の向上に努めたいと思います」と述べている。CyberArk EPM/PAMのログはエビデンス情報としても有用のため、セキュリティ強化の一環として活用方法を検討していきたいとの考えだ。
特権管理は、油断が許されないセキュリティ運用の1つである。東映アニメーションでは、CyberArk EPMを活用してエンドポイント特権管理の課題を解決し、クリエイターの自由を損なわず、安全性を高め、情報システム部の負荷も軽減できる環境を構築した。安全で快適な製作環境を整えて、さらなる魅力的なアニメを世に送り出していくことだろう。

お客様事例1ページ目サンプル