クラウドセキュリティの標準化と迅速なリスク対応を実現 ─ アドソル日進が築いた“自律的に回る”セキュリティ運用の仕組みとは？

アドソル日進株式会社

1976年創立、エネルギー（電力・ガス）から、防災、交通、宇宙、ペイメントに至るまで、日々の暮らしと社会を支えるITソリューションを幅広く提供する独立系IT企業。「スマートシティのオンリーワンITカンパニー」を目指して、デジタル化が進み、安全・安心で環境に配慮された未来のまち、スマートシティの実現に向けた取組みを進めています。

＜お話を伺った方＞

情報システム部　部長　中山 政幸 様

情報システム部　マネージャー　大森 尽 様

ミッションについて

基盤運用とセキュリティガバナンスを担う情シス部門

中山様：私の部署は、社内システムの基盤やその上のアプリケーション系（会計システムやワークフローなど）の保守を担当しており、改善策の検討や現業部門からの相談への技術アドバイスも行っています。加えて、情報セキュリティ全般、ISMSやプライバシーマークのマネジメントも私たちの部署の担当です。監査の対応については、情報システム部の各担当者がそれぞれ関連資格を取得し、全員で対応する体制を敷いています。

大森様：私はその中で、社内システムの情報セキュリティやインフラ全般を担当しています。また、クラウド利用を含めたシステム全般に関する相談があれば随時対応しています。

私は入社後エンジニアとしてキャリアを積み、情報システム部に異動したのは8年前ですが、当社ではそれぞれの立場で常に高いレベルでセキュリティ意識を確保する行動が求められています。経営トップが常にセキュリティに対して厳しい姿勢を示していることもあり、全体としてセキュリティ意識の高い社員が多い会社だと感じています。

中山様：5〜6年前、弊社にクラウド認証基盤を導入する際に、セキュリティをどう確保するかを社内で相当議論し、その必要性を説明してきたことにより現在のセキュリティへの考え方が確立されてきた経緯があります。また、ISMSに基づく定期教育も継続して行っているので、それが今につながっているのだと思います。

導入前の課題

現業部門任せの運用で可視化できなかったリスク

大森様：もともとクラウドの運用は現業部門側で行っていました。セキュリティ対応の頻度や優先度も部門ごとに設定しており、情報システム部はあまり関与していない状態でした。また、利用状況や設定状況を継続的に把握する仕組みも整備途上であったことから、まずは実態を可視化し、継続的に利用状況を把握・管理する必要があるという声が社内で高まっていました。

そこで、まずAWSのControl Towerで定義づけができないかという検討から始めました。しかし、契約している会社の管理下でしか監視できない、事業部門ごとに契約体系が異なるといった制約がありました。費用対効果を鑑みると、この方法では対応しきれないというのが実情でした。そうした中、たまたまスタッフ部門と取引のあったパートナー企業様からCloudbaseをご紹介いただき、話を聞いてみようということになりました。

Cloudbase導入の決め手

現業部門がすぐ使えたシンプルな操作性が決め手

大森様：検討に当たっては複数の製品を調べました。当初相談したベンダーはかなり詳細なレベルまで要件を詰めてくれたものの、構成が複雑になり、妥当性や優先順位について十分に腹落ちしないまま提案金額だけが上がっていく不安がありました。実際に見積もりを取ったところ想定以上の金額を提示され、そんなにかかるものなのかと驚き、一旦検討が止まった経緯もあります。海外製品もいくつか調べましたが、扱いにくそうな印象がありました。その点、Cloudbaseは非常にシンプルで、コストも納得のいくものでした。

PoCでは、私だけでなく現業部門の担当者にも実際に使ってもらいました。現業部門からもすぐ対応できるという反応があり、インターフェースの分かりやすさがCloudbaseを選んだ最大の決め手だったと思います。

活用方法について

現業部門主導で自然に回るリスク対応の運用体制

中山様：体制としては、Cloudbaseに関わる業務は全て大森が掌握しており、クラウドサービスを利用しているプロジェクトの管理者への案内も大森が行っています。

プロジェクト管理者が実際の一次対応を行い、その後は我々がリスクの状態を統制しながら、必要に応じてリマインドをかけています。現業部門側ではシステムごとに関わるメンバーのうち数名を担当者として定め、セキュリティ対応にあたっています。

Cloudbaseとの初期の打ち合わせで運用ルールを一緒に策定し、当社にあった形に調整していった結果、プロジェクト管理者に対して我々から強く働きかけをせずとも自然に運用が回っている状態です。事業部長からも「CRITICAL・HIGHの脆弱性はゼロにする」という号令が出ており、各プロジェクトで高い意識を持って対応が進められています。実際にCloudbaseの担当の方からも、適応・浸透のスピードが他社様と比較して圧倒的に早いというお声をいただいています。

大森様：プロジェクト管理者は、定期メンテナンスやシステムバージョンアップのタイミングに合わせ、日常業務の一環として脆弱性対応を行っており、Cloudbaseのメール通知をきっかけに対応を始めることが多いようです。情報システム部では、一からリスクを洗い出さなくても日々検出結果が上がってくるので、かなり助かっています。

私はダッシュボード画面を常に確認し、各プロジェクトの対応状況や動きが止まっていないかをチェックしながら、対応が滞っているところをフォローしています。フォローツールとして非常に使いやすいです。

導入後の成果

対応レベルの標準化とリスク可視化がもたらした変化

中山様：今まで内在していたリスクをCloudbaseで洗い出し、対応できている実感がある他、予防的にリスクに対処できるようになったという点でも大きく変わったと思います。

また、現業部門側から経営層への報告材料としても活用しています。数字があり対応状況が見えることが、自分たちの取り組みをきちんと理解し進めているというアピールにもなっています。Cloudbaseは当社の運用体制にフィットしていると思いますし、セキュリティの高度化にも貢献していると思います。

大森様：可視化された優先順位がついているので、どこから手をつければいいか分かりやすくなりました。脆弱性管理ではSSVC *というフレームワークを使って優先順位を決めており、これも活用しています。現時点ではCRITICAL・HIGHに加え、一定優先度以上の脆弱性は全て対処する方針です。

また、以前はプロジェクトごとに異なっていたセキュリティ対応の頻度や優先度も、Cloudbase導入後は皆同じルールで対応することが決まり、どのプロジェクトも同じレベル感で対応できるようになりました。これはかなり大きな変化です。ルールを決めて運用すれば苦労が減り、案件も滞留しません。事業部側も通知メールを起点に新規検出されたリスクをすぐに解決する意識がしっかり浸透しており、私たちが初動をフォローする場面はほとんどありません。リスク対応を進める際に不明点や判断に迷う場面があれば、私に相談していただいて解決を進めています。

* SSVC（Stakeholder-Specific Vulnerability Categorization）：脆弱性の深刻度だけでなく、公開状況や悪用事例（KEV）、攻撃の自動化可能性などを考慮し、実際に対応すべきリスクの優先順位を判断する手法

中山様：脆弱性診断サービスを導入するにあたり海外製品も検討しましたが、Cloudbaseは日本企業によって開発されたセキュリティサービスだという点に安心感があります。また、複数のソースから最新の脆弱性情報を日次で複数回取得して検出するなど、きちんとした情報に基づいて動いているという点は、日本企業だからということだけではなく製品自体のすごさだと思います。また、こちらから要望したことが製品に反映されることも多く、改善が目に見えて分かるので、今後もどんどん使いやすくなっていくことを期待しています。

月に1回打ち合わせをしていただけるのも非常にありがたいですね。打ち合わせに向けて、こちらも計画的に取組みを進めていこうという意識につながっています。ルール作りについても、当社ならではの運用を踏まえたご提案をいただきながら進めています。

今後の展望

適用範囲拡大とAIガバナンスへの次なる挑戦

大森様：初期は契約ライセンス数を限定して運用していましたが、検証環境なども含めてもう少し対応を広げていきたいと考えています。各事業部に対して利用意向のアンケートを取り、意識レベルを確認できればとも思っています。

中山様：Cloudbaseがエージェントレスであることは非常に魅力的だと思います。一方でセキュリティ対象はクラウドだけに留まりませんので、クライアント端末なども含めて簡単に最低限の診断ができる形に集約されていくと心強いです。クライアント端末の管理については既存の管理ツールだけではカバーしきれない部分もあるため、Cloudbaseとうまく組み合わせていければと思います。また、Cloudbase自体にもクライアントOSや一般的なアプリケーションの脆弱性を検出・診断できる機能が追加されることを期待しています。

なお、当社ではAIガバナンスについても社内でガイドラインを作成し、展開しています。急速にAI活用が進む中、どのように統制していくべきか検討を継続し、アップデートをしながら運用しています。実際にシステム開発において、Claude CodeやGithub CopilotといったAIを活用していますので、顧客情報をはじめとする機密性の高い情報をどのように管理していくかは重要なテーマの一つです。直近でも他社でAIへの情報入力が問題になったという報道がありましたので、日々変化するAIの動向を継続的に把握しながら、適切なガバナンスを確保するとともに、現業部門でのAI活用を後押しできる管理体制を整えていきたいと考えています。