海外グループ約50社の負担を抑え、統一基準の脆弱性診断でセキュリティ統制を強化

背景と課題

アイカ工業は「挑戦と創造」という社是を掲げ、接着剤などの化成品や建材を開発・提供してきた。経営戦略の柱の一つにグローバル化があり、シンガポールやタイ、台湾などに子会社を設立するほか、業務提携や買収などを通じて海外事業を広げ、今や売上の約半分を占めるに至っている。

海外のグループ会社は約50社に上るが、成り立ちはそれぞれ異なり、ITシステムの構成もさまざまだ。アイカ工業株式会社　デジタルイノベーション推進部　グローバルITプランニング・サイバーセキュリティグループの小倉大樹氏は「各社のさまざまなIT資産を把握した上で、アイカグループとしていかにセキュリティ統制を効かせていくかが課題の一つです」と語る。ネットワークやエンドポイントでの対策に加え、外部に露出している資産を洗い出し、不要な通信は除外するなど、さまざまな取り組みを実施してきた。

その一つがWebサイトの脆弱性診断だ。

「それぞれ自社のホームページを公開するだけでなく、顧客向けに受発注サービスを提供している場合もあります。こうしたサイトが不正アクセスを受ければ、グローバルで展開しているアイカというブランドが損なわれる恐れがあります」（小倉氏）

ただ、診断を外部に依頼すると、その都度調整手続きが必要で、月単位の時間がかかる上に、相応のコストも発生する。50社分ともなればなおさらだ。かといってコスト削減を狙って内製しようとすると、別の問題が浮上する。海外グループ企業にも規模の大小があり、中には、そもそもIT担当者すらいない企業もある。セキュリティに関する知見が少ない組織に診断の内製を依頼するのは現実的ではない。

「グループ会社に対してセキュリティ対策の徹底を依頼したとしても、費用や人的リソースをすべて工面するのは困難です。そうした部分を親会社が支援し、責任を果たさなければならないと考えていました」（小倉氏）

ソリューションの選定

こうした背景から、全体を統括する立場として、アイカ工業側でグループ各社が運用するWebサイトの脆弱性診断を実行し、結果をもとに各社に改善を依頼していくフローを想定。診断ツール選びに乗り出した。

何より重視した条件は、グローバルスタンダードに則った診断が実施できることだ。

「グローバル各社のWebサイトを診断対象としていたため、日本の基準ではなく、世界基準で脆弱性を捉え、海外の方々にも伝わる脆弱性診断を目指していました」（小倉氏）

日本で使われているフレームワークやライブラリだけに対応するのではなく、環境に左右されず診断が実施できること、そして、英語はもちろん中国語など多言語でレポートが出力できることもポイントだった。

そうした中で出会ったのがAeyeScanだった。展示会でデモンストレーションを見た上司が、画面遷移図をはじめとするわかりやすいインターフェイスに好感を抱き、検討を進めたところ、グローバルでの診断に適していることも確認できた。

脆弱性診断は、診断自体がゴールではなく、結果をもとに適切な対策を講じてはじめて効果を発揮する。ただ、修正に向けてレポートを読み解くには、言語の壁に加え、専門知識の壁も存在するのが実情だ。複数の指摘項目のうち、どれが重要で、どこから手を付けるべきなのか。優先順位を付けるには、セキュリティとシステム双方の知見が必要となり、単にレポートを渡すだけでは「これはどういう意味なのか」「どれを優先すべきなのか」といった確認が何度も発生する。

AeyeScanでは、そうした手間が省けると判断した。

導入効果

アイカ工業では数年前から、グループ各社のIT担当者を集め、その時々のセキュリティトレンドや重点項目、目標を共有する場を年に一度設けていた。2025年のミーティングにおいて「脆弱性診断の実施」を掲げ、賛同した会社を対象に、夏から冬にかけてAeyeScanによる診断を実施していった。

すでにASMを導入していたことから、そこまで深刻な問題は存在しないだろうという想定だったが、実際に診断を実施してみると、PoCの際と同様に新たな角度からの指摘が得られた。それをもとに修正と再診断のプロセスを回すことで、「本来エンドユーザーに公開すべきではないページを特定して適切に是正でき、サイト全体の品質向上にもつながったと感じています」（小倉氏）

グループでのセキュリティガバナンス実現において、しばしば課題となるのが、各社の納得感をどのように得ていくかだ。いくらセキュリティ強化が必要だと言っても、コスト負担が増えれば反発が生じかねない。しかしアイカ工業の場合は、本社側がAeyeScanでスキャンを行い、診断費用を各社が負担する必要がない点も、取り組みを進める上で大きな追い風になっている。

また、グループ会社の中にはIT部門の体制が十分ではなく、システム構築・運用を現地のベンダーに依頼しているケースが少なくない。その上、現地ベンダーの技術力もさまざまだったため、以前は、脆弱性の修正を依頼しても本当に修正されているかどうかの確認が困難だったり、改修費用が妥当かどうかの判断ができないケースがあった。

AeyeScan導入後は、統一基準の下で診断を実施し、レポートという客観的な根拠に基づいて、指摘事項が改修されたかどうかを確認できるようになった。ベンダーと折衝する際の証拠としても活用でき、現地の負担を減らす効果も生まれている。エーアイセキュリティラボのサポート窓口も相談先として活用しながら、グループ会社とのやりとりを進めている。

もちろん、診断を実施するアイカ工業側の負担も少ない。「AeyeScanであれば、専門知識がなくても、診断自体に手間はそれほどかかりません」と小倉氏は評価する。

「我々のような事業会社にはセキュリティ人材が潤沢にいるわけではなく、一から育てていくのも困難です。また、誰か一人の知見に頼ってしまうと、運用が回らなくなる恐れがあります。脆弱性を発見し、管理し、改修するという流れを実践できる人材を育てるよりも、AeyeScanを活用する方が、コスト面で大きなメリットがあると感じています」（小倉氏）

今後の展望

今後もグループ各社の理解を深めながら、AeyeScanによる診断範囲をグループ全体に広げていき、「新規にサイトを立ち上げたり、大きな改修を行ったりする際には本社に相談し、AeyeScanで診断してからリリースする」というフローを標準化していく方針だ。海外拠点では、各社がWebサイトを企画し、構築を現地ベンダーに任せるケースもあるため、本社がリリース前にセキュリティ確認を行うフローが徹底しづらい面があったが、AeyeScanの導入によって、こうしたフローを根本的に改善し始めている。

「もし国内一社だけで診断をするのであれば、そこまでツールに頼る必要はないかもしれません。しかし攻撃者は弱点を狙ってくるため、本社や日本国内だけ対応していても意味がありません。コストを下げつつ、グローバル全体で親会社が主導して管理し、ブランドを守るという意味合いで、AeyeScanは価値があると思います」（小倉氏）

今後もサイバーセキュリティを重大な経営リスクと捉え、グループ全体で取り組みを進めていく。