教員・研究室が作ったサイトまで可視化。大学全体の脆弱性診断をスピーディかつ網羅的に実施

背景と課題

学校法人立教学院が設置する立教大学は1874年の創立以来、150年以上にわたって国際性やリーダーシップを育むリベラルアーツ教育を実践してきた。同大メディアセンターは、各種インフラやネットワークに加え、ラーニングマネジメントシステム（LMS）や学生向けポータルサイトなど、授業を支える教育研究系（教研系）システムの整備・運用を担い、学生や教員が円滑に学べる環境を支えている。

近年、脆弱性を狙うサイバー攻撃が猛威を振るっており、大学も脅威と無縁ではない。内外の大学における被害が報じられるにつれ、学内においてもセキュリティを大学運営に関わる重要なリスクと捉え、危機意識を抱くようになってきた。

学校法人立教学院 情報企画室・立教大学メディアセンター課長の木田英樹氏は、「昨今では、オンプレミス環境だけでなくSaaS系の教研系システムも増えています。これらアプリケーションには、サービスの機能そのものに加え、セキュリティレベルの担保も求められています」と述べる。

そこでメディアセンターでは、セキュリティ対策の一環として、大学が運用している多くのWebサイトを対象に、外部の診断サービスを用いて脆弱性診断を実施してきた。

しかし、脆弱性診断を企画してから実施し、レポートを手にするまでに多くの調整と工数がかかっていた。同メディアセンターの上瀧直人氏は、「診断を始めてから実態を把握するまでに、長ければ半年という非常に長いタイムラグが発生していた」と振り返った。

しかも、多くの学部を擁し、約2万人の学生が学ぶ立教大学では、大小さまざまなWebサイトが運用されている。それらすべてを網羅的に診断したくとも、ドメインやページ単位で課金される診断サービスではコストが膨らみ、採用が難しい状況だった。診断結果を受けて実施した修正が有効かどうかを確かめる再検査も、気軽には実施できなかった。

ソリューションの選定

診断はしたいが時間もコストもかかるというジレンマを解消するため、メディアセンターは、外部サービスへの委託に代わり、ツールを導入して自身の手で診断を実施する方針へシフトした。まず海外製を中心にいくつかのツールを採用してみたが、なかなか「この先も使い続けたい」と思えるものに出会えなかったという。

「診断を実施すると、場合によっては数十件もの脆弱性が列挙されます。ざっくりと深刻度のレベルは示されますが、どの項目を優先し、どこまで対処すべきかがはっきりせず、開発ベンダーとの間で橋渡しを行う必要がありました」（上瀧氏）。本来、脆弱性診断は、見つかった問題に対処し、攻撃を防げる状態にしてはじめて完了と言えるが、そこに至るまでの工数が課題だった。

そんな時にネットワークバリューコンポネンツから紹介されたのが「AeyeScan」だ。ドメイン単位の課金ではなくサブスクリプション方式で、コストを抑えながら回数制限なく診断ができる。さらに説明を聞く中で、それまで立教大学が抱えていたジレンマを解消でき、ニーズに最もフィットすると感じたという。

「日本語でわかりやすいレポートが生成できる上、質も高いと感じました。リクエストやレスポンスコードのどこにどのような問題が存在するかが具体的に提示されるため、ベンダーとの対話もやりやすくなると考えました」（上瀧氏）

まず、リニューアルを行ったばかりのポータルサイトを対象にPoCを実施した。

「インターネットに公開されているサイトで大学の認証システムや多要素認証と連動しており、最初はエラーが出てしまう時もありました。しかしサポート窓口に問い合わせると、スクリーンショットを交えた手順などとともに迅速な応答が得られ、支援体制にも好印象を抱きました」（上瀧氏）

導入効果

立教大学は2026年2月から、AeyeScanを利用した脆弱性診断を開始した。ネットワークバリューコンポネンツの柔軟な支援もあり、スムーズに導入できたという。

最大の利点は、かねてから抱えていたスピード面の課題を解消できたことだ。「私たちは日頃から最新の脆弱性情報を収集し、『この問題は大丈夫か、うちには該当しないか』を調査してきました。以前はこの作業に多くの工数がかかっていましたが、AeyeScan導入後はテストを行うことですぐに白黒がはっきりつけられるようになり、トリアージにかかる時間が短縮できました」（上瀧氏）

最近では、脆弱性が発見されてから悪用されるまでのスピードがどんどん速まっており、診断から報告までの数週間の間でさえ、新たに脆弱性が公表されるような状況だ。これに対しAeyeScanはSaaSとして提供され、新たな脆弱性に合わせてスキャンルールが頻繁に更新されるため、「新たな脆弱性を早期に把握し、対応しやすくなった点でも大きなメリットがあります」と木田氏は評価している。

改修後の再診断のハードルも低くなった。何が修正され、何が直っていないのかをAeyeScanによって明確に示せるようになり、客観的な判断基準を確立した上で、ベンダーとコミュニケーションを図れるようになった。

「前段階での調整が不要になった上、再診断の発注処理も不要になりました。修正依頼も、具体的な内容を我々が読み解く必要なく、レポートをそのまま共有すれば済むようになっています。感覚的に対応工数は10分の1か20分の1にまで下がり、その分、本質的な業務に注力できる時間が増えました」（上瀧氏）

また、AeyeScanのサイトマップ作成機能は、メディアセンターの管理下にないWebサイトの把握にも役立っている。

教員や研究室が独自にWebサイトを構築し、最新の研究成果を発信するのは歓迎すべき取り組みだが、プラットフォームの脆弱性対応にまで目が行き届かないこともある。中には他の教育機関や民間企業と兼任している教員もいるため、ルールを強制するのは難しく、管理のグレーゾーンとなりがちで、これまでは漠然とした注意喚起に留まっていた。

AeyeScan導入後はこれらサイトにもチェックの目が行き届くようになった。rikkyo.ac.jpというドメインに紐付くWebサイトを洗い出して診断し、「テストの結果、このような問題が指摘されています。詳細が分からなければ、必要に応じて、より安全な運用方法についても相談に乗ります」と担当者にコンタクトするようになると、対応のスピード感がガラッと変わったという。

よりスピーディに、かつ網羅的に診断が行えるようになった一方で、コストは大幅に削減できた。「脆弱性に対処するという本当に重要な対策にお金を回しやすくなりました」と上瀧氏は述べた。加えて、サブスクリプション契約の中で何度でも診断が可能なため、年度末が迫るタイミングで新たな脆弱性やインシデントが発生した場合にも、残予算と見比べながら頭を悩ませる必要がなくなった。

今後の展望

導入を振り返って木田氏は、「新たな脆弱性情報が公表された際に、本学のWebサイトに該当しているかをタイムリーに調査できるという意味で、AeyeScanの導入は非常に大きなメリットがありました」と言う。

今後もメディアセンターではAeyeScanを活用して定期的に診断を行い、脆弱性を修正しながら、大学内でのセキュリティ普及啓発をいっそう進めていく計画だ。システム開発を発注する際にベンダーにセキュリティ確認を求めたり、教員がWebサイトを構築する際の「手引き」を整備したりする方法でベースラインを高め、その中でAeyeScanを生かしていければと考えている。

ただ、防御に100％はあり得ないことも重々承知している。特に、AI技術の爆発的な進化によって、未知の脆弱性が見つかり、攻撃されることは十分あり得る。新たな前提に立ち、「人間が風邪を引いてもこじらせないようにするのと同じで、入られたとしても早期に検知し、影響を最小化する部分に注力する必要があると考えています。AeyeScanの導入でコストを節約できた分、そうした分野への投資がしやすくなりました」と上瀧氏は述べ、引き続き終わりのない戦いを続けていくとした。

「大学という環境には多種多様な研究室やゼミがあり、管理し切れていないものも含め多くのWebサイトを抱えがちです。AeyeScanはそういった環境でも手軽に脆弱性診断が実行でき、詳細なレポートも出力されるため、非常に有効なツールだと思います」（木田氏）

今後も文部科学省や近隣の警察などとも協力し、情報交換を行いながら、立教大学の、ひいては国内の大学全体のセキュリティレベルの向上につなげていければと考えている。