- 課題
- 外部専門家の人手による脆弱性検査では、検査頻度を高めて早めにリスクを把握・対処していくサイクルを回すことが困難だった。
- 導入
- 使いやすく脆弱性の検出能力も高い「AeyeScan」を導入し、Webシステムの脆弱性検査を自動化した。
- 効果
- 脆弱性検査の結果が定期的に得られるため、不正アクセス事件が発生しても経営層にエビデンスに基づいた安心感を提供できる。
背景
新型コロナウイルスにウクライナ侵攻といった世界的な出来事に加え、人材不足や原材料調達の変動など不確実性の増す時代において、企業経営は難しさを増す一方だ。どのようにして組織の持つポテンシャルをフルに発揮させ、デジタルトランスフォーメーションやイノベーションを通して業績向上に結びつけるか、経営層の悩みは尽きない。
コーチ・エィではそうした経営層に対し、世界5拠点で5つの言語に対応するコーチングサービスを提供している。上から下へと知識を伝達するティーチングではなく、対話を通して問題に気付き自ら解決策を考えるようになるコーチングを通して、組織の中の関わりを変え、組織文化を変え、ひいては組織変革を支援するため、100名を超えるコーチングスタッフを擁し、さまざまな形のサービスを提供している。
コーチングというと、人と人とが直接対面し、会話を深めながら進めていくものというイメージが強い。だがコーチ・エィでは、経営トップ向けの「エグゼクティブコーチ」にしても、リーダーを育てて組織開発を支援する「Driving Corporate Dynamism」（DCD）にしても、コミュニケーションを活性化し、より深く関わっていくため、さまざまなWebシステムの力も活用している。特にコロナ禍以降はビデオ会議を使う機会も増えており、それらを統合的に支援するプラットフォームを開発してきた。
ソリューションの選定
コーチ・エィのWebシステムでは、コーチングを受ける上で必要となる情報を預かることになる。万が一にも脆弱性を悪用され、情報が漏洩する事態があってはならない。そこで同社は外部のセキュリティベンダーに定期的に依頼し、人手による脆弱性検査を受けてWebシステムのセキュリティ品質をチェックしてきた。
「しかし最近では毎月のように新しい脆弱性が報告される状況です。そこでなるべく検査の頻度を高め、早めにリスクを把握して対処したいと考えました」（同社IT部 インフラセキュリティチーム マネージャー 島津 寛恒氏）
だが、検査の頻度を増やせば増やすほど費用もかさむ。特に、専門家の人手による検査を頻繁に依頼するとなると、計画的にも予算的にも難しい。予算オーバーとなることは目に見えていた。そこでツールを活用し、毎週のように自動的にクローリングして何回も検査を重ねる方がいいのではないかと考えたという。
こうした背景から島津氏は、Webシステムの脆弱性検査を自動化できるツールを検討し始め、いくつかの候補を比較検討した中で浮上したのがAeyeScanだった。「たとえ安価でも、きちんと脆弱性が検出されないツールでは意味がありません。他製品と比較して、使いやすく検出能力も優れていたことからAeyeScanを選択しました。（島津氏）
導入効果
これまでWebシステムの検査を依頼するには、事前の打ち合わせなども含め、実際の検査に至るまで煩雑な手続きが必要だった。AeyeScanの導入後はそれらが不要になった上、週に一回のペースで定期的に検査を回すことで、システム改修に伴う検査を自動化し、新たな脆弱性にスピーディに対応できる体制が整った。
もう1つ実感しているのがレポートの質だ。Webシステムのどこにどのような問題が存在しており、どう対処すべきかといった現場に必要な情報が細かく提供されるため、受け取ったエンジニアもすぐに問題のありかを特定し、対応に取り組める。
コーチ・エィのシステム開発チームには、日本人以外も多く参加している。AeyeScanでは日本語だけでなく英語のドキュメントにも対応しているため、海外のエンジニアともスムーズに意思疎通し、対処を依頼できるようになった。
さらに、「AeyeScanを導入してから、脆弱性検査の結果が定期的に得られるようになったため、そのサマリーレポートを経営層に提出しています。不正アクセス事件がたびたび報道される中、経営層にエビデンスに基づいた安心感を提供できていると思います」と島津氏はいう。
クラウドサービスならではの予想外なベネフィットも感じている。一般にソフトウェアやITシステムは、一度導入したらそう頻繁にバージョンアップされるものではない。これに対しAeyeScanはSaaSならではの性質を生かし、エーアイセキュリティラボが随時バージョンアップを重ねてきた。これに伴って、導入当初感じていたストレスが解消されつつあるという。
「導入当初に比べても、細かい改善が頻繁にされていることを実感しています。スキャンエンジン自体はそれほど変わっていないと思いますが、元から優れていた使い勝手がどんどん改善されて、エンドユーザーとしてメリットを感じています。特に自動巡回の性能については、当初は2〜3日かかり、エンジニアから『重たい』と指摘されたのですが、今ではそれが改善されて一晩で終わるようになり、満足しています」（島津氏）。今後は、こうして新たに追加されていく機能や変更についての情報が、わかりやすく提供されることに期待しているという。
今後の展開
コーチ・エィでは今後も、AeyeScanを活用しながら安心して利用できるコーチングプラットフォームを提供し、顧客との関わりをよりよいものにしながらコーチングの普及に務めていく。
「コーチングを広げていく上で、ITシステムが果たす比重はより高まっています。それはつまり、セキュリティがより重要になるということです。我々は今後もAeyeScanを活用してセキュリティを高め、お客様に安心してコーチングを届けられるように努めていきます」（島津氏）
