リスクモンスター株式会社様

脆弱性特定が「半月」から「半日」へ―自動化と明確なリスクの可視化で、組織横断でセキュリティ運用を実現

独自の与信管理サービスや教育事業など、多角的なBtoBビジネスを展開するリスクモンスター株式会社。同社では、より高度なセキュリティ体制を構築するため、グループ全体のインフラとセキュリティを統括する専門部署を新設し、ガバナンスの強化に努めてきました。

今回は、同社グループインフラ課の浅野 泰宏 氏と池田 真一 氏に、脆弱性管理クラウド「yamory」を導入した背景や、開発フローに組み込んだスキャンの自動化、そして国内・海外の拠点を巻き込んだ自律的な運用体制が定着するまでの軌跡について伺いました。

課題

• 重大な脆弱性発生時、手動チェックによる影響調査に半月ほどの膨大な工数がかかっていた。

• オフショア開発を含む複数プロジェクトで、利用ライブラリやバージョンを網羅的に把握するのが困難だった。

• 情報収集が外部ニュースに依存し、対応の優先順位付けや運用の属人化に課題があった。

• 既存の開発環境と連携してスキャンを自動化でき、手間なく検知スピードを向上できる点。

• 管理画面が直感的で、対応方法や脆弱性情報が日本語で分かりやすくチームへ浸透させやすい点。

• 危険度スコア（CVSS）などの基準と連動し、修正の根拠や優先順位を開発現場へ論理的に説明しやすい点。

導入後の効果

• 重大な脆弱性の影響調査・特定にかかる時間が、半月ほどから半日〜1日程度へ劇的に短縮された。

• 定期的にリスクを確認し、計画的に対応を進める自律的な運用サイクルが確立された。

• 開発現場が自発的に「yamory」を活用し、リリース前の安全確認ツールとしても機能している。

原氏： 
リスクモンスター株式会社では、主に企業向けの与信管理業務の支援や、教育事業などを展開しています。また、グループ会社においてポータルサイトやグループウェアなどの企業向けサービスを提供しています。私たちが所属するグループインフラ課は、これらグループ全体のインフラおよびセキュリティを管轄している部署です。私が課長を務め、池田が課長代理として、実質的なメイン担当として日々の運用にあたっています。

池田氏： 
主なIT資産としては基本的にクラウドサービスを全面的に採用しており、「yamory」に関わる部分のシステムもほぼすべてクラウド上で稼働しています。セキュリティ体制としては、私たちの課に紐づくチームが中心となり、開発メンバーとも密に連携を取りながら対策を進めています。
 

池田氏： 
数年前にグループ内の事業部でセキュリティに関する見直しの契機があり、それをきっかけに「会社としてより強固にセキュリティへ注力していこう」という方針が固まりました。そこで新しく専門の管轄部署が作られ、私がその最初のメンバーとして配属されたという経緯があります。単にインフラのセキュリティを高めるだけでなく、アプリケーション層やライブラリのセキュリティもしっかり担保していこうという前向きな取り組みがスタートしました。
 

池田氏： 
当社はISMSなどの認証を取得しているため、情報資産の適切な管理はできていたのですが、その内部で使われているライブラリの具体的なバージョンといった、より細かい粒度までの把握に課題を感じていました。また、オフショア開発も活用しているため、現場でどのようなライブラリが組み込まれているかを中央からリアルタイムで把握するのは難しい状態でした。

結果として、世の中で話題になったニュースやセキュリティサイトの情報を見て、「うちのシステムでも使っているのではないか」とその都度手動で調べるような、後手に回りがちな運用になっていたのが当時の状況でした。より良くするための改善活動として、これらを網羅的かつ効率的に把握できる仕組みを模索していました。

浅野氏： 
特に印象深いのが、数年前に世界的に話題となった大規模な脆弱性への対応です。当時はどこにその問題があるのか、保有しているサービスやシステムを1つずつチェックする必要があり、影響調査だけで半月ほどの時間がかかってしまいました。
セキュリティの知識を持つ特定の人間に負荷が集中し、属人化のリスクも浮き彫りになったため、ライブラリ層の脆弱性を一元的にチェックできる仕組みが不可欠だと痛感しました。
 

浅野氏： 
私が「yamory」のセミナーに参加したことが最初のきっかけです。当時はクラウド環境の標準的なセキュリティツールや、いくつかの他社製品とも比較検討を行いました。その中で「yamory」に決めた大きな理由は、対応のアドバイスが日本語で非常に分かりやすく記述されていた点です。海外製のツールに比べて、これなら社内や開発チームへスムーズに浸透させやすいと感じました。
 

日本語での表記
 

池田氏： 
開発環境の仕組みと連携させることでスキャンを自動化でき、運用の手間をかけずに導入できる点も魅力的でした。また、検知された脆弱性がCVE番号や危険度のスコアと自動で紐付いているため、開発現場に対して「これがどのくらい深刻なのか」「なぜ急ぎで対応すべきなのか」という根拠を論理的に説明しやすいことも評価したポイントです。
 

池田氏： 
何より、脆弱性の検知スピードと可視化のレベルが大きく向上しました。現在は既存の開発フローの中に「yamory」のスキャンを組み込んでいるため、自動的にリスクが可視化される仕組みを確立しています。手動で確認する手間がなくなり、操作性やスピードの面でとにかく大きな成果を感じています。現在は国内の複数サービスだけでなく、海外のグループ拠点が関わるシステムも含めて網羅し、グループ全体のガバナンス強化に繋がっています。

浅野氏： 
かつて半月ほどかかっていた脆弱性の影響調査が、今なら「yamory」の画面を見るだけで「ここに影響がある」とすぐ特定でき、大規模な事案が起きても半日〜1日程度で調査を終えられる仕組みを構築できました。その結果、日々の運用で大幅な工数削減と安心感を得られています。
 

池田氏：
最初から一斉に広げたわけではありません。まず一部のサービスで検証し、効果と使い勝手を確かめてから、手応えを得て少しずつ対象を増やしていきました。結果的に、国内外のグループ会社が関わるシステムまで含めて網羅できています。いきなり全体に広げようとせず、小さく始めて段階的に育てたことが、少人数のチームでも無理なく定着できた要因だと思います。
 

池田氏： 
現在は定期的なサイクルを設け、検知された脆弱性の優先度に応じて計画的に対応を進める運用をルーティン化しています。以前は優先順位が分からず、どれから手を付けるべきか迷うこともありましたが、今は「yamory」が自動で危険度と優先順位を示してくれるので、部署間でのやり取りや対応判断がとてもスムーズになりました。
 

オートトリアージ機能
 

浅野氏
定期的に「yamory」を活用してセキュリティに関するコミュニケーションを取ることで、社内のセキュリティ意識そのものが大きく変化してきたと感じています。

池田氏： 
開発現場でも自発的に「yamory」のアカウントを活用するようになっています。特に面白い効果として、大規模なアップデートを行う際、開発前の段階で変更予定の内容を「yamory」に読み込ませ、脆弱性が解消されるか事前に検証するツールとしても活用されているようです。「この内容で本当にリスクが解消されるのか」をあらかじめ確認した上で実際の開発を進められるため、現場にとっても非常に助かる存在になっています。
 

池田氏： 
さらに運用を自動化・効率化していきたいと考えています。例えば、社内で利用しているタスク管理システムやソースコード管理ツールと「yamory」のAPIをうまく連携させ、より自動的に開発フローの中に組み込まれていくような仕組みを構築できれば理想的だなと模索しています。

浅野氏： 
グループ内には新しく加わった企業もありますので、今後それらの開発フローが統合されていくフェーズにおいて、同じように「yamory」を横展開し、グループ全体のセキュリティ底上げと一元管理を推し進めていきたいですね。

池田氏： 
脆弱性の管理を手動のチェックだけで継続するのには限界があります。「yamory」を導入すれば、自動でリスクが可視化されるだけでなく、先ほどお話ししたように「開発前の事前チェック」としても機能するため、これから行うことへの安全確認ツールとしても非常にお勧めです。

浅野氏： 
万が一、大きなセキュリティ事案を起こしてしまった場合の被害や、その後の調査にかかる莫大な工数を考えれば、年間このコストで確実にライブラリ層まで可視化できるのは非常に費用対効果が高い投資だと思います。経営層への進捗報告や、外部からのセキュリティチェックへの回答の際にも、明確な数字や根拠を持って説明できるようになるため、ガバナンスの観点でも強くお勧めしたいサービスです。