株式会社ファミリーネット・ジャパン様

開発委託先との連携を「オートトリアージ」で標準化。属人化を解消し、効率的な脆弱性管理体制を実現

集合住宅向けのインターネットサービスやエネルギー事業を基盤に、IoTやアプリを活用したソリューションサービスを手掛ける株式会社ファミリーネット・ジャパン様。同社 Life Solution戦略室の片口氏は、サービスの企画・開発から運用までを担う中で、開発委託先ベンダーと連携した脆弱性管理の効率化と体制の標準化に課題を感じていました。脆弱性管理クラウド「yamory」の導入により、3ヶ月に1度の定期調査におけるアプリ脆弱性の対応時間を「26時間から8時間」へと短縮し業務を効率化。迅速な対応体制の構築と、開発ベンダーに依存しない「属人化の解消」を実現しました。

課題

• 開発ベンダーに委託していた脆弱性調査が3ヶ月に1度の実施となっており、工数と費用がかさんでいた。 
• 定期的な調査しか実施できておらず、最新の脆弱性にスピーディに対応できていなかった。 
• 開発ベンダーに依存する体制であり、脆弱性管理の属人化も懸念点だった。

• 各脆弱性に対する対応優先度判断の鍵となる「オートトリアージ機能」が搭載されていた点。 
• トライアル期間中に開発ベンダー側で実検証を行い、問題なく運用できると確認できた点。 
• クラウドサービス標準のツールなど、他社の脆弱性管理ツールと比較し、費用対効果が見込めた点。

導入後の効果

• 3ヶ月に1度の定期調査におけるアプリ脆弱性対応が、手作業時の26時間から8時間へ効率化された。 
• 開発ベンダーからも「オートトリアージ機能」が好評で、調査がやりやすくなったと評価された。 
• ツール導入によって作業が標準化され、開発体制の変化にも柔軟に対応できる属人性のない体制を構築できた。

片口氏： 
私はLife Solution戦略室という部署に所属しています。この部署は、主にサービスの企画・開発、そしてその後の運用までを担当しています。 実際の開発は、委託している開発ベンダーにお願いしています。そのため、セキュリティ管理についても、私の所属する部署と開発ベンダーとが連携して見ている形になりますね。
 

片口氏： 
これまでは、脆弱性の調査は開発ベンダーに依頼し、3ヶ月に1回、年4回の頻度で定期的に対応してもらっていました。 ただ、この調査工数を削減できないか、というのが一番の検討事項でした。また、定期的な調査だけでなく、新たな脆弱性が発見された際に、都度迅速に対応できるような体制にしたいという思いもありました。
 

片口氏：
そうですね。基本的にはベンダーの方から「こういった脆弱性が出ています」と連絡をもらい、私たちが内容を確認してアップデート対応に進む、という流れでした。 品質の担保や調整の手間といった側面もありましたが、それ以上に、定期的に発生する調査にかかる工数やコストを、ツールを活用してより適正化・効率化したいという課題感の方が、導入を検討する上で大きかったですね。
 

片口氏：
私たちの要件を満たしていて、かつ費用対効果が高そうなツールを探していく中で、yamoryを見つけました。
 

片口氏： 
いくつか検討しました。私たちがクラウドサービスを使っていることもあり、クラウドサービス標準のセキュリティツールなども、最後まで比較対象として残っていましたね。

決め手はオートトリアージ機能です。そこが一番大きかったと思います。 トライアル期間中に、実際に開発ベンダー側でお試しいただき、「これなら問題なく対応できそうだ」と確認が取れたことも、yamoryを選んだ理由ですね。
 

オートトリアージ機能
 

片口氏： 
比較的スムーズにいったかなと思っています。 ただ、強いて挙げるとすれば、トライアルでは見えづらい「年間を通して、本当に効果が出るのか」という点を、定量的に示しにくかったところですね。
 

片口氏：
私の部署から社内の情報システム部に対して、二つの側面で説明しました。 一つは、従来3ヶ月に1回発生していた対応時間と、ツールを利用した場合の時間を単純比較して、工数と費用が削減できるという点。 もう一つは属人化の解消です。ツールを導入して運用を標準化することで、将来的に開発体制が変わったとしても対応品質を維持できる、という点を説明しました。
 

片口氏： 
はい、当初の想定通り、効率化は実現できていると聞いています。 例えば、3ヶ月に1回実施している定期調査のアプリ対応において、従来の手作業では26時間かかっていた作業が、yamoryを導入したことで8時間程度で完了できるようになったと聞いています。オートトリアージによって優先度が明確になったことで、作業がスムーズに進められているようです。
開発ベンダーからも、導入の決め手となったオートトリアージ機能はご好評いただいていますね。「調査自体がやりやすくなった」という声も伺っています。
 

片口氏： 
今までは3ヶ月に一度のタイミングでしか脆弱性の状況を見ていませんでしたが、yamoryを導入してからは、定期的な調査に加え、いつでも脆弱性の状況を効率的に確認できるようになったのは、大きな変化かなと思います。
 

片口氏：
脆弱性の対応というのは、どこの会社も必須の業務だと思います。 それをyamory導入によって「誰でもやりやすくなる」、つまり脆弱性の対応作業を均一化・標準化できるところが、yamoryの最大の魅力だと感じています。 属人性を排除して、チーム全体の脆弱性管理の質を上げたいと考えている企業には、非常にお勧めできる