自走するセキュリティ運用へ──Cloudbaseで実現する、専門人材に依存しないリスク対応

株式会社朝日ネット

株式会社朝日ネットは、通信事業と教育支援事業を提供する企業です。インターネット接続サービス「ASAHIネット」や次世代回線を提供するVNE事業「v6コネクト」、大学向け学習管理システム（LMS）「manaba」などを提供し、通信インフラと教育DXの両分野で多くの利用者を支えています。

＜お話を伺った方＞ 

執行役員 技術担当・業務構造改革推進室 担当・サービス基盤部 部長 　草場 敬之 様
サービス基盤部 担当課長　竹内 学 様

ミッションについて

止まらない通信インフラを支えるサービス基盤部

草場様：朝日ネットの事業は、大きく分けて「通信事業」と「教育支援事業」の2つです。光回線を中心としたISP事業やVNE事業「v6コネクト」のほか、大学向け教育支援サービス「manaba」を展開しています。

私と竹内が所属するサービス基盤部では、サーバーインフラやクラウドインフラの構築から運用までを一通り担っています。私自身はそれに加えて、社内の業務システムのリプレイスを進める業務構造改革推進室のチームも持っており、こちらはクラウドをベースにシステムを展開しているため、サービス基盤部と一体で取り組んでいます。

竹内様：サービス基盤部は、オンプレのサーバーインフラを管理する部隊、クラウドインフラを管理する部隊、24時間365日の運用監視を行う部隊の3つに分かれています。私はその中のクラウドインフラのチームを管理しており、AWSの構築に加え、運用・セキュリティ・コストの管理までを担っています。

通信インフラを提供する事業者ですので、「通信を止めないこと」「お客様にご迷惑をおかけしないこと」が何よりも重要です。その安定稼働を支えることが、私たちサービス基盤部の役割です。

導入前の課題

専門家がいない状態からはじめるクラウドセキュリティ

草場様：クラウドインフラとしてAWSを本格的に使い始めたのは2022年頃です。お客様向けのサービスや社内の業務システムをいよいよクラウドに載せていくというタイミングで、セキュリティをどう担保するかが課題になりました。

AWSにもSecurity Hubなど標準のセキュリティ機能が揃っていますが、使いこなすには専門知識が必要で、AWSに詳しい人が常に張り付いていないと運用が回らないという実感がありました。

竹内様：当時、AWS上で実際にシステムを動かした経験のあるメンバーは草場以外はほとんどおらず、セキュリティとなるとさらに不安がありました。AWSおよびセキュリティの専門家がいない状態でもなんとかセキュリティを担保したい、というのが出発点でしたね。

また、クラウド環境の企画・構築フェーズではベンダーに伴走してもらっていましたが、構築時のセキュリティ対策だけでは十分ではありません。運用が始まれば、設定変更やリソース追加に応じて継続的にリスクを確認し続ける必要があります。しかし、それを人手だけで運用し続けるのは現実的ではありません。そうした運用方法を模索する中で、ベンダーから紹介を受けたのがCloudbaseでした。

Cloudbase導入の決め手

リスクの解決まで見据えたサービス設計

竹内様：AWSやセキュリティの専門家がいない状態でも、セキュリティ基準を維持できるかどうかという軸で製品を比較検討しました。

最終的にCloudbaseともう一社の製品Aを比較しましたが、製品Aは検出されたリスクを可視化することが中心だったのに対し、Cloudbaseはリスクの可視化だけでなく、対応まで支援してくれる点が大きな違いでした。独自の直し方ドキュメントも用意されており、AWSの標準機能だけでは補いきれない運用までカバーできると感じました。

もうひとつ決め手になったのが、PoC期間中に大きな脆弱性が公表されたときのことで、Cloudbaseからの通知がAWSよりも早く届いたんです。複数の情報収集経路を持ち、本気で脆弱性情報を追い続けている会社なんだと感じました。

セキュリティ対策では、一つの情報源だけに依存するのはリスクがあります。AWS以外の信頼できる情報経路を持てることも、Cloudbaseを選ぶ大きな理由になりました。

活用方法

導入直後に重大リスクを解消し、安定した運用体制を構築

竹内様：検出されたリスクの内、設定ミスはインフラチームが、脆弱性はアプリケーション開発チームが対応するという役割分担で運用しています。

設定ミスについては、Cloudbaseを導入してすぐに即時対応・Critical・Highのリスクを集中的に潰し込み、リリースまでに重大なリスクがない状態を実現しました。潰し込みの際はCloudbaseのサポートにもかなり問い合わせをしましたが、回答の内容もスピードも良く、「うちの構成ではどう判断すべきか」と迷った場面で随分助けられました。

現在は、Cloudbaseが判定した優先度ごとに、即時対応レベルのものはすぐに対応し、それ以外は期限と担当者を決めて計画的に進めています。導入時に一通りリスクを解消できたことで、その後は重大なリスクが高頻度で検出されることもなく、安定した運用を続けられています。

各チームが自ら判断する自律的な運用

草場様：一方で、脆弱性は日々新しいものが発見されるため、継続的な対応が欠かせません。そのため、アプリケーション開発チームにもCloudbaseのアカウントを発行し、必要な情報を確認しながら、自律的に対応を進めてもらっています。

エンジニア自身が脆弱性の内容を確認し、自社環境に本当に影響があるのかを評価したうえで、インターネットに公開されている箇所から優先順位を付けて対応しています。その際、Cloudbaseが提供するSSVC*のフレームワークも参考に、実際に悪用されているかどうかなどの観点も踏まえて判断しています。

* SSVC（Stakeholder-Specific Vulnerability Categorization）：脆弱性の深刻度だけでなく、公開状況や悪用事例（KEV）、攻撃の自動化可能性などを考慮し、実際に対応すべきリスクの優先順位を判断する手法

全てに対応するのではなく、一つひとつリスクを評価し、「本当に対応が必要なもの」を各チームが自ら判断することが重要だと考えています。内製で判断・対応できる体制があるからこそ、こうした自律的なセキュリティ運用を実現できていると感じています。

導入効果

自分たちで維持できるセキュリティ運用を実現

竹内様：リリースに向けて即時対応・Critical・Highのリスクを一通り潰し切り、一度きれいにした状態を現実的なコストで維持できていることが、一番の成果だと思います。

比較していた他社製品を選んでいたら、対処方法は結局AWSに確認する必要があり、対応スピードは落ち、外部への委託費も増えていたかもしれません。自分たちでセキュリティ水準を定め、その状態を自分たちの力で維持できる体制を作れたことが、何より大きな価値です。

草場様：新たに専門人材を採用するよりも低いコストで、今いるメンバーが役割を分担しながら対応できる体制を構築できたことに、価値を感じています。

セキュリティ対策を一部の担当者に依存するのではなく、必要な情報をそれぞれの担当者が確認し、自分たちで判断しながら運用を続けられるようになったのは一番の変化です。

今後の展望

Cloudbaseを活用してマルチクラウドをさらに高度化

草場様：今後は、Cloudbaseがカバーする領域と、自分たちで確認・判断すべき領域を整理しながら、運用をさらに磨き込んでいきたいと考えています。加えて、認証情報の棚卸しなど、これまで十分に取り組めていなかった領域についても強化していきたいです。

また、教育支援事業をはじめ、クラウドを活用するシステムは今後さらに増えていく見込みです。基盤はAWSを軸としつつも、用途によってはGoogle CloudやAzureなど他のクラウドを活用する場面も出てくるでしょう。ただ、各プラットフォームの専門人材を個別に育成するのは現実的ではありません。Cloudbaseを活用して必要なセキュリティを担保しながら、各クラウドの強みを生かしたマルチクラウド環境を実現していきたいですね。