サイト運用に必要な効率化とセキュリティ強化の両立

神戸: 最初に、御社の事業とお二人が所属されている情報システムセンターについてお聞かせください。

河野: 森永乳業は、牛乳、乳製品、アイスクリーム、飲料をはじめとした食品製造販売を行っています。情報システムセンターは、グループ各社のコーポレートサイトや商品ブランドサイト、キャンペーンサイト、ECサイトなどあわせて約70ある外部サイトのセキュリティ対策含めた運用を行っています。

神戸: どのようなシステム構成で70もあるサイトを運用されているのでしょうか？

河野: システム構成は一部サーバレス環境で構築しているものもありますが、約50台程のAmazon EC2で運用しています。2名体制で70にもおよぶサイトの運用を行っているため、有益なツールを駆使して運用負荷を軽減しながらいかに効率的かつ盤石なセキュリティ対策を行っていくかを重要視しています。

神戸: 具体的にはどのような方針でセキュリティ対策を行っているのでしょうか？

河野: 当社では「防御」「検知分析」「脆弱性管理」「ガバナンス」という4つの観点で対策を行っています。「防御」ではWAF（Web Application Firewall）を導入し、「検知分析」においては脅威検出サービスと改ざん検知の仕組みを導入しています。「脆弱性管理」は、アプリに関しては専用のサービスを使い、プラットフォーム領域でFutureVulsを活用しています。最後の「ガバナンス」では、可視化を目的に複数のアカウントを管理するサービスを使っています。

神戸: 様々なサービスを組み合わせて対策していらっしゃいますね。

賢い自動トリアージと緊急度もわかる自動通知で対応スピードが格段にアップ

神戸: 森永乳業様には2021年10月からFutureVulsをご利用いただいていますが、導入の経緯を教えてください。

河野: サイト運用をクラウド化してAWSに集約することになった際、同時にセキュリティも一から見直すことになりました。その時お世話になっていたベンダーの方からFutureVulsを紹介していただきました。

神戸: FutureVulsを導入される前はどのように脆弱性管理の運用をされていたのでしょうか？

加茂: 海外のソリューションを利用して定期的なスキャンを実施していました。しかし、スキャンの時間が長く2時間近く要することもあり、サーバへの負荷から週に1回しかスキャンできないという状況でした。対応の要否についても手動で確認していたため、危険そうに見えるけれど自社のサーバに対して本当に影響があるのか判断するのが難しく、担当者の負荷が非常に大きかったです。

神戸: FutureVulsによって課題は解消されましたか？

河野: FutureVulsはサーバへの負荷も非常に軽いため高頻度でスキャンができるようになりました。また、長くても5分ぐらいでスキャン結果を画面上で確認でき、対応が必要なものは「自動トリアージ機能自動トリアージ機能」で賢く抽出してくれます。また緊急度合いの判断に必要な詳細情報を含めて通知してくれるので判断に時間を取られず、私たちの初動がとにかく早くなりました。脆弱性管理の運用負荷を感じている企業や脆弱性への対応スピードをあげたい企業にとてもマッチすると思います。

様々な外部サービス連携機能でより効率的な運用を

神戸: 導入後、効果を感じた機能や重宝されている機能はありますか？

加茂: WAF/IPSとして導入している「Trend Micro Cloud One™ Workload Securityとの連携機能」ですね。検知した脆弱性のIPS防御ルールを自動で有効化したり、FutureVulsのタスクのステータスをワークアラウンドに自動変更できるようになり、脆弱性を検知した際、OSのパッチが未提供でもWAFで自動防御できたというケースが多々ありました。対応方法の選択肢が増えたのは大きなメリットです。

神戸: FutureVulsではコンスタントに新機能をリリースしています。有効活用いただけて嬉しいです。

加茂: 他にも、Linuxへのパッチ適用にFutureVulsの「AWS連携機能」を活用しています。 以前は、サーバにSSHで接続してコマンドを打つといった手作業が必要でしたが、FutureVulsでは画面上で脆弱性を確認したらそのままパッチ適用ができるので、非常にありがたいです。

海外製品の不満をFutureVulsですべて解決

神戸: ライセンス料に関しては以前お使いだった海外製品よりもアップしたとお聞きしましたが、社内での反対はありませんでしたか。

加茂: FutureVulsでは従来の課題がすべて解決された上、リスクも低減されました。ライセンス料以上に運用負荷が軽減されるので社内での異論はありませんでした。そして何より、サポートの手厚さを感じています。よく海外製品にありがちなサポートのたらい回しといったこともなく、神戸さん含めフューチャーの開発者と直接話ができるので対応も早いです。機能追加の要望として相談したことをバージョンアップの際、取り入れてくれたこともありました。

神戸: FutureVulsは開発者である我々が直接サポートも行っている点は、他の企業様からもご好評いただいています。最後に情報システムセンターの今後の展望をお聞かせください。

河野: 森永乳業のIT中期戦略では「守りのITから攻めのITへ」を掲げ、経営と事業に貢献するITを目指しています。少人数を理由に日々の運用に忙殺されるような守りの姿勢ではなく、FutureVulsのようなツールを活用しながら自動化やアップデートの仕組み作りを効率化し、攻めのITを展開していきたいと思っています。

神戸: 今後も攻めのITを支えられるサービスを提供していきたいと思います。2022年9月リリースではトリアージの自動化がさらに進化しますので、楽しみにしていてください。