<h4>サイト運用に必要な効率化とセキュリティ強化の両立</h4>
神戸:
最初に、御社の事業とお二人が所属されている情報システムセンターについてお聞かせください。
河野:
森永乳業は、牛乳、乳製品、アイスクリーム、飲料をはじめとした食品製造販売を行っています。情報システムセンターは、グループ各社のコーポレートサイトや商品ブランドサイト、キャンペーンサイト、ECサイトなどあわせて約70ある外部サイトのセキュリティ対策含めた運用を行っています。
神戸:
どのようなシステム構成で70もあるサイトを運用されているのでしょうか？
河野:
システム構成は一部サーバレス環境で構築しているものもありますが、約50台程のAmazon EC2で運用しています。2名体制で70にもおよぶサイトの運用を行っているため、有益なツールを駆使して運用負荷を軽減しながらいかに効率的かつ盤石なセキュリティ対策を行っていくかを重要視しています。
神戸:
具体的にはどのような方針でセキュリティ対策を行っているのでしょうか？
河野:
当社では「防御」「検知分析」「脆弱性管理」「ガバナンス」という4つの観点で対策を行っています。「防御」ではWAF（Web Application Firewall）を導入し、「検知分析」においては脅威検出サービスと改ざん検知の仕組みを導入しています。「脆弱性管理」は、アプリに関しては専用のサービスを使い、プラットフォーム領域でFutureVulsを活用しています。最後の「ガバナンス」では、可視化を目的に複数のアカウントを管理するサービスを使っています。
神戸:
様々なサービスを組み合わせて対策していらっしゃいますね。
<h4>賢い自動トリアージと緊急度もわかる自動通知で対応スピードが格段にアップ</h4>
神戸:
森永乳業様には2021年10月からFutureVulsをご利用いただいていますが、導入の経緯を教えてください。
河野:
サイト運用をクラウド化してAWSに集約することになった際、同時にセキュリティも一から見直すことになりました。その時お世話になっていたベンダーの方からFutureVulsを紹介していただきました。
神戸:
FutureVulsを導入される前はどのように脆弱性管理の運用をされていたのでしょうか？
加茂:
海外のソリューションを利用して定期的なスキャンを実施していました。しかし、スキャンの時間が長く2時間近く要することもあり、サーバへの負荷から週に1回しかスキャンできないという状況でした。対応の要否についても手動で確認していたため、危険そうに見えるけれど自社のサーバに対して本当に影響があるのか判断するのが難しく、担当者の負荷が非常に大きかったです。
神戸:
FutureVulsによって課題は解消されましたか？
河野:
FutureVulsはサーバへの負荷も非常に軽いため高頻度でスキャンができるようになりました。また、長くても5分ぐらいでスキャン結果を画面上で確認でき、対応が必要なものは「<a href="https://help.vuls.biz/tutorial/triage/auto-triage/">自動トリアージ機能</a>自動トリアージ機能</a>」で賢く抽出してくれます。また緊急度合いの判断に必要な詳細情報を含めて通知してくれるので判断に時間を取られず、私たちの初動がとにかく早くなりました。脆弱性管理の運用負荷を感じている企業や脆弱性への対応スピードをあげたい企業にとてもマッチすると思います。
<h4>様々な外部サービス連携機能でより効率的な運用を</h4>
神戸:
導入後、効果を感じた機能や重宝されている機能はありますか？
加茂:
WAF/IPSとして導入している「<a href="https://help.vuls.biz/manual/integration/cloud_one/integration_cloudone/">Trend Micro Cloud One™ Workload Securityとの連携機能</a>」ですね。検知した脆弱性のIPS防御ルールを自動で有効化したり、FutureVulsのタスクのステータスをワークアラウンドに自動変更できるようになり、脆弱性を検知した際、OSのパッチが未提供でもWAFで自動防御できたというケースが多々ありました。対応方法の選択肢が増えたのは大きなメリットです。
神戸:
FutureVulsではコンスタントに新機能をリリースしています。有効活用いただけて嬉しいです。
加茂:
他にも、Linuxへのパッチ適用にFutureVulsの「<a href="https://help.vuls.biz/manual/integration/aws/">AWS連携機能</a>」を活用しています。
以前は、サーバにSSHで接続してコマンドを打つといった手作業が必要でしたが、FutureVulsでは画面上で脆弱性を確認したらそのままパッチ適用ができるので、非常にありがたいです。
<h4>海外製品の不満をFutureVulsですべて解決</h4>
神戸:
ライセンス料に関しては以前お使いだった海外製品よりもアップしたとお聞きしましたが、社内での反対はありませんでしたか。
加茂:
FutureVulsでは従来の課題がすべて解決された上、リスクも低減されました。ライセンス料以上に運用負荷が軽減されるので社内での異論はありませんでした。そして何より、サポートの手厚さを感じています。よく海外製品にありがちなサポートのたらい回しといったこともなく、神戸さん含めフューチャーの開発者と直接話ができるので対応も早いです。機能追加の要望として相談したことをバージョンアップの際、取り入れてくれたこともありました。
神戸:
FutureVulsは開発者である我々が直接サポートも行っている点は、他の企業様からもご好評いただいています。最後に情報システムセンターの今後の展望をお聞かせください。
河野:
森永乳業のIT中期戦略では「守りのITから攻めのITへ」を掲げ、経営と事業に貢献するITを目指しています。少人数を理由に日々の運用に忙殺されるような守りの姿勢ではなく、FutureVulsのようなツールを活用しながら自動化やアップデートの仕組み作りを効率化し、攻めのITを展開していきたいと思っています。
神戸:
今後も攻めのITを支えられるサービスを提供していきたいと思います。<a href="https://help.vuls.biz/release-note/20220913/">2022年9月リリース</a>ではトリアージの自動化がさらに進化しますので、楽しみにしていてください。

森永乳業株式会社様がFutureVulsを導入してから脆弱性の管理・運用にどのように活かしているかをインタビューしました。

従来の課題がすべて解決された上、リスクも低減されました

森永乳業株式会社様事例紹介

<h4>フューチャーから登録社数4万社を超えるSmartHRを起業</h4>
神戸:
今回インタビューをさせていただくSmartHR社の内藤さんは、元フューチャーのメンバーでした。私も一緒に仕事をしたことがあります。
内藤:
フューチャーには2007年に新卒入社して2013年まで在籍していました。新人研修終了後に配属された研究開発部門ではACIDな分散DBをErlangで開発するプロジェクトに参画し、先輩から技術とエンジニアとしての生き様を学びました。その後、銀行や証券などの金融系のプロジェクトに携わった後、現在のSmartHRを共同創業者として起業しました。創業からしばらくは自身がエンジニアとしてプロダクト開発をしながらセキュリティも担当していました。現在は監査等委員を務めています。
神戸:
創業されたSmartHRのサービスについて教えてください。
内藤:
SmartHRはSaaS型サービスを提供しています。元々は社会保険や雇用保険の手続きを簡単にするサービスから始まりましたが、最近では守備範囲を広げて、例えば、マイナンバーや年末調整、雇用契約の管理や手続き、従業員サーベイや 従業員名簿、組織図や人事評価 といった従業員データを起点としたサービスを提供しています。現在、登録社数も4万社を超え大手のお客様の導入も増えてきたので、セキュリティに関しては専門チームを作って強化しています。
神戸:
どのような体制でセキュリティを担当されているのでしょうか。
岩田:
会社組織全体と各サービスに分かれてセキュリティを見ています。私自身は元々セキュリティベンダーのエンジニアでしたが2019年にSmartHRに参画し、現在はサービス側の担当者としてFutureVulsを用いた継続的な脆弱性管理も担当しています。
<h4>最低契約台数なしのスタンダードプランでスモールスタート</h4>
神戸:
FutureVulsの導入に至った経緯を教えてください。
岩田:
インフラ面は一部を除いてほとんどがGCP（Google Cloud Platform）で動いているのですが、クラウド環境をGCPへ移行したことをきっかけに、サーバーの脆弱性管理が必要なくなり、その分コンテナの脆弱性管理を強化することになりました。コンテナの脆弱性スキャンはTrivyを使うことになっていたので、スキャンした結果を取り込んで脆弱性管理できるツールを探していたところ、内藤から紹介がありました。
神戸:
2021年の秋頃からスタンダードプランでスモールスタートしていただきました。
岩田:
まず最初に1コンテナ1イメージで試して、そこから契約台数を増やしていきました。ツールとして良いなと思っても運用してみないと分からない事もあるので、実際に脆弱性管理をしながら運用フローを固めました。もし自分たちの運用に合わなければ、そこでストップのジャッジもできるのでフレキシブルな良いプランだと思います。
神戸:
導入時のサポートはどうでしたか？
岩田:
FutureVulsを使うことになったタイミングでSlackのやり取りが始まり、色々な質問に答えていただきました。使い方に関しても直感的に分かる作りになっているので、導入に対する障壁はほとんどありませんでした。唯一ヘルプを参照したのは、Trivyの連携設定くらいでしたね。
<h4>全体を見通して本当に必要な対策だけを選び抜く</h4>
神戸:
実際にFutureVulsを使ってみていかがでしたか。
岩田:
これまでも脆弱性管理はやっていましたが、 FutureVulsによって様々な角度から脆弱性を可視化できるようになり 、正しい対応を取るための強力な判断材料となりました。例えば、サーバーにインストールされているソフトウェアの一覧画面では、コンテナイメージに含まれるパッケージが確認できます。コンテナ環境はイメージに含まれるパッケージ数がホストOSに比べて少ないので安心しがちですが、一覧をチェックすることで必要最低限のパッケージしか入っていないコンテナとして理想的な状態になっているかを見直すこともできます。
神戸:
SaaS系の企業はコンテナでの運用が主流になってきていますね。他にFutureVulsを導入したことでの変化はありましたか。
岩田:
毎日スキャンした結果をインポートしてFutureVuls上で確認しているのですが、とにかく全体を見通すのが容易になりました。セキュリティチームとしては会社全体で対応が必要なものが何で、それに対してどういう対応をしていて、まだ対応できていないものはどれなのかがすぐに把握できる状態でなければなりません。
神戸:
効率的な脆弱性管理に貢献できて嬉しいです。
岩田:
どんなツールでも脆弱性は沢山見つかりますが、その中から本当に対応が必要なものだけをピックアップすることは困難です。FutureVulsには、重要フィルタや自動トリアージ機能があります。たとえば、「ネットワークから攻撃可能か」「権限なしで攻撃可能か」「エクスプロイトが公開されているか」など色々な条件をAND / ORの組み合わせで自分達の考えた条件を事前に定義しておいて、本当に必要なものだけを自動選別できるように活用しています。
<h4>多角的な視点から脆弱性を管理</h4>
神戸:
脆弱性の管理において大事にしていることはありますか。
岩田:
幸い今までのところクリティカルな脆弱性にヒットしたことはないですが、FutureVulsを使って思ったことは、これで充分だと思う対策を取っているつもりでも、管理してみると今まで見えていなかった気づきがあったということです。一つのやり方に拘らず多層防御のように様々な視点を取り込むことは大事だなと思います。
神戸:
FutureVulsはどういった企業にお勧めでしょうか。
岩田:
脆弱性管理はどんな会社でもきちんと対策を取って対処すべきです。攻撃される原因の一つに既知の脆弱性はよくあるパターンです。スキャンして見つけるだけではなく、FutureVulsのような脆弱性を管理するツールを使って、対応すべきものをきっちり炙り出して対策を講じることが重要だと思います。こういったことの積み重ねが効果につながるところだと思っています。
内藤:
FutureVulsもSmartHR同様、SaaS型のサービスで軽く始められるのが便利だと思います。私たち自身もトライアルからスタートしたように、脆弱性管理を検討していれば、まずは試して実際に運用してみることをお勧めします。

SmartHR様がFutureVulsを導入してから脆弱性の管理・運用にどのように活かしているかをインタビューしました。

まずは1台からスモールスタート、コンテナ脆弱性をSmartに統合管理

SmartHR様事例紹介

<h4>Linux系サーバーの脆弱性管理の効率化を目指して</h4>
神戸:
JTB Web販売部様には、2020年からFutureVulsをご利用いただいています。まずは、御社が提供しているサービスと皆さんの役割について教えてください。
林:
JTBグループは、ツーリズム、ビジネスソリューション、エリアソリューションをコアに旅行、福利厚生、出版、デジタルソリューションといった多様なサービスを提供しています。そのなかでも私たちWeb販売部は、インターネットでの旅行販売とレジャーチケットの販売を主な業としています。グループとしてはセキュリティを統括するCISOのもと、各社が管理体制を設けており、Web販売部では6名体制で、セキュリティ対策やソリューションの運用管理、従業員教育などを行っています。
神戸:
どのようなシステム構成か教えてください。
林:
現在Web販売部だけで約600台のサーバーを運用しており、OSは主にWindows、Linuxを利用しています。サーバーも「国内旅行」や「海外旅行」といった商材ごとに異なりそれぞれ運用チームが分かれているため、常に複数のチームとの連携を要します。
神戸:
FutureVulsの導入前はどのような課題があったのでしょうか？
白崎:
もともとWindows系サーバーはパッチ適用等についてもかなり自動化されていたのですが、一方でLinux系サーバーの脆弱性管理は効率的な対応スキームが確立されていませんでした。情報収集や該当するマシンの抽出など影響調査に工数がかかってしまい、対応スピードや精度に課題を感じていました。万が一、検知が漏れてしまうと脆弱性が放置されたままになってしまうといったリスクも想定されました。
神戸:
脆弱性は年間1万件以上公開されますから効率的な管理スキームの確立は重要ですね。どのような運用体制だったのでしょうか？
白崎:
基本は、常時2名が張り付きで対応していました。運用者への周知に関しても脆弱性の対象となるサーバーとパッチの指示をエクセルで一覧にし、各担当者へメールで送り、各担当者が対応状況をファイルに追記するという運用でした。
<h4>運用フローにマッチし、手作業の9割が自動化、月あたり1人月分以上の工数を削減</h4>
神戸:
御社は、当初からオープンソース版ではなく有償版のFutureVulsを使っていただいていますが、導入の決め手はどういった点でしたか？
白崎:
日々の運用負荷を軽減し管理体制を変えていく必要性を感じていた時に、協力会社の方からFutureVulsを紹介いただきました。当初、3つくらい製品を紹介されたのですが、
運用でハレーションを起こさずに導入できるのはFutureVulsだけでした。現状の運用フローにそのまま置き換えることができ、
脆弱性の情報収集、管理工数の削減効果を算出すると
手作業でやっていた部分の9割が自動化され、少なくとも月あたり1人月分以上の負荷が削減できる
ことがわかりました。また、検討時に
<a href="https://www.ipa.go.jp/security/technicalwatch/20190221.html">IPAのテクニカルウォッチ</a>でVulsが紹介されていたことで信頼性も高まりました。
神戸:
私自身もIPAのレポート公開を知った時は興奮しました！現在は、FutureVulsをどのように活用して運用されていますか？
千葉:
我々セキュリティ担当者が、重要フィルタ機能を用いて「深刻な脆弱性の可能性がある」と見なすルールのセットをFutureVuls上に事前定義しています。各担当者はFutureVuls上にて、重要フィルタ機能で抽出された脆弱性をチェックし、対応の要否を検討して必要なものは対応するという流れです。
<h4>機能の有効活用で対処すべき脆弱性の対応をスピードアップ</h4>
神戸:
FutureVuls導入後にはどのような変化がありましたか？
千葉:
FutureVulsによって脆弱性の対象と対処法、やるべきことの順序が明確になり、それを各担当者が共通で見られるようになったことで、メンバーの対策意識が向上しました。
また、担当者だけではなくラインの課長などにもFutureVulsで容易に情報共有できるようになったので、
対処のスピードが非常に速くなりました。
神戸:
重宝している機能はありますか？
千葉:
4つあります。まず
「重要フィルタ」
ですね。予め条件を設定しておけば対応すべき脆弱性を絞れます。CVSSスコア以外にも様々なルールを組み合わせて設定しています。2つ目は
「自動トリアージ」のなかにある「自動非表示」機能
で、表示しなくてもよい情報を設定できます。3つ目は
「サーバータグ」
です。これは、神戸さんに依頼して追加していただいた機能ですが、商材の担当とかサーバーの種別などを入力することで、チームごとに必要な情報を区別できるというものです。最後に
「パッチ適用のコマンド」表示
です。コピーさえすればそのまますぐにパッチ適用でき、とても便利です。
神戸:
うまく機能を活用いただいていて嬉しいです。CVSSのスコアだけで対応要否を決めようとすると、運用が回らないことがあります。脆弱性をただ羅列した状態で運用者に見せても、CVSSの情報を読み解けないという人もいますし、そもそも膨大な量にすべての対応ができないと尻込みしてしまいます。攻撃コードが公開されているかどうかやネットワークから攻撃可能かどうかなど
現状に即したリスクに合わせてトリアージし、よりリスクが高く、注力すべきものに的を絞ってしっかり対応すべきだと思います。
<h4>今やるべきことがよく分かる非常に優れたツール</h4>
神戸:
FutureVuls導入時に苦労したことはありましたか？
千葉:
当社の場合、商材や部署等によってサーバーを管理しているチームが分かれており、チームごとの管理をどうしていくかという課題がありました。神戸さんにも相談し、結果、「サーバータグ」で部署やチームを登録するということで解決しましたが、このような個別の事情も理解いただき、それに即した対応をしていただけるのは本当に助かります。
神戸:
ありがとうございます。FutureVulsはお客様の声を活かしながら、1～2ヵ月に1回の新規リリースを目標に開発に取り組んでいます。他にも要望がありましたらお聞かせください。
白崎:
現在の課題としては、脆弱性タスクへの対応状況をアプリケーションチームごとに手動でレポート化していることでしょうか。これが自動で生成されるような機能があると嬉しいですね。
神戸:
今まさに、ダッシュボードの作成は検討しておりますので、期待していただければと思います。では最後に、皆さんから一言ずつお願いします。
千葉:
何か分からないことがあれば
すぐに相談に乗っていただけますし、要望を聞いてくださって実装までしていただける
のが非常にありがたいです。
白崎:
特にLinux系サーバーの脆弱性情報の収集と影響調査に課題を抱えている企業には、FutureVulsをお勧めします。
ほぼ毎月、様々な機能改善もしていただいていますので、今後も期待しています。
林:
FutureVulsは自分たちが今やるべきことがよく分かる非常に優れたツールだと感じています。
私どものように少人数で多数のサーバーセキュリティを担っているようなところはぜひ試してみてほしいです。良いサービスを提供していただいているので、私たち自身もお客様に安心安全なシステムを提供できるように努めたいと思います。

JTB様がFutureVulsを導入してから脆弱性の管理・運用にどのように活かしているかをインタビューしました。

手作業の9割が自動化、1人月分以上の工数を削減

JTB様事例紹介

<h4>セキュリティと利便性の両立を常に考える</h4>
神戸:
貴社の事業とセキュリティの運用体制について教えてください。
松田:
当社は、クラウド名刺管理サービスとして、法人向けのSansanや個人向けのEightのほか、最近では、クラウドで請求書を受領できるBill Oneというサービスを展開しています。Sansanは7,000社超、Eightはプロフィール登録ベースで約280万人が利用していて、サービスに関わる部分は100%クラウドです。裏では軽く1,000を超えるサーバーが動いています。
私自身は、CSIRTとして全社的なセキュリティの管理を担っていますが、各事業部には専任でインフラの運用管理をしているメンバーがいます。インフラメンバーにはミッションに応じてCSIRTを兼務してもらうことで、セキュリティを担保する組織体制になっています。
神戸:
プロダクトのメンバーと一緒にやることでセキュリティを自分事として捉えてもらっているということですね。
松田:
はい。当社は 「セキュリティと利便性を両立させる」 を企業理念としています。プロダクトサイドで何か新しいことを始める際には「CSIRTはどう思いますか？」と聞いてもらえるような関係を構築したいと思っています。そうすることで、現場の動きを踏まえてCSIRTの戦略を立てることができますし、現場にもCSIRTの方針が伝わりますよね。
<h4>CSIRTプランの誕生～要望をスピーディに実装化</h4>
神戸:
御社にFutureVulsを導入いただいたのは、インフラ担当の方が、オープンソースのVulsを使ってくださっていたのが始まりですね。その後、一事業部にFutureVulsのスタンダードプランを導入いただいて、2年前、CSIRTプランができたタイミングで全社的な導入に移行いただきました。
松田:
ここ数年、会社の知名度も上がってきたことで攻撃の標的になるリスクも高くなってきました。FutureVulsを使い始めたのは、事業部でインフラを担当しているメンバーの自発的な動きからで、その事業部にスタンダードプランを導入していました。やはりセキュリティは最初に力を入れて基準や運用をしっかり整備しておかないと、後からやるとものすごくコストがかかるんですよ。なので、CSIRTが全社的に脆弱性管理を担うということでCSIRTプランへと移行しました。
神戸:
FutureVulsのスタンダードプランは、特定のチーム「内」で脆弱性管理をしていくことを目的としています。一方、CSIRTプランはグループやシステム横断でCSIRTと現場とが協調しながらFutureVuls上で全社的な脆弱性管理を運用していくのを想定しています。CSIRTプランの開発時には、松田さんにいろいろなご意見をいただきました。
松田:
神戸さんを中心に御社のメンバーが丁寧に要望をヒアリングしてくれました。トリアージの機能や通知の仕方、何か起きたときにどのサーバーにどのソフトウェアが入っているのかを瞬時に一元化して表示するなど、こういうのを実装してほしいとリクエストしましたね。しかもそれを実装するまでのスピードがとても速くて、すごい開発力だなと思いました。実はそこも選定ポイントの一つでした。最近も、検知した脆弱性の攻撃コードの信憑性を画面上に表示してほしいと要望したところ、すぐに実装してもらえました。こうした現場レベルの声が開発者に直接届くのは、FutureVulsのすごいところだと思います。
神戸:
ユーザの皆さんに、より便利にお使いいただけるよう、改善のための開発は日々行っており、毎月の頻度でバージョンアップリリースを実施しています。今後も継続的にサービスを進化させます。
<h4>社内の危機管理意識が向上し、業務負荷は3時間から10分に</h4>
神戸:
CSIRTプランを導入してから実際どのような変化がありましたか？
松田:
FutureVuls導入前は脆弱性の情報を集めるのに一生懸命でした。今は業務自体の質が良くなったうえ、業務時間もかなり短縮できています。おかげで、本来CSIRTとしてやるべきセキュリティ戦略の企画、立案を中心に正しい時間の使い方ができるようになりました。
また、100％というわけではありませんが、 社員、開発者、エンジニアの脆弱性に対する意識も変わった かなと思います。エンジニアからも「こういう脆弱性を見つけたんだけど大丈夫？」といった質問も来るようになりました。
神戸:
それは嬉しいですね。業務負荷の削減効果はどうでしょうか？
松田:
FutureVulsを最初に導入した事業部では、 脆弱性管理の運用に1日3時間は充てていたと思います 。もしそれを全事業部でやっていたら更に工数がかかっていたでしょう。でも、 CSIRTプランを導入したことによって、我々CSIRT部門の誰か一人が1日10分くらい対応すれば済むようになりました。 それくらい効率化されています。具体的な作業でも、様々な機能を使っているおかげで体感的にはこれまで1,000くらいあった脆弱性のうち、900くらいが一瞬でさばけるようになったと思います。残った100件は優先順位をつけて精査していくわけですが、精査していく上で必要な情報は既にFutureVulsの画面上に表示されているのでそれをベースに対応すれば負荷になりません。
神戸:
かなり効果的に使っていただけていますね。CSIRTプランの自動非表示、自動トリアージ機能は、CSIRTが決めたルールを基にして脆弱性のリストを自動で消し込んでくれるので、優先してリスクの高い案件に注力できます。
<h4>加速度的な時代変化に脆弱性管理の効率化は必須</h4>
神戸:
日々の運用はどのようにされていますか？
松田:
基本的にはCSIRTのメンバーが中心となって脆弱性をチェックしていますが、各事業部のインフラ担当のCSIRT兼務者にもアカウントを発行し、対応の緊急度やリファレンス情報などをいつでも共有できる運用体制にしています。各事業部へFutureVulsを導入するにあたっては、脆弱性管理を2つの工程に分けて考えています。まずは、パッチを常に適用してもらうことを事業部のメンバーに依頼して、FutureVulsはそれを確認するという流れです。
神戸:
きちんとパッチがあたったかというのも追跡画面で瞬時に把握できるので、CSIRTの方々にとっても追跡は楽ですよね。
松田:
運用ルールも負荷を軽減することを前提に設計してきたので、通知の内容によっては、毎朝脆弱性をチェックすることもあれば、一週間見ないということもあります。Slackに連携する機能もリリースされたので、Slackで赤い通知が来た時には必ず確認するといった運用フローになっています。今日やらないといけない脆弱性の対応なのか、次回の定期メンテナンス時の対応でいいのかといった判断も非常に楽になりました。
神戸:
最後に、FutureVulsはどういった会社にお勧めだと思いますか。
松田:
私は脆弱性管理のポイントは、いかに日々の運用に負荷をかけない体制構築をするかだと考えています。どういう意味かというと、この10年を振り返っても、ソフトウェアの数は急激に増えています。その分、当時よりも今の方がずっと脆弱性が増しているわけで、これが2030年になったらまた更にソフトウェアも増え、脆弱性も増します。そう考えると、現状の管理でいっぱいいっぱいになっていたら、今後運用は破綻します。なので、いかに手間をかけずに効率的に対処していくかが、脆弱性管理に対する必須の課題だと思っています。脆弱性管理をきちんとやっている日本企業の多くはまだ管理に対してすごく時間を割いていると思います。しかし、 加速度的な時代変化を考えると、なるべく負荷を軽減し、日々運用できるような体制を今から作っておくことが必須 です。その体制づくりに一番効果的なのがFutureVulsだと思っています。今の日本企業の課題に対してきちんと向き合っているところがFutureVulsの魅力ですね。

Sansan様がFutureVulsを導入してから脆弱性の管理・運用にどのように活かしているかをインタビューしました。

セキュリティと利便性を両立させる

Sansan様事例紹介

<h4>きっかけは国際的な情報セキュリティカンファレンス"CODEBLUE"</h4>
神戸:
まず、御社の事業内容とセキュリティの運用体制について教えてください。
高井:
当社は、ゲームを軸としたIPプロデュースカンパニーです。ゲーム事業では自社IPである「<a href="https://hachinai.com/">八月のシンデレラナイン</a>」をはじめ他社のゲーム開発や運営も行っており、未就学児向けのYouTubeコンテンツ「<a href="https://kumarba.com/">クマーバチャンネル</a>」といったIP創出事業も手掛けています。キャラクターの世界観を深く掘り下げ、ファンと長期的な関係を構築することでグローバルに突き抜けることを目指しています。
駒井:
当社のセキュリティ部門には、CTO兼CISOのもとゲームアプリケーションに対する脆弱性管理を担当するセキュリティエンジニアがおり、高井や私が所属するクラウドインフラセキュリティ対策チームがあります。私たちのチームは組織横断的にセキュリティやコンプライアンス遵守に責任を持ち、FutureVulsの運用管理も担当しています。
神戸:
御社には2年前からFutureVulsを採用いただいていますが、最初に知っていただいたきっかけは、2019年に開催された国際的な情報セキュリティカンファレンス"CODEBLUE"で、御社のCTO兼CISOの田中勇輔さんと意気投合したことでした。
駒井:
そうですね。2019年の夏頃に、田中を中心に全社的なセキュリティ対策を推進するなかでFutureVulsのことを知りました。ゲーム業界はユーザーの熱量が高いこともあり、ハッカーたちが何とかして最新情報を取ってやろうと、あの手この手で脆弱性を突き、攻撃してくるといったことが日常茶飯事です。当社も度重なるBotからの攻撃やチートなどを経験し、その結果、組織としてセキュリティに対する意識が醸成されました。
**　:**
現在は脆弱性情報を毎日自動チェックしていますが、それ以前は、JVN（Japan Vulnerability Notes）などから取得した情報のうち緊急度の高いものや、ニュースになったものを中心に取得し、それを各プロジェクトのエンジニアに周知して対応していました。どのサーバーのソフトウェア更新が必要かなどは各プロジェクトの担当が判断しなければならず、どこまで対応が完了したのかも確認する手段がありませんでした。裁量依存、メンバー依存の体制でした。
<h4>マルチクラウド環境でも脆弱性を一元管理。コンテナスキャンも活用</h4>
神戸:
どういった点がFutureVuls導入の決め手になったのか、御社のシステムの特性も踏まえて教えてください。
高井:
モバイルゲームはイベントがオープンすると大勢のユーザーが一斉にアクセスするので、バックエンドでは、ゲームごとにAWS（Amazon Web Services）やGCP（Google Cloud Platform）上に何百ものサーバーが存在し、稼働しています。システムアーキテクチャは、アプリケーションサーバー、データベース、キャッシュシステムというシンプルなWEB三層構造のような作りになっていて、アプリケーションはコンテナ技術を使って管理することでスケールしやすくしています。ほぼ全てのプロジェクトがコンテナ化されていると言っても過言ではありません。
駒井:
FutureVulsがクラウド環境とシームレスに連携できる点は非常に魅力を感じましたし、マルチクラウド環境に対して脆弱性を一元管理できるのも魅力でした。検討段階で試用期間を設けていただいたので、導入の容易さだけでなく、FutureVulsがカバーする脆弱性データベースの充実度も他社より優れていることがよくわかりました。また、サーバーの構成上、プロジェクトによって脆弱性検知のタイミングにもバラつきがあるのですが、FutureVulsでは対応方法が分かりやすく提示されるので、担当者が効率的に対応できるようになりました。サポート面でもFutureVulsを開発された皆さんと直接話ができるのは心強かったです。おかげでSlackでの通知機能の実装といった要望についても柔軟に対応していただきました。
高井:
当社のシステムの特長であるコンテナに対しても、FutureVulsのコンテナスキャンを活用しています。他社のものも試しましたが、どうしてもディストリビューション毎の差分が吸収できず、全然違う検知情報があがってきてしまうという課題がありました。他にもライブラリー系のスキャンなどプロジェクトによっては機能をうまく活用し、運用しているところもあります。
<h4>運用を効率化し、本業に専念できる体制へ</h4>
神戸:
FutureVulsを日々どのように運用していますか。
高井:
重要な脆弱性が発見された場合、Slackの通知機能を使って各グループの担当者に通知します。各グループの担当者はFutureVulsのポータルで脆弱性の内容を確認し、必要であれば対応していきます。我々のチームは、各プロジェクトのサーバーの脆弱性を一元的に確認できるようになり非常に助かっています。また、運用が確立したことでセキュリティ意識も高まり、プロジェクトによっては、毎日夜間にAWSのパッチマネージャー機能でパッチ適用を行い、本番環境をメンテナンスする際には重要な脆弱性が発見されていなくてもAMI（Amazon Machine Image）を更新するようになりました。
駒井:
日々、多くの脆弱性が検知され、「今までだったら検知できていなかったのでは？」と思うことが多々あります。脆弱性対応はサーバーシステムの運用に必要なオペレーションですが、FutureVulsを導入することでより効率的な運用ができ、我々として本来注力すべきゲーム開発に専念できる体制になったと思います。
<h4>セキュリティは「コスト」ではなく「投資」。"Unusable security is not security"</h4>
神戸:
御社では無償版のOSS Vulsではなく有償版のFutureVulsを採用いただいています。その理由をお聞かせください。
高井:
当社が導入しているのは、年間契約を結ぶFutureVuls CSIRTプランですが、OSS版Vulsで運用するとどうしても属人的になる部分もあるので、確実にセキュリティ対策に繋がる方を採用しました。また、OSS版Vulsをベースに自分達で管理画面を開発するコストを考えれば高くないと思いました。当社は情報システムのセキュリティに対して、コストパフォーマンスよりも「よりセキュアになる方法に投資する」という方針で動いています。
駒井:
ただし、セキュリティ対策において"Unusable security is not security"だと考えています。制約だらけで使いづらいシステムにしてしまうと抜け道ばかり利用され、結果、"Not Secure"になってしまうということです。私たちは門番というよりガードレールのように、何かしようとしたら検知して適切な方に誘導するシステム運用を心がけています。その点、FutureVulsは使いやすさとセキュアを兼ね備えているので、脆弱性検知に関する運用が日々なされていない会社にはぜひ使ってみてほしいです。

アカツキ様がFutureVulsを導入してから脆弱性の管理・運用にどのように活かしているかをインタビューしました。

セキュリティは「コスト」ではなく「投資」

アカツキ様事例紹介

<h4>DXをきっかけに、脆弱性の管理をより高度に、より効率的に。</h4>
神戸:
早速ですが、御社で脆弱性管理ツールを見直すことになったきっかけをお聞かせください。
小中:
日本の大企業の多くは1980年代から基幹システムの構築がはじまり、それを徐々にエンハンスしてきたという歴史があります。私たちも5年前からシステムの基幹刷新、いわゆるDXに取り組んでおり、私もIT企画部のメンバーとして携わっています。新システムの構成はサーバー数で1,000を超え、開発体制はピーク時に2,000名を超える大規模なものです。DXを推進するなかで、私たちは損害保険サービスを提供する会社として、代理店やお客様の情報を守るために脆弱性の検知をより強化し、その管理・運用を効率化させることが必須課題でした。今まで手動でやっていたことを新しい手法で効率的に運用できる、そんな脆弱性検知の製品を探していました。
西山:
私はこのDXを実装するSOMPOシステムイノベーションズ株式会社のメンバーとして、脆弱性検知の製品サービスの選定に関わりました。以前導入していたサーバー構成管理ツールは検知精度に問題があり、構成情報とツールの脆弱性情報のマッチングを行う際、「誤検知」が大量に発生していました。サーバーも大量にあるので、「脆弱性の情報」×「サーバー」×「誤検知」で数百万件という人手では対処しきれない程の検知情報がありました。脆弱性の情報を正しく把握できる人材も限られているので、一件、一件精査して対処すべきものをあぶり出し、トリアージするまでにはかなりの時間と労力を要していました。脆弱性に対する対応方針を決めていたにもかかわらず、現場が回らなくなり、そもそもの管理プロセスを抜本的に見直さないといけないという結論に至りました。
<blockquote>
※DX: <a href="https://www.sompo-japan.co.jp/-/media/SJNK/files/news/2021/20210601_2.pdf?la=ja-JP">未来革新プロジェクト</a>
</blockquote>
<h4>脆弱性管理ツールは机上での比較ではなく、実機検証を。</h4>
神戸:
DXを推進するなかで、新しい脆弱性管理ツールとしてFutureVulsを採用いただいた決め手を教えてください。
西山:
机上の評価ではなく、各社の導入候補ツールを実際のシステム環境下で実機検証しました。その結果をファクトベースで判断し、FutureVuls を採用しました。選定する上で重要視したことは、まず、「検知精度が高く自動スキャンができること」次に、「自動トリアージにより判断が簡素化できること」最後に、「常時モニタリングで脆弱性の発生対応状況が可視化できること」でした。これら3つのポイントを全て満たしたのはFutureVulsだけでした。
小中:
金融機関のシステムは止めることができないのでパッチも簡単には当てられず、どうしても脆弱性への対応期間が長くなります。そのため検知した脆弱性情報とその対応状況を過去の履歴から時系列で追うことが重要になります。追跡機能に関してもFutureVulsは群を抜いていました。また、他社のものよりも処理が早く、実際にシステムに入れたことによって起こる障害もありませんでした。他にもUIが各メンバーから高い評価を受けていました。システム規模が大きくなると、組織横断で運用をマネジメントするため、しっかりとしたUIが必要になります。FutureVulsは脆弱性単位で集約された情報が表示されるので、それぞれの担当者がカバーすべき情報をひとつの画面上で直感的に把握できます。こうした他社との違いは、実機検証をやったからこそ実感できた部分でもあります。机上での比較だけだと各社の差がわかりにくいことも多いので、現場の担当者は導入後の運用をしっかりと見据えた上で、実機検証することをお勧めします。
吉井:
他の製品と比べかなりスムーズに導入することができました。これにより本来の目的であった検知能力や運用面の要件確認などに十分に時間を費やすことができました。
<blockquote>
<img src="/img/sompo-task-history-ss.jpg" alt="脆弱性情報の履歴を確認"> 
FutureVuls上で脆弱性情報を過去の履歴から時系列で確認
</blockquote>
<h4>適正なリソース配分を可能に。運用もレベルアップ。</h4>
神戸:
FutureVulsの導入後、どのような効果、または変化がありましたか。
西山:
まず資産情報の手打ち登録や誤検知の精査が一切必要なくなりました。1件ずつ処理していた数百万件の起票も脆弱性単位で表示されるUIにより1,000件くらいに減りました。そこから、共通脆弱性評価システム「CVSSスコア」に加え、「ネットワークから攻撃可能」「Exploitコード有」等のフィルター機能や自動トリアージ機能を使うことで、リスクの低いものを消し込み、リスクの高い脆弱性を抽出していくのですが、他のツールでは、脆弱性情報のマッチングだけで、トリアージまで踏み込んでやってくれるものはありませんでした。また、CSIRT（Computer Security Incident Response Team）としても、各チームの対応状況、対応期限が迫っているものがどれくらいあるのか、といった情報がリアルタイムに分かるレポート機能はとても重宝しています。対応のステータスを把握することで、各チームにリマインドもできるようになり、元来の目的であった脆弱性への対応スピードが格段に上がりました。
小中:
今まで誤検知の精査も含めトリアージに時間がかかっていましたが、FutureVulsによって本来やるべき「対応」にリソースが割けるようになり、運用のレベルが1つ上がりました。また、金融機関は本番作業をする際、必ず手順書を作成しなければならないのですが、CVEを解消するためのコマンド表示機能はとても便利で、作業負荷をかなり軽減してくれています。
吉井:
従来は脆弱性情報の還元が月一回でしたが、FutureVulsを導入することで毎日最新の情報が確認できるようになりました。今後すべての脆弱性をつぶしていくのは課題としてありますが、達成する目標が明確になり、メンバーの脆弱性対策意識向上へも貢献していると考えています。
<blockquote>
<img src="/img/sompo-update-ss.jpg" alt="アップデートコマンドを表示"> 
CVEを解消するためのアップデートコマンドを表示できる
</blockquote>
<h4>脆弱性管理は世界的にも当然の流れ。サイバーセキュリティには是非FutureVulsを。</h4>
神戸:
FutureVulsはどういった会社にお勧めでしょうか。また今後の期待もお聞かせください。
小中:
日本企業はサイバーセキュリティに対する考えや対策がかなり遅れていると思います。システムがインターネットに接続されていたら必ずサイバー攻撃は受けるものだという前提で考えるべきです。米国は特に進んでいますが、脆弱性を管理することは世界的にも当然の流れです。FutureVulsは、無償のオープンソース版「Vuls」もあるのでサイバーセキュリティに携わる方々には是非一度、使ってみてもらいたいなと思います。また、小規模システムなら「FutureVuls Standard Plan」（有償）もありますが、一定規模の情報資産を持っている企業であれば長期間のトラッキング等、脆弱性管理が大変になることもあるので、今回我々が導入した「FutureVuls CSIRT plan」（有償）が向いていると思います。
西山:
今回の導入にあたって、海外のツールとも比較検証しましたが、FutureVulsは圧倒的に使いやすく、実機検証をしたときに、絶対にこのツールを使って運用したいと思いました。私個人の意見ですが、世界的にも通用する製品だと高く評価しています。オープンソースの思想を取込むという今の米国流の手法を導入したツールではないでしょうか。これからも脆弱性にスピード感をもって対応できるツールとして進化してほしいです。
小中:
開発者の顔が見えるというのはとても重要です。神戸さんというスーパーエンジニアの存在はとても心強いです。IT業界は進化が早いので、進化のスピードについていけるツールはある程度のエンジニアを抱えているところでないと開発が難しいのではないかと思います。FutureVulsは外資系のツールと比較してもリリースサイクルが圧倒的に早く、サポートの対応もしっかりしています。サイバーセキュリティに携わる者には、表には見えない隠れた作業がまだまだありますので今後も担当者の作業を軽減するような機能拡張を期待しています。
吉井:
脆弱性管理に疎かった私でもこのツール導入を通して感度が高まりましたし、トリアージ自動化による判断コスト削減を享受することはとても価値があると考えています。脆弱性管理に苦戦しているすべてのユーザにおすすめしたいです。

損保ジャパン様に脆弱性管理ツールとしてFutureVulsを導入した経緯と採用した決め手についてインタビューしました。

導入事例

森永乳業株式会社様

株式会社SmartHR様

株式会社JTB様

Sansan株式会社様

株式会社アカツキ様

損害保険ジャパン株式会社様

株式会社外為どっとコム様